Zero-Trust, Zero-Knowledge: A Lightweight Blockchain and Federated Learning Framework for Privacy-Preserving IoT Device Authentication
تقترح هذه الورقة إطار عمل للمصادقة في إنترنت الأشياء يتميز بخفة الوزن والحفاظ على الخصوصية، حيث يدمج مبادئ "انعدام الثقة وانعدام المعرفة" (Zero-Trust Zero-Knowledge)، والتعلم الاتحادي القائم على السلوك مع الخصوصية التفاضلية، وسلسلة كتل (Blockchain) ذات قدرة عالية على المعالجة تعتمد على "إثبات السلطة" (Proof-of-Authority) لتحقيق دقة بنسبة 99.2% وأمن قوي ضد الهجمات مع الحفاظ على زمن انتقال منخفض وتكلفة ضئيلة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الحديث، تشكل مليارات الأجهزة الصغيرة والذكية — من المستشعرات الطبية في المستشفيات إلى إشارات المرور في شوارع المدن — شبكة واسعة وغير مرئية تُعرف باسم "إنترنت الأشياء". صُممت هذه الأجهزة لتكون مفيدة، لكن عددها الهائل وقدرتها الحوسبية المحدودة تجعل حمايتها أمراً صعباً. تعتمد طرق الأمن التقليدية غالباً على كلمات مرور ثابتة أو شهادات رقمية، تماماً مثل مفتاح لا يتغير أبداً؛ فإذا سرق لص ذلك المفتاح، يمكنه الدخول والتظاهر بأنه المالك إلى الأبد. علاوة على ذلك، فإن هذه الأنظمة القديمة عادة ما تتحقق من هوية الجهاز مرة واحدة فقط، لحظة اتصاله، ثم تفترض أنه آمن لبقية الجلسة. هذا النهج يزداد هشاشة أمام المهاجمين المتطورين الذين يمكنهم نسخ المفاتيح الرقمية أو خداع الأنظمة بهويات مزيفة. ولحل هذه المشكلة، يتجه خبراء الأمن نحو فلسفة تسمى "الثقة الصفرية" (Zero Trust)، والتي تعمل على مبدأ بسيط وهو أنه لا ينبغي الوثوق بأي شخص بشكل افتراضي، حتى داخل الشبكة نفسها. وبدلاً من التحقق من مفتاح ثابت، تراقب أنظمة الثقة الصفرية سلوك الجهاز باستمرار، بحثاً عن أنماط فريدة ودقيقة في تشغيله يكاد يكون من المستحيل تزييفها.
لقد طور فريق من الباحثين من جامعات في سيراليون إطار عمل جديد يجسد هذه الفلسفة لإنترنت الأشياء. لقد دمجوا أربع تقنيات متميزة لإنشاء نظام يمكنه التحقق من هوية الجهاز باستمرار دون الاطلاع أبداً على بياناته الخاصة. يتضمن الجزء الأول من حلهم "البصمة السلوكية"؛ فتماماً كما يمتلك البشر طريقة فريدة في المشي أو الكتابة، يمتلك كل جزء من العتاد (Hardware) اختلافات طبيعية ضئيلة في كيفية معالجة المعلومات، أو التفاعل مع الحرارة، أو توليد أرقام عشوائية. استخدم الباحثون هذه الخصائص غير المرئية القائمة على العتاد لإنشاء توقيع فريد لكل جهاز. وخلافاً لكلمة المرور، لا يمكن سرقة هذا التوقيع أو نسخه لأنه مرتبط بالسلوك الفيزيائي للآلة نفسها.
ولحماية خصوصية البيانات التي تولدها هذه الأجهزة، استخدم الفريق طريقة تسمى "التعلم الاتحادي" (Federated Learning). في الإعداد القياسي، ترسل الأجهزة بياناتها الخاصة إلى خادم مركزي لتحليلها، مما يخلق خطراً من التعرض للاختراق. في هذا النظام الجديد، تحتفظ الأجهزة ببياناتها محلياً؛ فبدلاً من مشاركة المعلومات الخام، تشارك فقط الدروس التي تعلمتها من تلك البيانات. ثم يقوم نظام مركزي بدمج هذه الدروس لتحسين نموذج أمني عالمي دون رؤية نقاط البيانات الفردية أبداً. ولضمان بقاء هذه العملية خاصة، أضاف الباحثون طبقة من "الضجيج الرياضي"، مما يجعل من المستحيل على الغرباء استنتاج البيانات الأصلية من الدروس المشتركة. نجح هذا النهج في تقليل احتمالية تخمين المهاجم للأجهزة المحددة المشاركة في الشبكة من 48.2% إلى 12.4% فقط.
الركيزة الثالثة لهذا الإطار هي "البلوكشين الخفيف" (Lightweight Blockchain)، وهو سجل رقمي يسجل كل عملية مصادقة بطريقة لا يمكن التلاعب بها. وبينما تعتبر معظم شبكات البلوكشين بطيئة وتستهلك الكثير من الطاقة، صمم الباحثون نسخة مخصصة لموارد أجهزة إنترنت الأشياء المحدودة. يستخدم هذا النظام طريقة "إثبات السلطة" (Proof-of-Authority)، حيث يقوم مدققون موثوقون بتأكيد المعاملات بسرعة وبتكلفة منخفضة. في اختباراتهم، تعامل هذا النظام مع 1,200 معاملة في الثانية مع تأخير قدره 1.2 ثانية فقط، وبتكلفة قدرها ستة آلاف جزء من الدولار لكل عملية فحص. هذه السرعة والتكلفة المنخفضة تجعل النظام عملياً للاستخدام في العالم الحقيقي، على عكس الأنظمة القديلة الأثقل التي قد تستنزف بطارية مستشعر صغير.
أخيراً، قدم الباحثون نظام تنسيق "وكيل" (Agentic Orchestration) لإدارة العملية برمتها. فكر في الأمر كفريق من المساعدين الرقميين المستقلين الذين يراقبون الشبكة، ويحللون البصمات السلوكية، ويتحققون من سجلات البلوكشين، ويتخذون القرارات بشأن منح حق الوصول. تعمل هذه الوكلاء معاً لرصد الشذوذ والاستجابة للتهديدات في الوقت الفعلي، وغالباً ما يكون ذلك بسرعة تفوق قدرة البشر. في تجاربهم، رصد هذا النظام النشاط الضار بنسبة نجاح بلغت 97.8% واستجاب في أقل من عُشر ثانية. وعند مقارنته بطرق أمنية متقدمة أخرى، أثبت هذا الإطار الجديد تفوقه، محققاً دقة مصادقة إجمالية بلغت 99.2% مع مقاومة الهجمات المعقدة التي تخدع الأنظمة الأخرى عادةً.
اختبر الباحثون إطار عملهم باستخدام بيانات من 11 جهاز كمبيوتر من نوع "راسبيري باي" (Raspberry Pi) ومجموعة كبيرة من سجلات حركة مرور الشبكة التي تحتوي على أنواع مختلفة من الهجمات السيبرانية. قاموا بمحاكاة سيناريو حيث تتم مراقبة الأجهزة باستمرار، ويحاول المهاجمون انتحال شخصيتها أو تسميم نماذج التعلم. أظهرت النتائج أن النظام يمكنه التمييز بين الأجهزة الحقيقية والمنتحلين بدقة عالية، حتى عندما كانت البيانات غير منظمة أو موزعة بشكل غير متساوٍ. كما أظهر أيضاً أن النظام يمكنه الصمود أمام محاولات خداع عملية التعلم، محافظاً على دقته حتى عند مواجهة التضليل المتطور. تشير الدراسة إلى أنه من خلال الجمع بين سلوك العتاد، والتعلم الخاص، وحفظ السجلات الآمن، والوكلاء المستقلين، فإنه من الممكن بناء نظام أمني يتسم بالفعالية العالية ويحترم الخصوصية في آن واحد.
بينما تعد النتائج واعدة، يشير الباحثون إلى أن عملهم أُجري في بيئة محكومة باستخدام أنواع محددة من العتاد. كما يقرون بأن هناك حاجة لمزيد من الاختبارات مع مجموعة متنوعة من الأجهزة وفي بيئات العالم الحقيقي للتأكد من كيفية أداء النظام على نطاق واسع. ويشيرون أيضاً إلى أن المتطلبات الحوسبية لعملية التعلم قد تحتاج إلى مزيد من التحسين للأجهزة الأصغر والأكثر تقييداً في استهلاك الطاقة. ومع ذلك، توفر الدراسة مخططاً واضحاً لنوع جديد من الأمن لا يعتمد على المفاتيح الثابتة أو السلطات المركزية. فمن خلال التحقق المستمر من الأجهزة بناءً على كيفية تصرفها وليس على ما تدعيه، يقدم هذا النهج مساراً نحو شبكة أكثر أماناً وخصوصية ومرونة للمليارات من الأجهزة التي ستحيط بنا قريباً.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.