نظام موثوق

في تخصص هندسة الأمن ضمن علوم الحاسوب ، يُعرَّف النظام الموثوق بأنه النظام الذي يُعتمد عليه إلى حدٍّ معين لتطبيق سياسة أمنية محددة . وهذا يُعادل القول بأن النظام الموثوق هو النظام الذي يُؤدي تعطلُه إلى الإخلال بسياسة أمنية (إذا وُجدت سياسة يُعتمد على النظام في تطبيقها).

كلمة "الثقة" بالغة الأهمية، إذ لا تحمل المعنى المتوقع في الاستخدام اليومي. النظام الموثوق هو النظام الذي يشعر المستخدم بالأمان عند استخدامه، ويثق بقدرته على أداء المهام دون تشغيل برامج ضارة أو غير مصرح بها سرًا؛ أما الحوسبة الموثوقة فتشير إلى ما إذا كانت البرامج تثق في أن النظام الأساسي لن يُجرى عليه أي تعديل عن المتوقع، وما إذا كانت هذه البرامج بريئة أم خبيثة ، أو ما إذا كانت تُنفذ مهامًا غير مرغوب فيها من قِبل المستخدم.

يمكن النظر إلى النظام الموثوق به أيضًا على أنه نظام أمني قائم على مستويات، حيث تُوفّر الحماية وتُدار وفقًا لمستويات مختلفة. ويشيع هذا في المجال العسكري، حيث تُصنّف المعلومات إلى غير مصنفة (U)، وسرية (C)، وسرية للغاية (S)، وسرية للغاية جدًا (TS)، وما فوق ذلك. كما تُطبّق هذه الأنظمة سياسات تمنع الاطلاع على المعلومات أو كتابتها.

تُطبّق مجموعة فرعية من الأنظمة الموثوقة ("القسم ب" و"القسم أ") علامات التحكم الإلزامي في الوصول (MAC)، ولذلك يُفترض غالبًا إمكانية استخدامها لمعالجة المعلومات السرية . إلا أن هذا غير صحيح عمومًا. توجد أربعة أنماط لتشغيل نظام آمن متعدد المستويات: متعدد المستويات، ومجزأ، ومخصص، ونمط النظام العالي. وينص "الكتاب الأصفر" الصادر عن المركز الوطني لأمن الحاسوب على أنه لا يُمكن استخدام أنظمة B3 وA1 إلا لمعالجة مجموعة فرعية محددة من علامات الأمان، وفقط عند تشغيلها وفقًا لتكوين صارم للغاية.

يُعد مفهوم " المراقب المرجعي " جوهريًا في مفهوم الأنظمة الموثوقة على غرار وزارة الدفاع الأمريكية ، وهو كيان يشغل مركز النظام المنطقي ويتولى مسؤولية جميع قرارات التحكم في الوصول. ومن الناحية المثالية، يكون المراقب المرجعي

• مقاوم للعبث
• استدعاء دائم
• صغيرة بما يكفي لتخضع لاختبارات مستقلة، ويمكن ضمان اكتمالها.

وفقًا لمعايير تقييم أنظمة الكمبيوتر الموثوقة لعام 1983 الصادرة عن وكالة الأمن القومي الأمريكية (TCSEC)، أو "الكتاب البرتقالي"، تم تحديد مجموعة من "فئات التقييم" التي تصف الميزات والضمانات التي يمكن للمستخدم أن يتوقعها من نظام موثوق.

يُعدّ تكريس جهود هندسية كبيرة في مجال الأنظمة لتقليل تعقيد قاعدة الحوسبة الموثوقة (TCB) (وليس حجمها ، كما يُشاع غالبًا) أمرًا أساسيًا لتوفير أعلى مستويات الأمان (B3 وA1). تُعرَّف قاعدة الحوسبة الموثوقة بأنها مزيج من الأجهزة والبرامج الثابتة والبرامج التي تُعنى بتطبيق سياسة أمان النظام. ويبدو أن تعارضًا هندسيًا جوهريًا ينشأ في الأنظمة ذات الأمان العالي، فكلما صغرت قاعدة الحوسبة الموثوقة، كبرت مجموعة الأجهزة والبرامج الثابتة والبرامج التي تقع خارجها، وبالتالي فهي غير موثوقة. ورغم أن هذا قد يدفع غير المتخصصين تقنيًا إلى تبني حجج المغالطين حول طبيعة الثقة، إلا أن هذه الحجة تخلط بين مفهومي "الصحة" و"الجدارة بالثقة".

يتميز نظام TCSEC بتسلسل هرمي دقيق من ست فئات تقييم؛ أعلى هذه الفئات، A1، تتطابق تمامًا مع B3 من حيث الخصائص ، ولا يختلفان إلا في معايير التوثيق. في المقابل، توفر المعايير المشتركة (CC)، التي طُرحت مؤخرًا والمستمدة من مزيج من المعايير التقنية الناضجة من دول الناتو المختلفة ، نطاقًا غير واضح من سبع "فئات تقييم" تمزج بين الخصائص والضمانات بطريقة غير هرمية، وتفتقر إلى الدقة والصرامة الرياضية التي يتميز بها نظام TCSEC. على وجه الخصوص، تسمح المعايير المشتركة بتحديد "هدف التقييم" (TOE) بشكل فضفاض للغاية، وتدعم - بل وتشجع - مزيجًا من متطلبات الأمان المستمدة من مجموعة متنوعة من "ملفات تعريف الحماية" المحددة مسبقًا. في حين أنه يمكن القول بأن حتى المكونات التي تبدو عشوائية في نظام TCSEC تساهم في "سلسلة من الأدلة" على أن النظام الميداني يطبق سياسته الأمنية المعلنة بشكل صحيح، إلا أنه حتى أعلى مستوى (E7) من المعايير المشتركة لا يمكنه توفير اتساق وصرامة مماثلة في الاستدلال القائم على الأدلة.

تستند المفاهيم الرياضية للأنظمة الموثوقة لحماية المعلومات السرية إلى مجموعتين مستقلتين لكنهما مترابطتان من الأعمال. ففي عام 1974، ابتكر ديفيد بيل وليونارد لابادولا من معهد MITRE، تحت الإشراف التقني والدعم المالي للرائد روجر شيل، الحاصل على درجة الدكتوراه، من قيادة الأنظمة الإلكترونية للجيش الأمريكي (فورت هانسكوم، ماساتشوستس)، نموذج بيل-لابادولا ، الذي يُنمذج فيه نظام الحاسوب الموثوق من حيث الكائنات (مستودعات أو وجهات بيانات سلبية مثل الملفات أو الأقراص أو الطابعات) والفاعلين (كيانات نشطة تُسبب تدفق المعلومات بين الكائنات ، مثل المستخدمين أو عمليات النظام أو الخيوط التي تعمل نيابةً عن المستخدمين). ويمكن اعتبار التشغيل الكامل لنظام الحاسوب بمثابة "تاريخ" (بالمعنى النظري للتسلسل) لتدفق المعلومات من كائن إلى آخر استجابةً لطلبات الفاعلين لهذا التدفق. وفي الوقت نفسه، كانت دوروثي دينينغ في جامعة بيردو تنشر أطروحة الدكتوراه الخاصة بها. تناولت أطروحة الدكتوراه "تدفقات المعلومات القائمة على الشبكات" في أنظمة الحاسوب. (الشبكة الرياضية هي مجموعة مرتبة جزئيًا ، يمكن وصفها بأنها رسم بياني موجه غير دوري ، حيث تكون العلاقة بين أي رأسين إما "مهيمنة" أو "مهيمن عليها" أو لا شيء منهما). عرّفت مفهومًا عامًا لـ"التصنيفات" المرفقة بالكيانات ، والتي تُشابه إلى حد كبير علامات الأمان الكاملة الموجودة على الوثائق العسكرية السرية، مثل "سري للغاية - معلومات استخباراتية - TK DUMBO". دمجت بيل ولابادولا مفهوم دينينغ في تقريرهما الفني الرائد الصادر عن MITRE بعنوان " نظام حاسوب آمن: عرض موحد وتفسير متعدد" . وذكرا أن التصنيفات المرفقة بالكائنات تُمثل حساسية البيانات الموجودة داخل الكائن، بينما تُمثل التصنيفات المرفقة بالمستخدمين مدى موثوقية المستخدم الذي يُنفذ هذا المستخدم. (مع ذلك، قد يكون هناك فرق دلالي دقيق بين حساسية البيانات داخل الكائن وحساسية الكائن نفسه).

تتوحد المفاهيم بخاصيتين: "خاصية الأمان البسيطة" (لا يمكن للمستخدم قراءة البيانات إلا من كائن يسيطر عليه [ وهذا تفسير قريب، وإن كان غير دقيق رياضيًا])، و"خاصية الحصر" أو "خاصية النجمة" (لا يمكن للمستخدم الكتابة إلا إلى كائن يسيطر عليه). (يُشار إلى هاتين الخاصيتين بشكل عام بـ"منع القراءة من الأعلى" و"منع الكتابة من الأسفل" على التوالي). يضمن تطبيق هاتين الخاصيتين معًا عدم تدفق المعلومات "من الأعلى إلى الأسفل" إلى مستودع قد يكتشفه متلقون غير موثوق بهم. وبناءً على ذلك، وبافتراض أن التصنيفات المخصصة للمستخدمين تعكس موثوقيتهم بدقة، فإن قواعد منع القراءة من الأعلى ومنع الكتابة من الأسفل، التي يطبقها مراقب المرجع بصرامة، كافية لتقييد أحصنة طروادة ، وهي إحدى أكثر فئات الهجمات عمومية ( على سبيل المثال ، الديدان والفيروسات الشائعة هي تخصصات لمفهوم حصان طروادة).

يُطبّق نموذج بيل-لابادولا تقنيًا ضوابط "السرية" أو "الخصوصية" فقط، أي أنه يُعالج مشكلة حساسية البيانات وما يترتب عليها من موثوقية في عدم إفشاء هذه البيانات بشكل غير لائق. أما مشكلة "النزاهة" المزدوجة (أي مشكلة دقة البيانات، أو حتى مصدرها) وما يترتب عليها من موثوقية في عدم تعديلها أو إتلافها بشكل غير لائق، فتُعالجها نماذج رياضية خطية؛ وأهمها نموذج يحمل اسم مُبتكره، كي جيه بيبا . ومن نماذج النزاهة الأخرى نموذج كلارك-ويلسون ونموذج شوكلي وشيل لنزاهة البرامج، "نموذج سي فيو" ^{[ 1 ].}

من أهم سمات قواعد التحكم في الوصول (MACs) أنها خارجة تمامًا عن سيطرة أي مستخدم. يقوم مُتحكم التحكم في الوصول (TCB) تلقائيًا بإضافة تصنيفات إلى أي كائنات تُنفذ نيابةً عن المستخدمين والملفات التي يصلون إليها أو يعدلونها. في المقابل، هناك فئة إضافية من عناصر التحكم، تُسمى عناصر التحكم في الوصول التقديرية (DACs)، تخضع للتحكم المباشر لمستخدمي النظام. ومن الأمثلة الشائعة على عناصر التحكم في الوصول التقديرية آليات الحماية المألوفة مثل بتات الأذونات (التي يدعمها نظام يونكس منذ أواخر الستينيات، وبصيغة أكثر مرونة وقوة من قِبل نظام مولتيكس منذ فترة أطول) وقوائم التحكم في الوصول (ACLs).

غالبًا ما يُوصف سلوك النظام الموثوق به باستخدام نموذج رياضي. وقد يكون هذا النموذج دقيقًا للغاية تبعًا للقيود التشغيلية والإدارية المطبقة. ويتخذ هذا النموذج شكل آلة ذات حالات محدودة (FSM) بمعايير الحالة، وقيود انتقال الحالة (مجموعة من "العمليات" التي تُقابل انتقالات الحالة)، ومواصفات وصفية عالية المستوى (DTLS) (تتضمن واجهة مستخدم مرئية مثل واجهة برمجة التطبيقات ، أو مجموعة من استدعاءات النظام في أنظمة يونكس ، أو مخارج النظام في الحواسيب المركزية ). ويُنتج كل عنصر مما سبق عملية نموذجية واحدة أو أكثر.

تقوم مجموعة الحوسبة الموثوقة بوضع مواصفات تهدف إلى تلبية متطلبات محددة للأنظمة الموثوقة، بما في ذلك إثبات التكوين والتخزين الآمن للمعلومات الحساسة.

في سياق الأمن القومي أو أمن الوطن ، وإنفاذ القانون ، أو سياسة الضبط الاجتماعي ، توفر الأنظمة الموثوقة تنبؤات مشروطة حول سلوك الأفراد أو الأشياء قبل السماح بالوصول إلى موارد النظام. ^{[ 2 ]} على سبيل المثال، تشمل الأنظمة الموثوقة استخدام "الأظرف الأمنية" في تطبيقات الأمن القومي ومكافحة الإرهاب، ومبادرات " الحوسبة الموثوقة " في أمن الأنظمة التقنية، وأنظمة تقييم الجدارة الائتمانية أو الهوية في التطبيقات المالية ومكافحة الاحتيال. وبشكل عام، تشمل أي نظام...

• يُستخدم تحليل التهديدات أو المخاطر الاحتمالية لتقييم "الثقة" لاتخاذ القرارات قبل السماح بالوصول أو لتخصيص الموارد لمواجهة التهديدات المحتملة (بما في ذلك استخدامها في تصميم قيود الأنظمة للتحكم في السلوك داخل النظام)؛ أو
• يُستخدم تحليل الانحراف أو مراقبة الأنظمة لضمان امتثال السلوك داخل الأنظمة للمعايير المتوقعة أو المصرح بها.

يُسهم التبني الواسع النطاق لاستراتيجيات الأمن القائمة على التفويض (حيث تكون الحالة الافتراضية هي DEFAULT=DENY) لأغراض مكافحة الإرهاب والاحتيال وغيرها في تسريع التحول الجاري للمجتمعات الحديثة من نموذج بيكاريان النظري للعدالة الجنائية القائم على المساءلة عن الأفعال المنحرفة بعد وقوعها ^{[ 3 ]} إلى نموذج فوكو القائم على التفويض والاستباق والامتثال الاجتماعي العام من خلال المراقبة الوقائية الشاملة والتحكم عبر قيود النظام. ^{[ 4 ]}

في هذا النموذج الناشئ، لا يُوجَّه مفهوم "الأمن" نحو العمل الشرطي، بل نحو إدارة المخاطر من خلال المراقبة وتبادل المعلومات والتدقيق والتواصل والتصنيف . وقد أدت هذه التطورات إلى مخاوف عامة بشأن خصوصية الأفراد وحرياتهم المدنية ، وإلى نقاش فلسفي أوسع حول منهجيات الحوكمة الاجتماعية المناسبة.

تعتمد الأنظمة الموثوقة في سياق نظرية المعلومات على التعريف التالي:

"الثقة هي ما هو ضروري لقناة الاتصال ولكن لا يمكن نقلها من المصدر إلى الوجهة باستخدام تلك القناة".

في نظرية المعلومات، لا علاقة للمعلومات بالمعرفة أو المعنى؛ إنها ببساطة ما يُنقل من المصدر إلى الوجهة عبر قناة اتصال. إذا كانت المعلومات متوفرة في الوجهة قبل الإرسال، فإن عملية النقل تكون معدومة. أما المعلومات التي يتلقاها طرف ما فهي تلك التي لم يتوقعها ، وذلك بناءً على مدى عدم يقينه بشأن ماهية الرسالة.

وبالمثل، فإن الثقة، كما عرّفها جيرك، لا علاقة لها بالصداقة أو المعارف أو علاقات العمل أو الولاء أو الخيانة أو غيرها من المفاهيم المتغيرة. ولا تُفهم الثقة هنا بمعنى ذاتي بحت، ولا كشعور أو أمر شخصي أو نفسي محض، بل تُفهم على أنها شيء قابل للتواصل. علاوة على ذلك، فإن هذا التعريف للثقة مجرد، مما يسمح لمختلف الأطراف والمراقبين في نظام موثوق بالتواصل بناءً على فكرة مشتركة عن الثقة (وإلا لكان التواصل معزولاً في مجالات محددة)، حيث يمكن أن تتعايش جميع تجليات الثقة الذاتية والتفاعلية المختلفة بالضرورة في كل نظام فرعي (الإنسان والآلات). ^{[ 6 ]}

في نموذج نظرية المعلومات، يُعرّف مفهوم "المعلومات بأنها ما لا تتوقعه" ومفهوم "الثقة بأنها ما تعرفه". وبربط هذين المفهومين، تُعتبر الثقة "اعتمادًا مشروطًا على المعلومات المُستلمة". وفيما يتعلق بالأنظمة الموثوقة، لا يمكن أن يستند تأكيد الثقة إلى السجل نفسه، بل إلى معلومات من قنوات معلومات أخرى. ^{[ 7 ]} ويؤدي التعمق في هذه المسائل إلى مفاهيم معقدة للثقة، دُرست باستفاضة في سياق العلاقات التجارية. ^{[ 8 ]} كما يؤدي إلى مفاهيم للمعلومات حيث تدمج "جودة" المعلومات الثقة أو الجدارة بالثقة في بنية المعلومات نفسها وفي نظام (أنظمة) المعلومات الذي تُصاغ فيه - فالجودة الأعلى، وفقًا لتعريفات محددة للدقة والضبط، تعني جدارة أعلى بالثقة. ^{[ 9 ]}

ومن الأمثلة على حسابات الثقة: "إذا قمت بربط نظامين موثوقين، فهل يصبحان أكثر أو أقل موثوقية عند جمعهما معًا؟". ^{[ 6 ]}

اقترحت مجموعة برمجيات IBM الفيدرالية [10] أن "نقاط الثقة" [ 5 ] ^{تُقدّم التعريف الأمثل للثقة في بيئة} تكنولوجيا المعلومات، لارتباطها بمفاهيم أخرى في نظرية المعلومات، ولأنها تُوفّر أساسًا لقياس الثقة. وفي بيئة خدمات مؤسسية تتمحور حول الشبكة، يُعتبر هذا المفهوم للثقة ^{[ 10 ]} ضروريًا لتحقيق الرؤية المرجوة لبنية الخدمات التعاونية.

• الدقة والضبط
• أمن الحاسوب
• جودة البيانات
• جودة المعلومات
• الحوسبة الموثوقة

• مشروع مجتمع المعلومات العالمي – مشروع بحثي مشترك