تشفير القرص على جهاز لا تملكه

كل مزوّد يبيع الخصوصية يقول إن الأقراص مشفّرة. هذا صحيح غالبا، وهو غالبا إجابة عن سؤال لم يطرحه أحد. للتشفير ثلاث حالات تستحق الانتباه، ويقضي الخادم كامل حياته العملية في الحالة التي لا يغطيها تشفير القرص الكامل. هذا هو أين يقع الخط فعليا، وما يوجد على جانبيه، وأي الترتيبين المُباعين تحت المصطلح نفسه هو الذي تملك فيه المفتاح.

ثلاث حالات، والحالة الوحيدة التي لا يشفّرها أحد

تُوصف البيانات بأنها في إحدى ثلاث حالات، وقد حلّت الصناعة اثنتين منها بشكل مقنع. حالة السكون هي بيانات موجودة على قرص لا يقرؤه أحد حاليا: يحلّها تشفير القرص الكامل، وتحلّها فوقه طبقة تشفير قاعدة البيانات أو تخزين الكائنات. حالة النقل هي بيانات تعبر شبكة: يحلّها TLS، وبإتقان يجعل من شهادة صادرة بالخطأ خبرا عاجلا. حالة الاستخدام هي بيانات محمّلة في ذاكرة عملية قيد التشغيل — وهو المكان الذي يجب أن يوجد فيه كل بايت يقدّمه خادمك، مهما قصرت تلك اللحظة، لكي يُقدَّم أصلا.

عبارة التشفير في حالة السكون دقيقة، ودقيقة بطريقة يسهل تجاوزها من دون انتباه. فهي تصف الحالة التي تكون فيها بياناتك بينما يكون الجهاز مُطفأ. أما الخادم فهو جهاز مهمته بأكملها ألا يكون مُطفأ. طوال الأشهر التي يقضيها يعمل، تبقى وحدات تخزينه مفتوحة، وملفات قاعدة بياناته قابلة للقراءة من أي عملية تعمل بصلاحيات المستخدم المناسب، ولا يفعل التشفير شيئا سوى انتظار انقطاع التيار.

أما الأمر الثاني الذي تخفيه هذه الكلمات فهو مِلك من ذلك المفتاح. يُباع ترتيبان مختلفان تماما تحت هذا المصطلح. يمكن للمزوّد أن يشفّر طبقة التخزين بمفاتيح يديرها هو: وهذا يحمي إجراءات إخراج العتاد من الخدمة لديه ويقلّص تعرّضه هو للاختراق، كما يحميك فعلا من خروج قرص من المبنى — لكن الجهة الحائزة على المفتاح هي الجهة نفسها التي كنت تسأل عنها. أو يمكن تشفير وحدة التخزين داخل جهازك أنت، بمفتاح لا وجود له إلا في ذهنك وفي ذاكرة نواة نظام قيد التشغيل. الترتيب الثاني وحده هو الذي يغيّر ما تستطيع جهة ثالثة الحصول عليه، وهو وحده ما يعنيه بقية هذا الدليل.

لا شيء من هذا حجة ضد تشفير الأقراص. إنه حجة لصالح معرفة أيا من السيناريوهات الثمانية أدناه غطّيته وأيها لم تغطِّه. تشفير يوقف أمرا واحدا حقيقيا يستحق أن يُعتمد؛ أما تشفير تعتقد أنه يوقف ثمانية أمور فهو أسوأ من انعدامه، لأن هذا الاعتقاد ينهي النقاش.

أين يقيم المفتاح أثناء عمل الجهاز

حين تفتح وحدة تخزين LUKS، فإن عبارة المرور التي تكتبها ليست هي المفتاح. إنها تفكّ تغليف مفتاح رئيسي مخزَّن في ترويسة الوحدة، ويبقى ذلك المفتاح الرئيسي بعدها محفوظا في ذاكرة نواة النظام إلى أن تُغلق الوحدة أو ينقطع التيار عن الجهاز. تمر كل عملية قراءة وكل عملية كتابة عبره. لا يوجد إعداد لقرص مشفّر يعمل يكون فيه المفتاح في مكان آخر أثناء استخدام القرص — وهذه ليست تفصيلة تنفيذ يمكن لأحد إصلاحها، بل هي بالضبط معنى استخدام قرص مشفّر.

على عتاد تملكه، تقيم تلك الذاكرة داخل صندوق في غرفة تتحكم بها أنت، والهجوم عليها نادر وغير معتاد: حضور فعلي، وبقايا الثواني التي تحتفظ بها شرائح الذاكرة بعد قطع التيار. أما على خادم افتراضي فالوضع يختلف في طبيعته لا في درجته فقط. ذاكرة نواة نظامك هي منطقة من ذاكرة المضيف. يستطيع hypervisor مخاطبتها بحكم التعريف، لأن مخاطبتها هي بالضبط الطريقة التي منحك بها hypervisor إياها في المقام الأول. توجد ثلاث عمليات عادية تماما تقرأ منها:

• الترحيل الحي. نقل آلة افتراضية قيد التشغيل بين مضيفات فعلية ينسخ ذاكرتها أثناء عملها. هذه ميزة — وهي الطريقة التي تتم بها صيانة مضيف من دون إعادة تشغيلك — ومفتاحك الرئيسي موجود ضمن الصفحات التي تُنسخ.
• لقطة تشمل الذاكرة. لقطة تقتصر على القرص لوحدة تخزين شفّرتها بنفسك لا تحتوي إلا على نص مشفّر ولا شيء غيره. أما اللقطة التي تتيح للجهاز استئناف العمل من نفس النقطة تماما فتحتوي على المفتاح، لأن المفتاح جزء مما تتكوّن منه تلك النقطة بالذات.
• تفريغ للذاكرة. تقيم ذاكرة جهازك الضيف داخل فضاء عناوين عملية على المضيف. قراءة ذاكرة تلك العملية عملية تصحيح أخطاء اعتيادية، وتأتي أدواتها مع حزمة الافتراضية نفسها بدلا من أن تحتاج إلى تهريبها.

لا شيء مما سبق يزعم أن مزوّدك يقوم بأي من ذلك. إنه يؤكد أن هذه الإجراءات لا تتطلب أي تعاون منك، ولا تترك أثرا في أي شيء يمكنك رؤيته، ولا يمكن تمييزها عن الصيانة الاعتيادية للمنصّة. وهذه هي الخاصية الوحيدة التي تستحق أن تُكتب في نموذج تهديد: ليس ما يفعله أحدهم، بل ما هو قادر على فعله من دون أن تكتشف ذلك. المنطق نفسه على طبقة أبعد هو سبب أن السجل والوسيط الذي أمامك ينتميان إلى القائمة نفسها التي ينتمي إليها المضيف.

مشكلة إعادة التشغيل، والحل المختصر الذي يُبطلها

يجب فتح وحدة تخزين root المشفّرة قبل أن يُقلع النظام إلى الحد الذي يقبل فيه اتصال SSH. على حاسوب محمول تكتب عبارة المرور على لوحة المفاتيح. أما على جهاز يبعد ألفي كيلومتر، في مبنى لم تدخله قط، فلا توجد لوحة مفاتيح يمكنك بلوغها في اللحظة المطلوبة. كل إجابة عملية عن ذلك هي مقايضة — وواحدة من الطرق الأربع أدناه ليست مقايضة على الإطلاق، بل طريقة لتبدو وكأنها كذلك.

أربع طرق لفتح وحدة تخزين root مشفّرة على جهاز بعيد

الطريقة	إعادة تشغيل دون تدخل	توقف قرصا مسروقا	الثمن الذي تدفعه
الدخول عبر SSH إلى صورة الإقلاع	لا	نعم	خادم SSH بسيط داخل initramfs يتيح الاتصال وكتابة عبارة المرور. يبقى الجهاز متوقفا إلى أن يستيقظ شخص ويصبح قابلا للوصول. هذا هو الخيار الصادق، وتكلفته حقيقية: إعادة تشغيل في الرابعة فجرا تعني توقفا عن الخدمة إلى أن يلاحظه أحد.
مفتاح مرتبط بالشبكة	نعم	جزئيا	يجلب الجهاز مفتاح الفتح عند الإقلاع من خادم تديره في مكان آخر، ويمكنك رفض تزويد المفتاح لجهاز تغيّر موضعه أو لم تُعِد تشغيله أنت. يجب أن يبقى خادم المفاتيح متاحا، وأن يقع في مكان لا يستطيع الأمر نفسه بلوغه — وإلا فإنك تكون قد وزّعت المفتاح على بابين بقفل واحد.
ملف مفتاح داخل صورة الإقلاع	نعم	لا	يقيم المفتاح داخل initramfs، ويقيم initramfs على قسم إقلاع غير مشفّر، ويقيم قسم الإقلاع على القرص نفسه الذي كنت تحاول حمايته. من يأخذ القرص يأخذ المفتاح معه. هذا الإعداد شائع، ويقلع بسلاسة تامة، ولا يحمي من أي شيء على الإطلاق.
مختوم داخل TPM	نعم	جزئيا	على عتاد تملكه، لا تُفرج شريحة أمان حقيقية عن المفتاح إلا لسلسلة إقلاع لم يطرأ عليها أي تعديل. أما على خادم افتراضي فتلك الشريحة تُحاكى من قبل المضيف، فيكون ختم المفتاح فيها تسليمه إلى الجهة نفسها التي كان يُفترض حمايته منها.

يستحق الصف الثالث تأملا طويلا. فهو المكان الذي ينتهي إليه الأمر حين تُكتب المتطلبات على شكل يجب أن تكون الأقراص مشفّرة من دون أن يسأل أحد لأي غرض. يجتاز التدقيق بنجاح. جهاز الكتلة مشفّر فعلا. لكن المفتاح يسافر على القطعة المعدنية نفسها، داخل ملف يقرؤه shell للاسترداد في نحو أربع ثوانٍ.

وهذا أيضا أوضح فارق عملي بين آلة افتراضية مستأجرة وجهاز تملكه أنت. على العتاد المخصّص تمنحك واجهة الإدارة خارج النطاق وحدة تحكم تصمد أمام إعادة التشغيل، فيتحول الصف الأول من توقف كامل إلى انقطاع لا يتجاوز دقيقتين — وتختفي مشكلة الشريحة المحاكاة في الصف الرابع، لأن الشريحة ملحومة على لوحة بدلا من أن تكون مكتوبة برمجيا من قبل الجهة نفسها التي تحاول حمايتك منها.

ما الذي يشتريه تشفير القرص الكامل فعليا

السؤال نفسه، بثماني صياغات مختلفة. العمود المهم هو الأخير، لأنه في كل صف لا يفيد فيه التشفير، يوجد شيء آخر يفيد — وتسمية ذلك الشيء هي كل قيمة هذا التمرين.

ثمانية سيناريوهات، وهل يغيّر تشفير القرص الكامل نتيجتها

السيناريو	هل يفيد التشفير	ما الذي يحسم الأمر فعليا
قرص يُسحب من الخدمة أو يُعاد بيعه أو يُعاد بموجب الضمان	نعم	لا شيء آخر يغطي هذه الحالة. تغادر الأقراص مراكز البيانات باستمرار، والتعقيم إجراء، والإجراءات تفشل بصمت. هذا هو السيناريو الذي اخترع من أجله تشفير القرص الكامل، وفيه يعمل تماما كما هو موعود.
إيقاف تشغيل الجهاز وسحب القرص منه	نعم	الحماية نفسها بالحد نفسه، وذلك الحد هو كلمة مُطفأ. أما الجهاز الذي يُؤخذ وهو قيد التشغيل فيُؤخذ غير مقفل، بوحدات تخزين مفتوحة ومفتاح مقيم فيها.
نسخة احتياطية موجودة في مكان آخر	جزئيا	تشفير وحدة التخزين المصدر لا يفعل شيئا لنسخة من البيانات. ما يحسم الأمر هو ما إذا كانت النسخة الاحتياطية قد شُفّرت قبل أن تغادر، بمفتاح غير مخزَّن على الجهاز الذي يُنسخ احتياطيا.
المنصّة تأخذ لقطة	جزئيا	لقطة تقتصر على القرص لوحدة تخزين شفّرتها بنفسك هي نص مشفّر عديم الفائدة لأي أحد لا يملك عبارة المرور. أما اللقطة التي تلتقط حالة الذاكرة فتلتقط المفتاح معها. وكلتاهما تُسمّى لقطة.
شخص يحصل على shell على الجهاز قيد التشغيل	لا	وحدة التخزين مفتوحة أصلا، والدخيل يقرأ ملفات لا كتلا خاما. ما يحسم هذا الصف هو التحديث بالتصحيحات، والحد الأدنى من الصلاحيات، وبيانات اعتماد لا تُعاد بين خدمات مختلفة — ولا يسهم التشفير فيه بشيء.
مشغّل المضيف، أو أي جهة تملك صلاحيات وصوله	لا	لا يفيد هنا سوى تشفير لا يدخل مفتاحه إلى الجهاز إطلاقا. تشفير الذاكرة على مستوى العتاد هو الاستثناء الوحيد، وهو معطّل افتراضيا في كل مكان تقريبا، وهذا ما يتناوله القسم التالي.
تبليغ المزوّد بأمر	جزئيا	الولاية القضائية تحدد من يحق له الطلب وبأي إثبات؛ والتشفير يحدد ما الذي يمكن أن يحتويه الرد. موقفنا المعلن يتألف من جملتين منفصلتين، وكلتاهما مهمة: نحن لا نحتفظ بمفاتيح تشفير العملاء ولا يمكننا تقديمها، والوحدة غير المشفّرة على خادم افتراضي لا تزال تستوجب أمرا يسمّي تلك الخدمة تحديدا.
عليك الإفصاح عن خرق للبيانات	جزئيا	إذا كان مستخدموك في الاتحاد الأوروبي، تذكر المادة 32 من GDPR التشفير من بين التدابير المتوقعة منك، وتُسقط المادة 34 واجب إخطار الأفراد المعنيين — لا الجهة الرقابية أبدا — إذا جُعلت البيانات غير مفهومة. وما إذا كان ذلك ينطبق يتوقف كليا على مكان وجود المفتاح لحظة خروج البيانات.

فوق القرص: ما الذي يصمد أمام مضيف معادٍ

كل ما سبق يخص طبقة تتوقف عند جهاز الكتلة. توجد ثلاثة أمور تعلوها، وهي مجتمعة الإجابات الوحيدة عن الصفوف الخامس والسادس والسابع من ذلك الجدول.

التشفير فوق التطبيق، لا تحته

التشفير على مستوى الحقل يعني أن التطبيق يشفّر القيمة قبل أن تصل إلى قاعدة البيانات ويفكّ تشفيرها بعد قراءتها منها. أي تفريغ لقاعدة البيانات ينتج نصا مشفّرا، أيا كان من أخذ ذلك التفريغ وبأي طريق. ثمن ذلك هو فقدان القدرة على البحث في الأعمدة المشفّرة أو فهرستها، ولهذا يليق هذا الأسلوب بالحقول القليلة التي تستحقه — نصوص الرسائل، المستندات المرفوعة، رموز أطراف ثالثة — لا بكل شيء. ونهاية هذا الطريق هو التشفير من طرف إلى طرف: المفتاح ملك للمستخدم، والخادم لا يحمل نصا صريحا أبدا، ومضيف معادٍ لا يحصل على شيء لأنه لا يوجد فيه شيء ليُؤخذ. هذه هي البنية الوحيدة في هذه الصفحة غير المبالية فعليا بمن يشغّل العتاد، وهي قرار متعلق بالمنتج قبل أن يكون قرارا متعلقا بالبنية التحتية.

النسخ الاحتياطي قرار منفصل، لا نتيجة تلقائية

أكثر طريقة شائعة تغادر بها البيانات جهازا مشفّرا هي النسخ الاحتياطي. لقطة تُرفع إلى تخزين الكائنات، تفريغ لقاعدة بيانات يُزامن مع مزوّد ثانٍ، أرشيف يُنزَّل إلى محطة عمل — لا شيء من هذه النسخ يرث أي شيء من وحدة التخزين التي جاء منها. شفّر البيانات لحظة كتابتها في النسخة الاحتياطية، بمفتاح محفوظ في مكان لا يستطيع الجهاز نفسه بلوغه، حتى لا يستطيع خادم مُخترق فك تشفير تاريخه الخاص. ثم استعِد نسخة، على جهاز مختلف، قبل أن تحتاج إلى ذلك فعلا: نسخة احتياطية مشفّرة لا يمكنك فتحها هي طريقة مرتّبة بشكل غير معتاد لخسارة كل شيء دفعة واحدة. والنسخة الموجودة في بلد آخر هي أيضا نسخة خاضعة لمجموعة قواعد أخرى، أي أنها ولاية قضائية ثانية اخترتها من دون أن تنتبه.

تشفير الذاكرة، ولماذا الأرجح أنه غير متاح لديك

الحالة التي لا يشفّرها أحد لها مع ذلك حل على مستوى العتاد. امتدادات الحوسبة السرية — SEV-SNP من AMD، وTDX من Intel — تشفّر ذاكرة الجهاز الضيف وحالة سجلاته بمفتاح تحتفظ به معالجة أمان منفصلة لا hypervisor، بحيث يحصل مضيف يُفرّغ الذاكرة على نص مشفّر فقط. هذا حقيقي ومتاح فعليا. لكنه محدود أيضا: يتطلب SEV-SNP شرائح EPYC من الجيل الثالث أو أحدث، ويجب إعداد المضيف له عمدا، وعلى الضيف أن يُثبت حصوله عليه. لا يكاد أي خادم افتراضي عام الغرض يقدّمه، ولا أحد يقدّمه بصمت. افترض أنك لا تملكه ما لم يذكر المزوّد ذلك كتابة ويشرح لك كيفية التحقق من هذا الإثبات بنفسك.

إعداد صادق بشأن حدوده

لا شيء من هذا ينتهي عند لا داعي للمحاولة. بل ينتهي عند إعداد يمكنك ذكر حدوده بصوت عالٍ من دون تردد.

1. دوّن السيناريو الوحيد الذي تدافع ضده (5 دقائق). قرص متقاعد من الخدمة، جهاز يُضبط أثناء عمله، مضيف معادٍ، أمر قضائي، خرق بيانات يجب الإفصاح عنه. لكل منها إجابة مختلفة، والإعداد الذي يستهدفها جميعا لا يحقق أيا منها بشكل موثوق.
2. ضع التشفير في المكان الذي يوجد فيه مفتاحك (قرار). إذا احتفظ المزوّد بالمفتاح، فأنت قد اشتريت حماية من خروج قرص من المبنى ولا شيء غير ذلك. إذا أردت أكثر من هذا، فيجب فتح وحدة التخزين من داخل الجهاز الضيف، بواسطتك أنت، بشيء لا تراه المنصّة أبدا.
3. شفّر وحدة تخزين البيانات بدلا من root (إعداد). تشفير root يعني أن كل إعادة تشغيل تنتظرك. وجود وحدة تخزين مشفّرة منفصلة تضم دليل قاعدة البيانات والملفات المرفوعة والأسرار يتيح للجهاز العودة إلى العمل من تلقاء نفسه بينما يبقى الجزء الحساس مغلقا إلى أن تفتحه أنت. هذا هو التوافق الذي ينبغي لمعظم المنصّات الصغيرة تبنّيه، ولا يكاد أحد يدوّنه.
4. لا تترك أبدا ملف المفتاح على قسم الإقلاع غير المشفّر (قاعدة). إذا كان الجهاز يقلع تلقائيا من دون خادم مفاتيح ومن دون وحدة تحكم، فإن المفتاح موجود على القرص؛ ولا يوجد احتمال ثالث. هذه مقايضة جيدة حين يكون قرص مسروق فعلا هو نموذج التهديد الوحيد لديك، وخداع للذات في كل حالة أخرى.
5. شفّر النسخ الاحتياطية لحظة كتابتها، بمفتاح محفوظ في مكان آخر (إعداد). ثم استعِد إحداها على جهاز مختلف، في يوم لا يحترق فيه شيء.
6. اذكر ما الذي غطّيته، في جملة واحدة (5 دقائق). شيء قريب من: مهاجم ينزع هذا القرص من الرف لا يحصل على شيء، وأي شخص يملك صلاحيات root على الجهاز قيد التشغيل أو على مضيفه يحصل على كل شيء. إذا كانت هذه الجملة محرجة الكتابة، فذلك لأنها صحيحة.

اثنان من هذه الستة قرارات، وأربعة إعدادات. القرارات تستغرق بعد ظهر يوم كامل، والإعدادات تستغرق ساعة، ولا قيمة لتلك الساعة من دون ذلك البعد ظهر. فعلها بالترتيب المعاكس هو كيف ينتهي الأمر بالناس في الصف الثالث من الجدول الأول، بجهاز يجتاز التدقيق ولا يحمي أحدا.

معرفة السيناريو الذي تدافع ضده سؤال يخص نمذجة التهديدات قبل أن يخص التشفير، ونسخة الساعة الواحدة من ذلك التمرين تنتج الجملة المطلوبة في الخطوة السادسة كأثر جانبي تقريبا. وإذا تبيّن أن الجواب أمر قضائي لا قرص مسروق، فإن الطبقة التي تحسم النتيجة ليست على قرصك إطلاقا — بل هي قانون من يبلغ مزوّدك، وكيفية التحقق من ذلك قبل أن تثق به.

مكتوب بأيدي المهندسين الذين يشغلون المنصة، وأعيدت مراجعته اليوم. إذا كان هناك خطأ في شيء هنا أو أصبح قديما، يمكن الإبلاغ عن ذلك من لوحة العميل — ومن هناك جاء نحو نصف هذه المحتويات.