Saphan

الأمن — مبني لوكلاء لا يمكنك الوثوق بهم تمامًا.

السؤال الأمني المفيد عن أسطول وكلاء ليس «هل النموذج آمن» — بل: ما الذي يمكن الوصول إليه من حيث يعمل الوكيل، ومن يستطيع إثبات ما حدث بعد ذلك. Saphan Studio مبني حول هذا السؤال.

الوضعية الأمنية

نموذج التهديد، بصراحة

تختلف أساطيل الوكلاء عن التكامل المستمر (CI) في ثلاثة أوجه: التعليمات غير معروفة سلفًا، والوكيل قابل للإقناع بأي نص يقرؤه، وهو مثابر بكل «حسن نية» على الالتفاف حول العقبات. لذا يجب معاملة الوكيل بوصفه غير موثوق حتى عندما لا يكون خبيثًا — فلا مورّد يستطيع أن يعدك بنموذج غير قابل للإقناع، لأن حقن التعليمات خاصية في طريقة عمل هذه الأنظمة، لا خللًا ينتظر رقعة.

هوية بلا رمز انضمام

تنضم الآلة إلى الأسطول بفعل صريح من المالك — لا توجد نقطة تسجيل ولا رمز انضمام يمكن أن يتسرب. تُسَكّ المفاتيح على الآلة ولا تغادرها أبدًا. ومستوى التحكم يتصل نحو الخارج فقط: المشغِّل لا يحمل أي بيانات اعتماد إليه ولا يفتح أي منفذ وارد — والخدمات التي تستضيفها تعيش على بنيتك التحتية أنت، حيث يراقب فريق العمليات لديك أصلًا.

محصور، أو مرفوض

كل عملية تشغيل محصورة على مستوى نظام التشغيل، والكتابة مرفوضة افتراضيًا — والسجل يسمي ما الذي فرض الحصر فعلًا، لا ما طُلب، فيكون الادعاء ادعاءً يستطيع فريقك أنت إعادة إنتاجه. والآلة التي لا تستطيع إثبات قدرتها على حصر عملية تشغيل لا تحصل على تلك العملية: رفضٌ، لا تدهور صامت أبدًا.

الخروج الشبكي: سياسة مسماة، أو لا شيء

لا تصل عملية التشغيل إلى الشبكة إلا عبر بابها الخاص، والباب لا يقبل اتصالًا إلا حين تسمح سياسة مسماة بذلك المضيف على ذلك المنفذ — «هذا المضيف، أي منفذ» لا يمكن حتى كتابتها، لأن آلة تثق بها على منفذ واحد ليست آلة تثق بها على كل منفذ. ورفض الكل هو الأرضية التي لا تستطيع أي سياسة إزالتها؛ وسياسة المقعد يمكنها تضييق سياسة آلته، لا توسيعها أبدًا. لا يوجد وضع «سجِّل واسمح»، ولا طبقة سماح افتراضي، ولا راية تُطلق التشغيل على أي حال.

لا يستطيع ضابط الخروج قراءة محتوى الطلب

باب الخروج لا يُنهي TLS ولا يحلل HTTP؛ فلا يملك شهادة اعتراض أو مفتاحًا خاصًا، ولذلك لا يستطيع إدراج جسم الطلب أو مسار URL في سجل التدقيق. ولا يسجل إلا الحكم الشبكي: المضيف والمنفذ والقرار والسبب والسياسة التي فصلت.

تبقى قيم الأسرار خارج السجل وظرف الإرسال

تحمل أنواع التهيئة والإرسال والتدقيق والتكلفة أسماء الأسرار ومراجعها فقط، لا قيمها، فلا يكشفها التسجيل الاعتيادي. ويعطل التنفيذ البعيد تمرير البيئة. قد تستخدم العملية المالكة للاعتماد السر عند الحاجة إلى المصادقة، لكن القيمة لا تُنسخ إلى السجل التشغيلي أو الأدلة أو بيانات التكلفة أو ظرف التنفيذ البعيد.

يبقى git ملكك

يظل git نظام السجل لشيفرتك، والمحرك لا يكتب فيه أبدًا. إنما يرصد الإيداعات والفروع وعمليات الدمج عبر حدٍّ للقراءة فقط — مفروض على نحو متطابق في الإنتاج وتحت الاختبار. والدمج فعل بشري في أدواتك أنت، ويبقى كذلك.

حدود موثَّقة

الوثيقة الأمنية التي لا تذكر أي حدود تسويقٌ. وثيقتنا تحمل قسمًا للحدود — ما الذي لا يحمي النظام منه، مذكورًا بوضوح، ومُبقًى محدَّثًا مع حركة النظام.

نشاركها في العناية الواجبة، ونفضّل أن تقرأها قبل أن تشتري على أن تكتشفها بعد ذلك.