Saphan

الأمن — مبني لوكلاء لا يمكنك الوثوق بهم تمامًا.

السؤال الأمني المفيد عن أسطول وكلاء ليس «هل النموذج آمن» — بل: ما الذي يمكن الوصول إليه من حيث يعمل الوكيل، ومن يستطيع إثبات ما حدث بعد ذلك. Saphan Studio مبني حول هذا السؤال.

الوضعية الأمنية

نموذج التهديد، بصراحة

تختلف أساطيل الوكلاء عن التكامل المستمر (CI) في ثلاثة أوجه: التعليمات غير معروفة سلفًا، والوكيل قابل للإقناع بأي نص يقرؤه، وهو مثابر بكل «حسن نية» على الالتفاف حول العقبات. لذا يجب معاملة الوكيل بوصفه غير موثوق حتى عندما لا يكون خبيثًا — فلا مورّد يستطيع أن يعدك بنموذج غير قابل للإقناع، لأن حقن التعليمات خاصية في طريقة عمل هذه الأنظمة، لا خللًا ينتظر رقعة.

هوية بلا رمز انضمام

تنضم الآلة إلى الأسطول بفعل صريح من المالك — لا توجد نقطة تسجيل ولا رمز انضمام يمكن أن يتسرب. تُسَكّ المفاتيح على الآلة ولا تغادرها أبدًا. ومستوى التحكم يتصل نحو الخارج فقط: المشغِّل لا يحمل أي بيانات اعتماد إليه ولا يفتح أي منفذ وارد — والخدمات التي تستضيفها تعيش على بنيتك التحتية أنت، حيث يراقب فريق العمليات لديك أصلًا.

محصور، أو مرفوض

كل عملية تشغيل محصورة على مستوى نظام التشغيل، والكتابة مرفوضة افتراضيًا — والسجل يسمي ما الذي فرض الحصر فعلًا، لا ما طُلب، فيكون الادعاء ادعاءً يستطيع فريقك أنت إعادة إنتاجه. والآلة التي لا تستطيع إثبات قدرتها على حصر عملية تشغيل لا تحصل على تلك العملية: رفضٌ، لا تدهور صامت أبدًا.

الخروج الشبكي: سياسة مسماة، أو لا شيء

لا تصل عملية التشغيل إلى الشبكة إلا عبر بابها الخاص، والباب لا يقبل اتصالًا إلا حين تسمح سياسة مسماة بذلك المضيف على ذلك المنفذ — «هذا المضيف، أي منفذ» لا يمكن حتى كتابتها، لأن آلة تثق بها على منفذ واحد ليست آلة تثق بها على كل منفذ. ورفض الكل هو الأرضية التي لا تستطيع أي سياسة إزالتها؛ وسياسة المقعد يمكنها تضييق سياسة آلته، لا توسيعها أبدًا. لا يوجد وضع «سجِّل واسمح»، ولا طبقة سماح افتراضي، ولا راية تُطلق التشغيل على أي حال.

لا شيء في الأسطول يستطيع قراءة حركة بياناتك

باب الخروج لا يُنهي أي TLS ولا يحلّل أي HTTP. لا توجد شهادة اعتراض تُثبَّت، ولا مفتاح خاص يجب حمايته، ولا شيء في أي موضع من نظام التحكم يمكنه قراءة محتويات الطلبات — فمسار URL لا يمكن أن يظهر في سجل التدقيق، بنيويًا، لأن البيانات ليست حاضرة أصلًا لتتسرب. ما يُسجَّل هو الحكم: المضيف المطلوب، والمنفذ، والقرار، والسبب، وأي سياسة فصلت.

الأسرار لا تنتشر أبدًا

لا يخزّن أي نظام فرعي قيمةً سرية ولا ينقلها — أسماء المتغيرات والمراجع فقط، مفروضةً في نظام الأنواع بحيث لا يستطيع التسجيل الاعتيادي أن يسرّب. والتنفيذ البعيد يعطّل تمرير متغيرات البيئة. وسجلات التدقيق والتكلفة تحمل أسماء ومراجع وأرقامًا؛ لا قيمًا أبدًا.

يبقى git ملكك

يظل git نظام السجل لشيفرتك، والمحرك لا يكتب فيه أبدًا. إنما يرصد الإيداعات والفروع وعمليات الدمج عبر حدٍّ للقراءة فقط — مفروض على نحو متطابق في الإنتاج وتحت الاختبار. والدمج فعل بشري في أدواتك أنت، ويبقى كذلك.

حدود موثَّقة

الوثيقة الأمنية التي لا تذكر أي حدود تسويقٌ. وثيقتنا تحمل قسمًا للحدود — ما الذي لا يحمي النظام منه، مذكورًا بوضوح، ومُبقًى محدَّثًا مع حركة النظام.

نشاركها في العناية الواجبة، ونفضّل أن تقرأها قبل أن تشتري على أن تكتشفها بعد ذلك.