مساحة إِرا

مساحة صغيرة في شابكة عالمية

نموذج التهديد للعتاد المحرَّر من القيود

١٥ كانون الأول، ٢٠٢٥

مُلاحظة: يُشير ذكر جهاز ثِنك‌پاد إكس٢٠٠ في المقالة إلى أي جهاز متوافق مع جنوبوت


إن نموذج التهديد الخاص بالأنظمة الحرة الخالصة لَيَتصدى لمعضلة جوهرية تضرب عنها جُلُّ نظم التشغيل الموسومة ب‍«الآمنة» صفحًا، ألا وهي: طبقات العتاد، والبرمجيات الثابتة (Firmware). فبينما تروم توزيعات مثل Tails أو نظم جنو/لينكس القياسية تحصين نظام التشغيل، فإنها غالبًا ما تركن إلى افتراض مفاده أن العتاد الكامن في القاع يحترم حرية المستخدم. وياللأسف، فإن هذا الإفتراض في غالب منصات إكس٨٦ الحديثة محضُ وهمٍ يُجافي الواقع.


تعمل البرمجيات الثابتة المحتكرة بمثابة أغلالٍ تقنية تُكبل الآلة، حائلة دون تعديل المستخدم للبرمجيات التي تسري في أعماق النظام. وناهيك عن ذلك، فإن هذه الأجهزة غالبًا ما تنطوي على حالات مستمرة ومنافذ خلفية خبيثة قادرة على تقويض حرية المستخدم وخصوصيته، بصرف النظر عن نظام التشغيل المُنصَّب. ومن شواهد هذه الإنتهاكات:



ولهذه العلل، يغدو العتاد القياسي قاصرًا عن بلوغ مآرب المستخدمين المنشودة من حرية البرمجيات وأمنها. وهنا يشمخ حاسب ثِنك‌پاد إكس٢٠٠ كمنصةٍ فريدةٍ تُتيح الانعتاق من هذه الأغلال الاحتكارية، ولاسيما عبر مشروع جنوبوت (GNUBoot).


١. سلسلة الثقة (وما يعتريها من ريب)


لدى الشروع في نظام يصون حرية المستخدم، لزم علينا تمحيص المكونات التي تُكرهنا على الرضوخ لبرمجيات غير حرة. والغاية هي تقليص الاعتماد على الكيانات الاحتكارية المعتمة أو استئصالها كليًا.



٢.البرمجيات الثابتة للنظام (جنوبوت)

تُمثل أنظمة BIOS/UEFI الاحتكارية القابعة في معظم اللوحات الأم كابوسًا يؤرق الأمن، وانتهاكًا صارخًا لحرية البرمجيات. فهو قاعدة برمجية ضخمة، مغلقة المصدر، تستند غالبًا إلى EDK2 المشهود له بكثرة الثغرات.


يكمن الحل الناجع في استبدال BIOS الأصلي بنظام جنوبوت، وهو توزيعة حرة خالصة من مشروع Coreboot، تستأصل شأفة الكتل الثنائية كافة، ضامنةً أن الرماز الذي يستهل تشغيل العتاد هو برمجيات حرة بنسبة ١٠٠%. وفي جهاز ثِنك‌پاد إكس٢٠٠، يستقر جنوبوت في ذاكرة وميضية. وبخلاف الإقلاع الآمن في UEFI الذي يغلّ المستخدم بمفاتيح ارتضتها مَيكرُسٌفت، يُخول جنوبوت المستخدم امتلاك زمام المنصة. تُحفظ الحولة (وغالبًا ما تكون GRUB) في الذاكرة فقط، مما يُرسي دعائم بيئة إقلاع موثوقة.


فور تنصيب جنوبوت، يُمكن قصر دبابيس الحماية من الكتابة ماديًا على شريحة SPI في جهاز إكس٢٠٠، ويقف هذا الإجراء سدًا منيعًا أمام الهجمات البرمجية (كالجذور الخفية) التي تروم العبث ببرمجيات الإقلاع الثابتة.


٣. نظم الملفات والتعمية


لِصَون البيانات الساكنة، تُعد تعمية القرص كاملًا باستخدام LUKS أمرًا لا مناص منه. بيد أن البرمجيات المنوط بها فك التعمية يجب أن تكون موضع ثقة.


في الإعدادات القياسية المبدئية، يكون قسم /boot عاريًا من التعمية، ومشرعًا أمام هجمات «الخادمة الشريرة»، حيث يعمد المهاجم إلى تحريف النواة. كما أن النواة المستخدمة ينبغي أن تكون مُطهرَّة من كل ما هو احتكاري، كتلك التي توفرها التوزيعات المعتمدة من مؤسسة البرمجيات الحرة مثل Trisquel وHyperbola وParabola. إذ تنطوي النواة القياسية على كتل ثنائية غير حرة تعمل على المعالج أو الطرفيات، مما يخلق مساحات هجوم مُعتمة.


٤. البرمجيات الثابتة للطرفيات والكتل الصماء



٥. التهديد الكامن في محرك إدارة إنتل


يُعد محرك إدارة إنتل التهديد الأعظم لحرية المستخدم في الحوسبة المعاصرة. إنه معالج مستقل يظل يقظًا حتى حين إغلاق الحاسوب. وفي الأنظمة الحديثة، يستحيل استئصاله دون إحالة الجهاز إلى قطعة خردة هامدة. يتيح جهاز إكس٢٠٠ الاستئصال التام لبرمجيات محرك الإدارة من شريحة الذاكرة (أو تقليصها لتبقى مجرد جذوة خامدة لا حراك لها) عند تنصيب جنوبوت، وهذا يعيد السيادة على العتاد من قبضة إنتل إلى يد المستخدم.


٦. نموذج التهديد


مآرب الخصم



قدرات الخصم



الموازنات بين الحرية والرفاهية



٧. التدابير المضادة


يمكن تصليب العتادة وتحصينه عبر حمايته من الكتابة، حي تُعدَّل اللوحة الأم لحاسب إكس٢٠٠ يدويًا لتأريض دبابيس الحماية من الكتابة في شريحة SPI flash، وهذا يجعل العبث بالبرمجيات الثابتة عن بعد ضربًا من المحال. كما ويمكن اقتلاع الميكرفونات، والكَمِرات، ووحدات بلوتوث، وغيرها ماديًا إن كانت تتطلب برمجيات غير حرة أو تمثل ثغرة في جدار الخصوصية.


يمكن ضمان الحرية البرمجية عبر استعمال إحدى توزيعات GNU Linux-libre الحرة، حيث تلتزم هذه التوزيعات بإرشادات توزيع النظام الحر الصادرة عن مؤسسة البرمجيات الحرة، وهذا يضمن عدم تسلل أي برمجيات محتكرة إلى النظام.


٨. مُعضلة الرماز الدقيق وثغرات Spectre


في عام ٢٠١٨، أماطت ثغرات Meltdown وSpectre اللثام عن مثالب بنيوية في التنفيذ التوقعي الذي تعتمده جل المعالجات الحديثة. فكان رد الصُّناع ترقيع هذه الفتوق عبر رماز دقيق للمعالج، وهو كتلة ثنائية صماء ومحتكرة تُحقن في المعالج عند الإقلاع.


وقد قالت منظمة البرمجيات الحرة بأن تحديثات الرماز الدقيق هي برمجيات احتكارية، ولا سبيل لدراستها أو إعادة توزيعها، وعليه فإن النظام الحر الضرِّف يأنف من تطبيق تلك التحديثات. ولأن نشغِّل عتادًا به عيوب معلومة ولكنه خاضع لسيطرتنا، خيرٌ وأبقى من تشغيل عتاد يرهن عمله «السليم» بتيار مُعمَّى ومحتكر من البرمجيات القادمة من إنتل.


المراجع