يربط نموذج التهديد الجيد خطرًا محددًا بإجراء يمكن اختباره، لا بأطول قائمة من الميزات.
نمذجة التهديدات في تطبيق المراسلة تعني تحديد المعلومات المهمة لك، ومن قد يتمكن من الوصول إليها، والإجراءات المناسبة للمخاطر وظروفك. فالتهديد الذي تواجهه أسرة أو صحفي أو موظف يستخدم هاتفًا تابعًا للعمل ليس بالضرورة واحدًا. يقدم هذا الدليل إطارًا بسيطًا لكتابة خطتك الشخصية، لا ترتيبًا نهائيًا لتطبيقات المراسلة.
النقاط الأساسية
- نموذج التهديد ثلاث أو أربع جمل، لا منتج تشتريه. اكتب ما الذي تريد حمايته، وممّن، وكم من الجهد تستطيع بذله؛ من دون هذه الجمل، يصبح اختيار تطبيق المراسلة مجرد تجميع لقائمة ميزات.
- لمحادثتك أربع حلقات: جهازك، والشبكة، وخادم تطبيق المراسلة، وجهاز الطرف الآخر. هذه المستويات الأربعة نقطة بداية؛ افحص النسخ الاحتياطية والحسابات والخدمات المرتبطة كلًّا على حدة أيضًا.
- يحمي التشفير من طرف إلى طرف المحتوى من الوسطاء؛ وتظل سلامة الجهاز والمفاتيح والنسخ الاحتياطية وسلوك المتلقي مهمة.
- قيّم التهديد بحسب ظروفك: الوصول المادي، ومعاينات الإشعارات، والتصيد، والنسخ الاحتياطية، والأجهزة المرتبطة أمثلة تستحق الفحص، وليست ترتيبًا إحصائيًا.
- البيانات الوصفية منفصلة عن النص. قد يبقى معلومًا مع من تحدثت ومتى، حتى لو كان النص مشفّرًا بالكامل، ولذلك عليك اتخاذ قرار منفصل بشأن هذه البيانات.
ما نموذج التهديد، ولماذا يهم عند اختيار تطبيق مراسلة؟
نموذج التهديد وصف قصير يوضح «ما الذي تريد حمايته، وممّن، وبأي قدر من الجهد». ما لم تتضح هذه الأجزاء الثلاثة، فلن تنتج مقارنة تطبيقات المراسلة إلا قائمة أطول من الميزات، ولن تعرف أيّها يفيدك فعلًا.
تشرح مؤسسة الحدود الإلكترونية (EFF) الفكرة نفسها في دليلها Security Planning (Threat Modeling): محاولة الحماية من جميع التهديدات الممكنة في كل لحظة تؤدي إلى الإحباط، لأن الأمن عملية مستمرة، لا عملية شراء. وللفرق التقنية، يقدّم مشروع نمذجة التهديدات لدى OWASP إطارًا مشابهًا، وتضم مكتبة نماذج التهديد في دليل مطوري OWASP أمثلة كثيرة يمكن الاسترشاد بها.
ملاحظة عملية: نموذج التهديد ليس وثيقة ثابتة. قد يتغير تمامًا مع تغيير الوظيفة، أو السفر للعمل، أو إضافة شخص إلى مجموعة العائلة. أعد كتابة تلك الجمل الأربع كلما تغيرت الظروف على هذا النحو.
من يقرأ رسائلي؟ قسّم السلسلة إلى أربع حلقات
الإجابة المختصرة: تمر كل رسالة بأربع حلقات — جهازك، والشبكة، وخادم تطبيق المراسلة، وجهاز مخاطبك — وقد تتيح النسخ أو الحسابات المرتبطة مسارات أخرى للوصول. لذلك ليس السؤال المناسب «أي تطبيق مراسلة أكثر أمانًا؟»، بل «أي حلقة أضعف في ظروفي؟».
الحلقة الأولى: جهازك
كل ما يظهر على شاشة هاتفك قد فُكّ تشفيره ليُعرض. إذا كان الهاتف غير مقفل، أو كانت معاينة الإشعارات مفعّلة على شاشة القفل، أو كان شخص يعرف رمزك المكوّن من أربعة أرقام، فلن يمنع تشفير مسار الرسالة قراءة المحتوى المتاح على ذلك الجهاز نفسه.
الحلقة الثانية: الشبكة
قد يرى مراقب الشبكة وجهة الاتصال وتوقيته وحجم حركة البيانات؛ ولا ترى خدمة DNS بالضرورة المسار كله أو جميع حزم الرسائل. عند استخدام التشفير من طرف إلى طرف، تكون البيانات التي يراها المراقب مشفّرة، لا نص الرسالة؛ لكن حدوث التبادل وحجمه لا يختفيان عادةً.
الحلقة الثالثة: خادم تطبيق المراسلة
الخادم هو نقطة مزامنة الأجهزة. مع التشفير من طرف إلى طرف، لا يقرأ الخادم النص، لكنه يظل قادرًا على رؤية بيانات التوجيه الوصفية والاحتفاظ بها. هنا يتضح الفرق بين «مشفّر» و«خاص».
الحلقة الرابعة: جهاز الطرف الآخر
الحلقة الأخيرة خارج سيطرتك. يستطيع المتلقي التقاط لقطة شاشة، أو إعادة توجيه الرسالة، وقد يكون هاتفه مصابًا ببرمجية خبيثة. يترك التشفير من طرف إلى طرف هذه الحلقة معتمدة على «الثقة بالمتلقي»، ولا يتجاوز ذلك.
الخلاصة: يحدّ التشفير من طرف إلى طرف نطاق الوصول إلى المحتوى، لكن الأجهزة وإدارة المفاتيح والمتلقين المصرّح لهم يظلون جزءًا من نموذج التهديد.
ما التهديدات التي ينبغي فحصها في ظروفك؟
الهاتف غير المقفل، والوصول إلى الحساب، ومعاينات الإشعارات، والنسخ الاحتياطية أمثلة يمكن فحصها. وقد تكون البرمجيات الخبيثة المتقدمة أو الإكراه الجسدي مهمة أيضًا لمن يتعرض لاستهداف احترافي؛ لا تقلل من الخطر من دون معرفة الظروف.
النسخ الاحتياطي مسار منفصل للوصول. إذا احتفظ تطبيق المراسلة بنسخة احتياطية في السحابة ولم تكن تلك النسخة مشفّرة من طرف إلى طرف، فإن التشفير على الهاتف لا يمتد إلى حمايتها من طرف إلى طرف؛ كأنك أغلقت الباب الصحيح وتركت المفتاح بجانبه. يساعد دليل النسخ الاحتياطي الآمن للمحادثات المشفّرة على فحص هذا المسار.
التهديد الثاني هو الأشخاص القريبون: زميل العمل، أو شريك السكن، أو من يستعير الهاتف «للحظة واحدة». والتهديد الثالث هو حساب تسجيل الدخول؛ فإذا كان الدخول عبر البريد الإلكتروني وكانت حماية ذلك البريد ضعيفة، فقد تُفتح السلسلة كلها من أضعف حلقاتها. لا يعالج تشفير أقوى أيًّا من هذه المشكلات وحده.
حماية المحادثة من الاختراق: ما الهجمات التي تحدث فعلًا؟
الإجابة المختصرة: الهجمات الشائعة على المحادثات ليست كسر رياضيات التشفير، بل التصيد، والبرمجيات الخبيثة، وسرقة رمز تسجيل الدخول، ومهاجمة الجهاز نفسه. يبحث المهاجم عمليًا عن المفتاح بدلًا من كسر القفل.
لهذا، لا تقل طريقة تسجيل الدخول إلى الحساب أهمية عن طول المفتاح. يستخدم Livara بروتوكول SRP للمصادقة، لإثبات معرفة كلمة المرور دون كشفها: يثبت جهازك معرفته بكلمة المرور من دون إرسال كلمة المرور نفسها عبر الشبكة. والنتيجة العملية أن تسجيل حركة بيانات الدخول لا يكشف كلمة المرور. لكن يجب توضيح الحدّ أيضًا: لا يمنع SRP صفحة مزيفة يكتب المستخدم كلمة مروره فيها بنفسه؛ فالمشكلة عندئذ ليست في الرياضيات، بل في انتباه المستخدم.
سطح الهجوم الثاني هو التطبيق نفسه. يمكن لنسخة معدّلة من ملف APK تجاوز وسائل حماية التشفير. ينشر Livara المجموع الاختباري SHA-256 لكل إصدار كي تتمكن من مقارنة الملف الذي نزّلته بمرجع موثوق؛ ويجري مختبر الإثبات هذه المقارنة في المتصفح. وإذا أردت معرفة ما ينبغي سؤاله عن أي تطبيق مراسلة آخر، فقائمة الأسئلة التي ينبغي طرحها قبل اختيار تطبيق مراسلة آمن نقطة بداية مفيدة.
ما الذي يغطيه التشفير من طرف إلى طرف، وما الذي لا يغطيه؟
الإجابة المختصرة: يحمي التشفير من طرف إلى طرف محتوى الرسالة من جهازك إلى جهاز مخاطبك، بحيث لا يرى الخادم إلا بيانات مشفّرة؛ لكن اسم هذه الميزة لا يكفي لاستنتاج كيفية حماية جميع البيانات الوصفية أو النسخ الاحتياطية أو لقطات الشاشة أو القنوات العامة. كل منها يحتاج إلى ضوابط منفصلة.
عند تقييم منتج بعينه، اقرأ جدول نطاق حماية الميزات بدلًا من الاستنتاج من اسم الخوارزمية. تشرح صفحة أمان Livara ونموذج تهديده المحادثات والقنوات والمكالمات والبيانات الوصفية والاسترداد. هذه ادعاءات منشورة من الجهة المطوّرة، ولا تحل محل الاختبار المستقل. افحص خصوصًا حالة تسجيل المكالمات والفرق بين استرداد الهوية واستعادة سجل المحادثات كلًّا على حدة.
ما الذي تكشفه البيانات الوصفية حتى عندما يكون النص مشفّرًا؟
الإجابة المختصرة: تخبر البيانات الوصفية من تحدث مع من، ومتى، وبأي حجم من البيانات — ولا تزول هذه المعلومات بتشفير النص.
يحتفظ Livara ببيانات التوجيه الوصفية المعتادة — المرسل والوجهة ووقت التسليم — لمزامنة الأجهزة بسلاسة. هذا حدّ صريح، لا تفصيل يمكن تجاهله. حتى من دون قراءة النص، قد يكون مخطط «من يتحدث مع من» حساسًا: طبيب ومريض، أو محامٍ وموكله، أو طرفا مفاوضات عمل. يرد شرح أوسع في دليل ما تكشفه البيانات الوصفية للمراسلة.
إذا كان نموذج تهديدك يشمل «من يستطيع رؤية نمط اتصالاتي»، فلن يجيب تطبيق مراسلة مشفّر من طرف إلى طرف وحده عن هذا الجانب؛ عليك التفكير أيضًا في الأشخاص الذين تتحدث معهم والأماكن التي تتواصل منها.
اكتب نموذج تهديدك في خمس دقائق
الإجابة المختصرة: أجب عن أربعة أسئلة — ممّن أخشى، وماذا يريد هذا الشخص، وما قدراته، وماذا يحدث إذا انكشفت الرسالة — ثم اختر الإجراء الفعال الأقل كلفة، لا العكس.
- من مصدر التهديد؟ سمّه: زميل عمل، أو شريك سابق، أو سارق، أو شركة، أو حكومة.
- ما الذي يستحق الحماية؟ نص المحادثة، أو الملفات، أو نمط التواصل نفسه.
- ما قدرات ذلك الطرف؟ وصول مادي إلى الهاتف؟ وصول إلى الحساب؟ موارد واسعة؟
- ماذا يحدث إذا انكشفت المعلومات؟ ضرر بالسمعة، أو الوظيفة، أو السلامة الجسدية، أم مجرد إحراج؟
- اختر، بناءً على هذه الإجابات، الإجراء الفعال الأقل كلفة.
إذا كان مصدر تهديدك مراقبًا على شبكة Wi-Fi نفسها، فاتصال TLS سليم والتشفير من طرف إلى طرف مع المصادقة أمران مهمان؛ أما الوصول المادي فيجعل قفل الجهاز أولوية من نوع آخر. يوضح دليل التحقق من محادثة باستخدام أرقام الأمان كيفية إجراء التحقق. وإذا أردت معرفة من يستطيع رؤية ماذا في تطبيق محدد، فإن نموذج التهديد المنشور لدى Livara يشرح ذلك من دون شعارات.
مثال قصير لنموذج تهديد
«ملفات العمل على هاتفي حساسة. الخطر الرئيسي الحالي هو وصول زميل إلى الهاتف وهو مفتوح، وإلى النسخ المحفوظة في المعرض. سأقصّر هذا الأسبوع مهلة القفل التلقائي، وأحدّ من معاينة الإشعارات، وأفحص مجلدات النسخ الاحتياطي. ثم أختبر النتيجة باستخدام ملف تجريبي».
هذا مثال فقط؛ إذا كان شخص متحكّم يستطيع الوصول إلى جهازك، فقد تلفت التغييرات المفاجئة في الإعدادات انتباهه. خطّط باستخدام جهاز آمن وبمساعدة شخص موثوق، واجعل سلامتك الجسدية الأولوية.
الأسئلة الشائعة
كيف أعرّف «نموذج التهديد» في جملة واحدة؟
هو أن تحدد ما الذي تريد حمايته، وممّن، وبأي قدر من الجهد. تحدد هذه الجملة أي ميزة أمنية تستحق كلفتها، وأيّها يضيف تعقيدًا فقط.
إذا كنت أستخدم التشفير من طرف إلى طرف، فهل عليّ القلق من الاختراق أيضًا؟
نعم، لكن ليس بالطريقة التي قد تتصورها: بدلًا من كسر القفل، يستهدف المهاجم الجهاز والتصيد ورمز الدخول. لذا فالسؤال المناسب هو: هل هاتفي مقفل؟ هل نسختي الاحتياطية السحابية مشفّرة؟ هل حساب بريدي الإلكتروني محمي؟
هل القنوات العامة مشفّرة من طرف إلى طرف أيضًا؟
لا؛ فالقناة مساحة بث عامة يمكن قراءة محتواها، بما يتيح معالجة البلاغات وإزالة المحتوى المسيء. وفقًا لوثائق Livara، تكون المحادثة المباشرة والمجموعة الخاصة المتوافقة، مع تفعيل حالة E2EE، مشفّرتين من طرف إلى طرف؛ وقد تبقى مجموعة قديمة غير متوافقة خارج E2EE بصورة ظاهرة. افحص حالة المحادثة المعنية. وتظل إدارة عضوية المجموعة بيد الخادم.
كيف أعرف أن نسخة أندرويد التي ثبّتها لم تُعدّل؟
قارن بصمة ملف APK الذي نزّلته بالمجموع الاختباري للإصدار نفسه من مصدر موثوق؛ صُمّم مختبر الإثبات لفحص الملف في المتصفح. لا يثبت تطابق البصمة إلا مساواة الملف للمرجع؛ فإذا استبدل المهاجم الملف والبصمة المرجعية معًا، فلن يكون التطابق كافيًا. تستطيع نسخة APK معدّلة تجاوز التشفير، لذا لا يقل التحقق من سلامة التطبيق أهمية عن التشفير نفسه.
