استخبارات BTW Media

ملخص

حددت موزيلا شهادة وسيطة منتهية الصلاحية في نظام توقيع إضافات فايرفوكس كسبب لحدث مايو 2019. قد يتم تعطيل الإضافات المثبتة وقد تفشل التثبيتات الجديدة عندما لا يمكن التحقق من سلسلة الشهادات. كان شرط التوقيع موجودًا لحماية المستخدمين من الإضافات الضارة أو المعدلة؛ لم يكن الانقطاع دليلاً على اختراق إضافة ضارة.
وقع الحدث المحفز بعد الساعة 1:00 UTC بقليل في 4 مايو 2019. شاركت جميع الإضافات تقريبًا الشهادة الوسيطة، بينما جعل التحقق اليومي للعميل التأثير المرئي متقطعًا. قالت موزيلا إنها علمت بالمشكلة حوالي الساعة 6:00 مساءً بتوقيت المحيط الهادئ في 3 مايو وقدمت إصلاحًا عاجلًا لنظام الإضافات Normandy/Studies في الساعة 2:44 صباحًا بتوقيت المحيط الهادئ.
السبب الجذري المؤكد، وتصميم الشهادة المشتركة، وسؤال اكتشاف انتهاء الصلاحية، ومسار التوزيع عن بعد الطارئ، وإصدارات فايرفوكس اللاحقة وESR، وتحذير بيانات المستخدم، ومعالجة بيانات الإصلاح العاجل تنتمي إلى طبقات مساءلة مختلفة. لا يحدد السجل إجمالي عدد المستخدمين المتأثرين بالضبط، أو خسارة اقتصادية كاملة للمطورين، أو نتيجة موحدة عبر كل منتج فايرفوكس وبناء تابع.

المفتاح الأمني الذي عطل الأدوات المشروعة

تحتل إضافات المتصفح موقعًا حساسًا بشكل غير عادي. يمكنها تغيير الصفحات، ومراقبة نشاط التصفح، وإدارة كلمات المرور، وحظر المحتوى، وتوصيل التطبيقات، وتغيير طريقة عمل المستخدمين. لذلك، لدى بائع المتصفح سبب مشروع لرفض الإضافات التي لا يمكن الوثوق في سلامتها وأصلها. كان شرط التوقيع من موزيلا يهدف إلى حماية مستخدمي فايرفوكس من الإضافات الضارة أو المعدلة.

في مايو 2019، أنتجت تلك القاعدة الوقائية نتيجة تشغيلية معاكسة لتلك التي توقعها المستخدمون. بدأ فايرفوكس في معاملة الإضافات المثبتة المشروعة باعتبارها غير صالحة، بينما قد تفشل التثبيتات الجديدة. لم يحدد الشرح الفني العام برامج ضارة، أو كودًا معاديًا في الإضافات، أو مهاجمًا يسيطر على نظام التوقيع. حددت موزيلا شهادة منتهية الصلاحية في سلسلة التحقق.

التمييز أساسي. لم تصبح سياسة الأمان غير شرعية لأن شهادتها الداعمة انتهت صلاحيتها. كما لم تتخذ موزيلا خيارًا سياسيًا متعمدًا في 3 مايو لإزالة أدوات المستخدمين. اعتمد عنصر تحكم إلزامي على كائن ثقة محدود المدة، ووصل دورة حياة ذلك الكائن إلى حدود لم تكن المنصة مستعدة لتجاوزها دون اضطراب.

هذا جعل الشهادة مفتاح مسؤولية من الناحية التشغيلية. قبل انتهاء الصلاحية، ساعدت فايرفوكس في تمييز الإضافات الموقعة من البرامج التي لم تمر بعملية الثقة المطلوبة. بعد انتهاء الصلاحية، يمكن لنفس منطق الإنفاذ تعطيل الأدوات التي يعتبرها المستخدمون والمطورون صالحة بشكل معقول. بقيت السياسة وقائية؛ البنية التحتية الداعمة لم تعد توفر سلسلة صالحة.

كلمة مسؤولية هنا لا تفترض حكمًا قضائيًا أو مطالبة قانونية محددة الكمية. إنها تصف تخصيص المسؤولية الناتج عن سيطرة المنصة. طلبت موزيلا التوقيعات، وشغلت التسلسل الهرمي للتوقيع، وقررت كيفية تحقق فايرفوكس من الإضافات، وتحكمت في قنوات استرداد المفاتيح، وأبلغت عن الإصلاح. اعتمد المستخدمون والمطورون على تلك الخيارات لكن لم يتمكنوا من تجديد الشهادة الوسيطة بأنفسهم.

وبالتالي، ينتمي الانقطاع إلى فئة أوسع من الإخفاقات التي تصبح فيها آلية أمنية تبعية شائعة. لم يكن الفشل أن فايرفوكس فحص الثقة. كان أن حدثًا واحدًا في دورة الحياة يمكن أن يؤثر على حقل واسع من الإضافات المشروعة ويجبر المنصة على إصلاح كل من التحقق الأمني والتوفر في وقت واحد.

سلسلة الثقة ركزت المسؤولية

وصف الحساب الفني لموزيلا تسلسلًا هرميًا بأدوار متميزة. تم الاحتفاظ بشهادة جذرية غير متصلة بالإنترنت في وحدة أمان عتادية. تم استخدام شهادة وسيطة عبر الإنترنت للتوقيع. ثم دعمت شهادات الكيان النهائي إضافات فردية. فصلت هذه البنية الجذر عن التعرض الروتيني مع السماح بالتوقيع التشغيلي بالاستمرار عبر الوسيطة.

هذا تصميم أمني معروف. إبقاء الجذر غير متصل يقلل من فرصة أن تعرض العمليات اليومية المفتاح الأعلى مستوى. التفويض عبر وسيطة يجعل التوقيع المتكرر عمليًا. إعطاء الإضافات شهادات كيان نهائي يخلق مسار تحقق يمكن لفايرفوكس تطبيقه.

جاءت عواقب التوفر من التركيز داخل ذلك التسلسل الهرمي. قالت موزيلا إن جميع الإضافات تقريبًا شاركت نفس الشهادة الوسيطة. إذا كانت إضافة فردية واحدة تحتوي على توقيع سيئ، لكان نصف القطر المتوقع ضيقًا. عندما انتهت صلاحية الشهادة الوسيطة المشتركة، يمكن أن يفشل التحقق عبر جزء أكبر بكثير من النظام البيئي.

هذا لا يجعل الوسائط المشتركة غير مناسبة بطبيعتها. توازن بنية الأمان دائمًا بين حراسة المفاتيح، والنطاق التشغيلي، والتجديد، والتوزيع، والإلغاء. تدعم الأدلة استنتاجًا أضيق: حيث تكون الشهادة المشتركة إلزامية لنظام بيئي واسع، فإن تاريخ انتهاء صلاحيتها هو موعد نهائي للتوفر بالإضافة إلى كونه خاصية تشفيرية.

وبالتالي، لدى مالك المنصة واجبان لا يمكن فصلهما. يجب حماية التسلسل الهرمي للتوقيع من سوء الاستخدام، ويجب إبقاء مواد الثقة الصالحة متاحة للفترة التي يُتوقع فيها عمل البرامج الموقعة. حراسة المفاتيح القوية دون استمرارية دورة الحياة يمكن أن تعطل البرامج المشروعة. استمرارية سهلة دون حراسة آمنة يمكن أن تضعف الحماية التي كان من المفترض أن توفرها التوقيعات.

كما شكل التسلسل الهرمي عملية الاسترداد. لم تستطع موزيلا معالجة الحدث كخطأ تفضيلي بسيط إذا كان الهدف هو الحفاظ على تطبيق التوقيع. احتاجت إلى مسار شهادة سيقبله فايرفوكس، وطريقة لتوزيع ذلك المسار، وتسلسل يصل إلى المستخدمين الذين لم يشتركوا جميعًا في نفس ظروف التحديث.

هذا هو السبب في أنه لا يمكن اختزال الحادث إلى شخص نسي تذكيرًا في التقويم. كان السبب المؤكد هو انتهاء صلاحية الشهادة الوسيطة. المساءلة الكاملة تسأل أيضًا كيف تفاعل مخزون الشهادات، والملكية، والتجديد، والاختبار قبل انتهاء الصلاحية، وسلوك العميل، والتوزيع الطارئ، وقنوات الإصدار. لا تحدد الأدلة العامة كل عنصر تحكم داخلي أو قرار، لذا لا يمكنها تعيين كل جزء لفريق محدد الاسم.

3 مايو: الوعي جاء بعد أن كان تأثير المستخدم جاريًا

يمتد التسلسل الزمني العام عبر 3 و4 مايو 2019. قالت موزيلا إنها علمت بالمشكلة حوالي الساعة 6:00 مساءً بتوقيت المحيط الهادئ في 3 مايو. انتهت صلاحية الشهادة الوسيطة بعد الساعة 1:00 UTC بقليل في 4 مايو. تصف تلك الطوابع الزمنية نفس الحدث المتطور من منظور مناطق زمنية مختلفة ولا ينبغي قراءتها على أنها تناقض.

لم يواجه جميع المستخدمين الفشل في لحظة واحدة بالضبط. لم يقم فايرفوكس بإعادة التحقق من كل إضافة باستمرار كل ثانية. وصفت موزيلا التحقق على أنه يحدث وفق جدول زمني يومي تقريبًا. مع وصول تثبيتات المتصفح الفردية إلى فحوصاتها، يمكن أن تنتقل الإضافات من مقبولة إلى معطلة. خلق ذلك موجة متقطعة بدلاً من انقطاع واحد نظيف ومتزامن عالميًا.

أدى التقطع إلى تعقيد الاكتشاف. يمكن لنظام جانب الخادم غالبًا ملاحظة مقياس خدمة واحد يعبر عتبة. هنا، ظهرت الأعراض المرئية عبر تثبيتات العميل بجداول زمنية مختلفة. يمكن للمستخدمين الإبلاغ عن اختفاء الإضافات، أو تعطيلها، أو فشل التثبيتات، بينما لم يصل مستخدمون آخرون بعد إلى نفس نقطة التحقق.

يؤكد السجل وقت إدراك موزيلا. لا يكشف عن مسار الإنذار الكامل قبل تلك النقطة. لا يظهر كل مراقب لانتهاء صلاحية الشهادة، أو تصعيد داخلي، أو تقرير مستخدم، أو ملاحظة هندسية. لذلك، فهو يدعم سؤال اكتشاف ولكن ليس ادعاءً قاطعًا بأن إنذارًا معينًا كان غائبًا أو تم تجاهله.

استنتاج مدعوم بالأدلة متاح مع ذلك. يجب مراقبة شهادة قادرة على إبطال جميع الإضافات تقريبًا باعتبارها تبعية تشغيلية عالية العواقب. يجب أن يكون عمرها المتبقي، وحالة التجديد، وجاهزية النشر، وقبول العميل مرئيًا قبل وقت كافٍ لاختبار الانتقال. هذا توقع رقابي مستمد من نصف القطر الانفجاري، وليس دليلاً على أن موزيلا لم يكن لديها أي مراقبة على الإطلاق.

أثر التأثير المتقطع أيضًا على الاتصالات. المستخدم الذي لا تزال إضافاته تعمل يمكنه رؤية تقارير تبدو غير متسقة مع التجربة المحلية. المستخدم الذي تغير سير عمله بالفعل يحتاج إلى إرشادات فورية. كان على موزيلا شرح أن المشكلة حقيقية دون الإيحاء بأن كل مستخدم فايرفوكس كان لديه نفس النتيجة في نفس اللحظة.

لم يتم تحديد العدد الدقيق للمستخدمين المتأثرين من خلال السجل المعتمد. يشرح اتساع الشهادة الوسيطة المشتركة لماذا كان النطاق المحتمل كبيرًا، لكن النطاق المحتمل ليس عددًا مدققًا. أي ادعاء بأن كل مستخدم فايرفوكس تأثر سيتجاوز الأدلة ويتجاهل الاختلافات في توقيت التحقق، وإصدار المنتج، والتكوين، والتوزيع.

4 مايو: انتهاء الصلاحية أصبح الحدث المحفز

كان الحدث المحفز دقيقًا: انتهت صلاحية الشهادة الوسيطة بعد الساعة 1:00 UTC بقليل في 4 مايو 2019. بمجرد عدم إمكانية التحقق من السلسلة وفقًا لقواعد توقيع فايرفوكس، يمكن معاملة الإضافات المشروعة على أنها غير صالحة. يمكن أيضًا أن تفشل التثبيتات الجديدة.

حددت موزيلا الشهادة الوسيطة منتهية الصلاحية كسبب جذري. هذا أقوى من مرشح سبب جذري لأنه يأتي من إعادة البناء الفني للمنصة ويشرح فشل التحقق مباشرة. ومع ذلك، حتى السبب الجذري المؤكد لا يكمل الخريطة السببية.

تشرح الظروف المساهمة حجم الحدث وشكله. شاركت جميع الإضافات تقريبًا الشهادة الوسيطة. كان التحقق إلزاميًا. كانت فحوصات العميل متقطعة. تضمن النظام البيئي أكثر من 15,000 إضافة، وليس كل إضافة مثبتة تم توزيعها بالضرورة عبر القناة المستضافة الحالية. كان لا بد من النظر في مسارات إصدار متعددة لفايرفوكس وESR.

ينتمي الاكتشاف إلى طبقة منفصلة. يوفر الحساب العام أوقات انتهاء الصلاحية والوعي، ولكن ليس ما يكفي من التتبع الداخلي لتقرير سبب فشل التجديد أو النشر في منع التأثير. من المعقول أن نسأل عما إذا كانت مراقبة انتهاء الصلاحية، أو الملكية، أو بروفة الانتقال، أو جاهزية الإصدار قد فشلت. ليس من المسؤول تحويل تلك الأسئلة إلى حقائق داخلية مؤكدة.

بدأت الاستجابة بمجرد أن فهمت موزيلا الفشل وقيمت خيارات الاسترداد. تضمن ذلك العمل أكثر من استعادة عملية خدمة واحدة. كان المتصفح قد طبق الحالة غير الصالحة على أجهزة العميل. كان على الإصلاح الوصول إلى هؤلاء العملاء دون التخلي عن سياسة التوقيع أو التسبب في ضرر إضافي للمستخدم.

امتد الاسترداد إلى ما بعد الإصلاح العاجل الأول الناجح. تبعت إصدارات فايرفوكس النقطية وESR. سعت إرشادات المستخدم إلى الحفاظ على بيانات الإضافات. ظهرت أسئلة حول البيانات التي تم جمعها من خلال الآلية الطارئة. لذلك، تضمن الاسترداد الدائم استعادة الثقة، وتغطية الإصدار، وسلامة بيانات المستخدم، ومعالجة الخصوصية، وثقة النظام البيئي.

الحفاظ على هذه الطبقات متميزة مهم لأن كلمة انقطاع يمكن أن تسويها. كان المحفز انتهاء صلاحية. كان السبب الجذري هو الشهادة الوسيطة منتهية الصلاحية في نظام التوقيع. ساهمت البنية المشتركة وتعقيد التوزيع في نصف القطر الانفجاري. تظل أدلة الاكتشاف غير كاملة. استخدمت الاستجابة قنوات عن بعد وإصدار. تطلب الاسترداد دليلاً على أن الإضافات المشروعة ستبقى صالحة عبر المسارات المدعومة دون إضعاف الأمن في المستقبل.

أربعة خيارات للاسترداد، لا أحد خالٍ من التكلفة

وصف الحساب الفني لموزيلا عدة خيارات تم النظر فيها أثناء الاستجابة. كان أحدها هو إيقاف إعادة التحقق مؤقتًا. آخر كان إعادة توقيع الإضافات. ثالث كان إصدار تحديثات للتطبيق. رابع كان إصدار شهادة وسيطة بديلة.

إيقاف إعادة التحقق كان يمكن أن يقلل من التعطيل الفوري، لكنه كان سيعلق أيضًا جزءًا من القاعدة الوقائية في اللحظة التي كان فيها نظام الثقة قيد التدقيق. لا تقول الأدلة إن الخيار كان بدون تكلفة أو أنه كان سيصل إلى كل عميل بشكل موحد. تجاوز أمني مستخدم للاسترداد يحتاج إلى نطاق ضيق، وحدود زمنية، ومسار خروج.

إعادة توقيع الإضافات بدا مباشرًا لكنه واجه نطاق النظام البيئي. وصفت موزيلا أكثر من 15,000 إضافة. لم تكن كل إضافة مثبتة مستضافة بالضرورة من خلال قناة التوزيع الحالية. إعادة توقيع وإعادة توزيع تلك المجموعة كانت ستتطلب معالجة القطع الأثرية، وتنسيق المطورين، والتسليم للعميل، والثقة في أن التثبيتات القديمة يمكنها استقبال المواد الجديدة.

قدمت تحديثات التطبيق مسارًا تقليديًا. يمكن لبناء متصفح مصحح أن يحمل منطقًا دائمًا أو مواد ثقة عبر قنوات الإصدار المعتادة. لكن تحديث المتصفح يعتمد على البناء، والاختبار، والإصدار، وسياسة المؤسسة، وتوفر الشبكة، وتبني المستخدم. إنها ليست لوحة تحكم فورية لكل تثبيت متأثر.

خيار الشهادة البديلة سمح لموزيلا بالحفاظ على بنية التوقيع مع استعادة سلسلة صالحة. اختارت موزيلا شهادة وسيطة بنفس الموضوع والمفتاح العام ووزعتها من خلال آليات التكوين عن بعد ونظام الإضافات في فايرفوكس. عالج هذا الاختيار فشل الثقة العاجل دون إعلان أن التوقيعات غير ضرورية.

خصص كل خيار المخاطر بشكل مختلف. التأكيد على الفحص السرعة لكنه قد يضعف الإنفاذ. التأكيد على إعادة التوقيع صحة القطعة الأثرية لكنه واجه النطاق والوصول. التأكيد على إصدارات التطبيق حوكمة التحديث العادية لكنها قد تستغرق وقتًا أطول للانتشار. استبدال وتوزيع الشهادة الوسيطة عن بعد التأكيد على الاستعادة السريعة عبر قناة طارئة تتطلب بدورها حوكمة الثقة والخصوصية.

لم يكن القرار المسؤول ببساطة أسرع إجراء فني. كان الإجراء الذي استعاد الإضافات المشروعة مع تقليل فترة الحماية الضعيفة، وتجنب فقدان بيانات المستخدم غير الضروري، والوصول إلى تثبيتات متنوعة، وترك مسار تحديث دائم. يُظهر التسلسل الزمني العام التسلسل المختار؛ لا يكشف كل مقارنة داخلية أو موافقة.

نظاما Normandy/Studies أصبحا بنية تحتية طارئة

قدمت موزيلا الإصلاح العاجل لنظام الإضافات Normandy/Studies في الساعة 2:44 صباحًا بتوقيت المحيط الهادئ. وضع الحساب الفني ذلك التسليم بعد أقل من تسع ساعات من علم موزيلا حوالي الساعة 6:00 مساءً بتوقيت المحيط الهادئ. يُظهر التوقيت استجابة سريعة، لكن السرعة وحدها ليست مقياس المساءلة الكامل.

كانت Normandy/Studies آليات عن بعد يمكنها تسليم تغييرات لتثبيتات فايرفوكس. في الظروف العادية، يمكن لهذه البنية التحتية دعم التجارب، أو التكوين، أو التدخلات المستهدفة. أثناء الانقطاع، أصبحت قناة توزيع طارئة لإصلاح الثقة.

يخلق هذا الدور مفارقة. احتاج المستخدمون إلى موزيلا للوصول إلى متصفحاتهم بسرعة لأن نظام التوقيع الذي تسيطر عليه المنصة عطل الأدوات المشروعة. لكن القدرة على إرسال إضافة نظام أو تغيير عن بعد للعديد من العملاء هي بحد ذاتها قدرة قوية. نفس الوصول المركزي الذي يحسن الاسترداد يركز أيضًا السيطرة.

وبالتالي، تحتاج البنية التحتية الطارئة إلى حوكمتها الخاصة. من يمكنه تفويض النشر؟ ما القطعة الأثرية التي يتم تسليمها؟ كيف يتم توقيعها والتحقق منها؟ أي العملاء مؤهلون؟ ما التتبع الذي يتم جمعه؟ كيف يتم سحب التغيير أو استبداله؟ كيف يمكن للمستخدمين والمسؤولين فهم ما حدث؟

يربط السجل العام الإصلاح العاجل بعائلة محددة من القطع الأثرية لإضافة النظام وعمل Bugzilla ذي الصلة. هذا يجعل الاستجابة أكثر قابلية للتدقيق من بيان غامض بأن إصلاحًا عن بعد تم إرساله. لا يكشف مع ذلك عن كل تفويض داخلي أو شرط جانب العميل.

الاستنتاج المدعوم بالأدلة هو أنه يجب معاملة مسارات الاسترداد عن بعد كعناصر تحكم تشغيلية حاسمة قبل الطوارئ. تحتاج إلى اختبار، وقيود وصول، وتراجع، ومراجعة خصوصية، ومسار للعملاء الذين عطلوا المشاركة أو لا يمكنهم استقبال التغيير. قناة استرداد تم اكتشافها أثناء الفشل فقط أقل جديرة بالثقة من تلك التي تم توثيق حدودها مسبقًا.

تسمية Normandy/Studies بالبنية التحتية الطارئة لا تعني أن موزيلا أساءت استخدامها. يُظهر السجل أنها استخدمت لاستعادة التحقق من الثقة. نقطة المساءلة هيكلية: عندما يمتلك البائع عنصر تحكم عن بعد قادر على إصلاح تبعية أمنية إلزامية، فإن موثوقية وضبط ذلك العنصر جزء من وعد استمرارية المنتج.

إضافة نظام كان عليها إصلاح فشل ثقة الإضافات

أضاف مسار إضافة النظام طبقة أخرى من التعقيد. كانت قواعد توقيع إضافات فايرفوكس ترفض الإضافات العادية لأن السلسلة المشتركة انتهت صلاحيتها. ثم استخدمت موزيلا آلية توزيع مميزة لتسليم مواد استعادة التحقق.

قد يبدو ذلك دائريًا، لكنه يعكس مسارات ثقة متمايزة. إضافة نظام تستخدم لصيانة المنصة لا يتم توزيعها أو تقييمها بالضرورة مثل إضافة طرف ثالث. تظهر المصادر العامة عائلة القطع الأثرية للإصلاح العاجل ونهج الشهادة الذي اختارته موزيلا؛ لا تبرر ادعاءً بأن سياسة التوقيع العادية تم إيقاف تشغيلها ببساطة للجميع.

هذا التمييز يحمي الدرس الأمني. إذا تم وصف الاستجابة على أنها تجاوز للأمن، فإن الحساب يفوت سبب اختيار موزيلا لشهادة وسيطة بديلة واتباعها بإصدارات. كان الهدف إصلاح سلسلة الثقة مع الحفاظ على النموذج الوقائي سليمًا.

يسلط الضوء أيضًا على الاعتماد على البائع. لم يتمكن المستخدمون من إنشاء شهادة بديلة موثوقة أو إقناع تثبيت فايرفوكس المحلي بالتعرف على واحدة بأمان. لم يتمكن المطورون من استعادة القبول بشكل مستقل لجميع التثبيتات الحالية. كان على الكيان المشغل للتسلسل الهرمي الجذري والوسيط أن يتحرك.

هذا الاعتماد ليس مرفوضًا تلقائيًا. يمكن لإنفاذ التوقيع المركزي حماية المستخدمين من التوزيع الضار والتلاعب. لكنه يعني أن المنصة يجب أن تمتلك استمرارية كائنات الثقة وقنوات الإصلاح التي لا يمكن للمستخدمين استبدالها.

يجب بالتالي تقييم عنصر تحكم شائع في كلا الاتجاهين. تسأل مراجعة الأمان ماذا يحدث إذا حصل مهاجم على قدرة توقيع. تسأل مراجعة التوفر ماذا يحدث إذا انتهت صلاحية مواد التوقيع أو التحقق الصالحة، أو تم إلغاؤها، أو أصبحت غير قابلة للوصول، أو تم نشرها بشكل غير صحيح. قدم حدث مايو 2019 إجابة ملموسة لحالة انتهاء الصلاحية.

يجب أن تظهر أدلة الاسترداد أن المواد الطارئة كانت محدودة للإصلاح المقصود، وأن التحقق العادي عاد إلى حالة مستقرة، وأن إصدارات المتصفح اللاحقة قللت الاعتماد على مسار مؤقت. يدعم التسلسل من الإصلاح العاجل إلى الإصدارات النقطية وتحديثات ESR هذا الاتجاه دون إثبات أن كل تثبيت أكمله.

الإصدارات النقطية حولت التخفيف إلى مسار إصدار

اتبعت موزيلا الاستجابة الطارئة مع Firefox 66.0.4 وFirefox 66.0.5، بالإضافة إلى Firefox 60.6.2 ESR وFirefox 60.6.3 ESR. ملاحظات الإصدار مهمة لأنها تظهر أن الاسترداد لم ينتهِ بتدخل عن بعد واحد.

تستخدم الإصدارات النقطية دورة حياة البرنامج العادية للمتصفح. يمكنها الوصول إلى المستخدمين والمؤسسات من خلال آليات التحديث المعتادة، بما في ذلك البيئات التي تكون فيها الدراسات عن بعد معطلة أو مقيدة أو غير مناسبة. إصدارات ESR ذات صلة خاصة بالإعدادات المُدارة التي تعطي الأولوية للاستقرار والنشر المتحكم فيه.

وجود إصدارات متعددة يفصل أيضًا التخفيف الفوري عن الإصلاح الدائم. يمكن للاستعادة الناجحة الأولى إيقاف الفشل المرئي للعديد من المستخدمين. يمكن للإصدار اللاحق معالجة مسارات إضافية، أو شروط حدية، أو تغليف طويل الأمد. لا يدعم السجل المعتمد ادعاءً مفصلاً حول كل تغيير كود في كل بناء، لذلك يجب معاملة الإصدارات كمعالم رئيسية في مسار المعالجة.

لمديري المؤسسات، يخلق مسار الإصدار مهمة مساءلة مختلفة. يحتاجون إلى تحديد الإصدارات المثبتة، وتحديد القناة المناسبة، واختبار التحديث، ونشره، والتحقق من أن الإضافات وملفات تعريف المستخدمين تتصرف كما هو متوقع. إصلاح عن بعد ساعد تثبيتات المستهلكين لا يلغي ذلك العمل التشغيلي.

بالنسبة لموزيلا، دعم فايرفوكس وESR يعني أن الاسترداد كان عليه احترام أكثر من إيقاع توزيع واحد. هذا مثال على دورة حياة البرنامج والارتباط يعملان في نفس الوقت. اعتمد المستخدمون على التسلسل الهرمي للثقة للبائع، لكن البائع اعتمد أيضًا على المستخدمين والمؤسسات في قبول التحديثات من خلال قنواتهم المختارة.

لا يحدد السجل التوزيع الكامل للتأثير عبر فايرفوكس المكتبي، وESR، وأندرويد، أو البناءات التابعة. سيكون من غير الآمن استنتاج سلوك موحد من وجود ملاحظات الإصدار. الاستنتاج الدفاعي هو أن موزيلا استخدمت كلا من التسليم عن بعد الطارئ والإصدارات الرسمية لأن مسارًا واحدًا وحده لم يمثل جميع السكان المدعومين.

يتم الوصول إلى الاسترداد الدائم عندما لم تعد المنصة تعتمد على تدخل استثنائي، وتحمل الإصدارات المدعومة التصحيح، ويمكن للمسؤولين التحقق من النتيجة. توفر ملاحظات الإصدار دليلاً على الحركة نحو تلك الحالة. لا توفر معدل إكمال مدقق عالميًا.

تحذير بيانات المستخدم غير واجب الرعاية

تضمنت إرشادات موزيلا الموجهة للمستخدمين تحذيرًا محددًا: "لا تقم بحذف و/أو إعادة تثبيت أي إضافات." كان السبب أن الحذف أو إعادة التثبيت يمكن أن يزيل بيانات الإضافة. حول هذا التعليم الحدث من فشل تحقق ضيق إلى مشكلة الحفاظ على بيانات المستخدم.

عندما يتم تعطيل إضافة مشروعة فجأة، قد يحاول المستخدم بشكل معقول خطوات إصلاح مألوفة. إزالة وإعادة تثبيت البرنامج هو نصيحة شائعة لمشاكل التطبيق العادية. في هذه الحادثة، كان يمكن أن يجعل هذا الإجراء الوضع أسوأ عن طريق تغيير البيانات المرتبطة بالإضافة.

كان على المنصة بالتالي إدارة المخاطر السلوكية الناتجة عن الانقطاع. الاستعادة الفنية وحدها لم تكن كافية. احتاج المستخدمون إلى إرشادات تمنع فشل الثقة المؤقت من أن يصبح خسارة محلية دائمة. تظهر سجلات المنتديات والمجتمع كيف وصل الحادث إلى الناس كمشكلة عملية فورية وليس حدث شهادة مجردًا.

تثبت الأدلة المعتمدة أن بيانات الإضافة المحذوفة كانت دائمًا غير قابلة للاسترداد. إنها تثبت لماذا حذرت موزيلا من الحذف وإعادة التثبيت. أي ادعاء أوسع حول الخسارة سيحتاج إلى أدلة خاصة بالإضافة والملف الشخصي.

هذه حدود فشل الاسترداد. يمكن للمؤسسة إصلاح السبب الأصلي مع الاستمرار في السماح بضرر ثانوي يمكن تجنبه إذا كانت الإرشادات متأخرة أو غير واضحة أو غير آمنة. على العكس، التحذير الواضح هو دليل على نضج الاستجابة حتى عندما كان يجب منع الحادثة الأصلية.

يكشف التحذير أيضًا كيف تخزن أنظمة الإضافات القيمة خارج الخدمة المركزية للمنصة. يمكن للإضافات الاحتفاظ بالتفضيلات، والقوائم، وتكوين سير العمل، أو حالة محلية أخرى. لا تحدد المصادر تلك الفئات أو قيمتها الاقتصادية. تدعم النقطة العامة أن استمرارية الإضافة تتضمن بيانات المستخدم، وليس فقط ما إذا كان الرمز يصبح نشطًا مرة أخرى.

يجب لذلك أن تحدد إرشادات الحوادث الجيدة الإجراءات التي يجب على المستخدمين تجنبها، وتشرح ما إذا كانت البيانات لا تزال موجودة، وتميز بين المعطل والمحذوف، وتحدث التعليمات مع وصول الإصدارات. في حدث عميل متقطع، يجب أن تظل تلك الرسائل دقيقة للمستخدمين عند نقاط مختلفة في دورة التحقق والتحديث.

التتبع الطارئ خلق التزامًا بالخصوصية

تناولت التقارير المستقلة لاحقًا البيانات التي تم جمعها من خلال إصلاح إضافات فايرفوكس وخطة موزيلا لحذف بيانات الاستخدام المرتبطة بتلك الآلية. تنتمي هذه الأدلة إلى التسلسل الزمني للاستجابة كسياق داعم، وليس كدليل على سوء سلوك غير ذي صلة.

غالبًا ما تحتاج المعالجة عن بعد إلى بعض الرؤية. قد يحتاج البائع إلى معرفة ما إذا كان العملاء المؤهلون تلقوا الإصلاح العاجل، وما إذا كان قد تم تنفيذه، وما إذا كانت الحالة المستهدفة تغيرت. ومع ذلك، يظل التتبع الذي يتم جمعه أثناء الطوارئ خاضعًا لواجبات الغرض، والتقليل، والاحتفاظ، والوصول، والحذف.

سؤال المساءلة ليس ما إذا كانت كل إشارة تشخيصية محظورة. هو ما إذا كانت البيانات التي تم جمعها ضرورية للإصلاح، وتم توصيلها بشكل مناسب، وحمايتها، والاحتفاظ بها فقط حسب المبرر، وحذفها عندما انتهى غرضها. تدعم المصادر المعتمدة وجود استجابة لاحقة لمعالجة البيانات؛ لا توفر جردًا كاملاً لكل حقل أو كل عنصر تحكم خصوصية داخلي.

هذه الطبقة مهمة لأن الاستعجال يمكن أن يطبع جمعًا استثنائيًا. الأزمة تخلق ضغطًا لتعظيم الرؤية والتصرف بسرعة. إذا كان مسار الجمع مرتبطًا بقناة بعيدة قوية، يمكن إغراء المراجعات الفنية والخصوصية باتباع النشر بدلاً من سبقه.

هذا لا يعني أن موزيلا تجاهلت الخصوصية. يتضمن السجل إجراءً لاحقًا بشأن حذف بيانات الاستخدام. الاستنتاج المدعوم بالأدلة هو أن الخصوصية يجب أن تُبنى في الأدوات الطارئة بحيث لا يخلق الإصلاح السريع دورة حياة بيانات منفصلة ومعتمة.

ينطبق نفس المبدأ على الاحتفاظ بقطع أثرية الحادثة. يمكن أن تكون السجلات التشغيلية ضرورية للتحقق من الوصول وتشخيص الإخفاقات. يمكن أن تعيش أيضًا بعد غرضها المباشر. تحدد الاستجابة الناضجة قواعد الحذف والحفظ مسبقًا، بما في ذلك استثناءات التحقيق الأمني والالتزامات القانونية.

وبالتالي، تشكل السيطرة عن بعد والتتبع وإصلاح الثقة نظام مساءلة واحد. تحتاج المنصة إلى تحكم كافٍ لاستعادة المستخدمين بأمان، وأدلة كافية لمعرفة أن الاستعادة عملت، وضبط كافٍ لتجنب تحويل المراقبة الطارئة إلى جمع غير محدد.

المطورون ورثوا انقطاعًا مسيطرًا عليه من المنصة

وصفت موزيلا نظامًا بيئيًا يضم أكثر من 15,000 إضافة. كتب المطورون داخل هذا النظام البيئي الإضافات وحافظوا عليها، لكنهم لم يتحكموا في الشهادة الوسيطة المشتركة أو سلوك التحقق في فايرفوكس. عندما انتهت صلاحية الشهادة، يمكن تعطيل المنتجات المشروعة بغض النظر عما إذا كان الكود الخاص بها أو مادة الكيان النهائي قد تغيرت.

هذه مشكلة اقتصاديات أدوات المطور بالإضافة إلى مشكلة استمرارية المتصفح. يمكن أن يكون مطور الإضافة مسؤولاً عن جودة الكود، والتوافق، والدعم، مع بقائه معتمداً على نظام توقيع وتوزيع يديره البائع. فشل ثقة شائع ينقل عمل الدعم والضغط السمعة إلى المصب.

لا يحدد السجل المعتمد التأثير الاقتصادي الكلي. لا يحدد خسارة الإيرادات، أو ساعات الدعم، أو تراجع المستخدمين، أو انقطاع الأعمال عبر المطورين. تلك النتائج ستختلف على نطاق واسع ولا ينبغي اختراعها.

ما يدعمه السجل هو هيكل الاعتماد. احتاج المطورون إلى موزيلا لاستعادة التحقق. لم تكن بعض الإضافات المثبتة مستضافة بالضرورة من خلال القناة الحالية، مما يعقد استراتيجية إعادة التوقيع الشامل. يمكن للمستخدمين أن ينسبوا الوظائف المعطلة إلى الإضافة حتى عندما كانت الشهادة المشتركة هي السبب.

يجب بالتالي أن تشمل مساءلة المنصة اتصال المطورين. يحتاج القائمون على الصيانة إلى سبب واضح، وإرشادات يمكنهم نقلها، وتوقعات للإصدارات، وطريقة للتمييز بين فشل المنصة وفشل الإضافة. يحتاجون أيضًا إلى إشعار بتغييرات دورة حياة الشهادة التي يمكن أن تؤثر على عمليات البناء أو التوقيع أو التوزيع.

يمكن أن يكون النظام وقائيًا ويفرض التزامات على مشغله. التوقيع الإجباري يخلق حدود جودة وأمان لا يمكن للمطورين الفرديين الانسحاب منها مع البقاء وظيفيين بالكامل في المنصة. يجب على المشغل جعل تلك الحدود موثوقة بما يكفي بحيث لا يتعرض المطورون المتوافقون لانقطاع شائع يمكن منعه.

هذه ليست حجة لإزالة التوقيع. هي حجة لمعاملة خدمة التوقيع وتقويم الشهادة كجزء من البنية التحتية للمطور. يجب أن تعكس أهداف التوفر، وبروفات التجديد، والقنوات الطارئة، والاتصالات الاعتماد الاقتصادي الموضوع على تلك البنية التحتية.

السبب الجذري كان معروفًا؛ السببية التنظيمية لم تكن

السجل العام واضح بشكل غير عادي حول السبب الجذري الفني المباشر: شهادة وسيطة منتهية الصلاحية في نظام توقيع الإضافات. لا ينبغي تخفيف هذا الوضوح إلى "مشكلة شهادة" غامضة. يحدد كائن الثقة ودوره.

السجل أقل اكتمالاً بشأن السببية التنظيمية. لا يظهر خريطة الملكية الكاملة، أو سير عمل التجديد، أو عتبات الإنذار، أو موافقات التغيير، أو اختبارات ما قبل انتهاء الصلاحية. لا يذكر شخصًا فاته مهمة. لا يثبت النية أو الخداع أو قرارًا متعمدًا بترك الشهادة تنتهي.

الظروف المساهمة مدعومة بشكل أفضل. اعتمدت جميع الإضافات تقريبًا على الشهادة الوسيطة المشتركة. كان تحقق العميل متقطعًا. كان النظام البيئي كبيرًا. اختلفت مسارات التوزيع. اعتمد الإصلاح الطارئ على قناة إضافة نظام عن بعد وإصدارات تطبيق لاحقة.

يبقى سؤال الاكتشاف محددًا. تأكيد وعي موزيلا حوالي الساعة 6:00 مساءً بتوقيت المحيط الهادئ في 3 مايو مثبت في الحساب الفني. ما إذا كان من المفترض أن ترفع الأنظمة الداخلية إنذارًا قبل أيام أو أشهر هو سؤال حوكمة معقول، لكن الأدلة المعتمدة لا تكشف ما فعلته تلك الأنظمة.

أدلة الاستجابة ملموسة. نظرت موزيلا في استراتيجيات استرداد متعددة، واختارت شهادة وسيطة بديلة، واستخدمت Normandy/Studies، وقدمت إصلاحًا عاجلاً لإضافة النظام في الساعة 2:44 صباحًا بتوقيت المحيط الهادئ، وأبلغت عن إرشادات المستخدم، وأصدرت إصدارات Firefox وESR.

أدلة الاسترداد موزعة. كان على التحقق من الإضافات أن يعود، والتثبيتات الجديدة أن تعمل، والمستخدمين تجنب محاولات الإصلاح المدمرة، والقنوات المُدارة تحتاج إصدارات، ومعالجة البيانات الطارئة تحتاج إغلاقًا. لا إجراء واحد يثبت كل تلك الشروط عالميًا.

هذا السجل الطبقي أكثر فائدة من البحث عن فعل إهمال واحد. يحدد ما فشل، وما ضخم التأثير، وما لا يزال غير معروف، وما فعلته موزيلا، وما الأدلة التي ستظهر تحسنًا دائمًا. كما يتجنب تحويل تحليل ما بعد الحادثة الفني إلى حكم قانوني غير مدعوم.

ما تتطلبه مساءلة دورة حياة الشهادة

أولاً، يحتاج كل كائن ثقة إلزامي إلى مالك وتصنيف توفر. الشهادة الوسيطة المشتركة عبر جميع الإضافات تقريبًا ليست مجرد أصل تشفيري. انتهاء صلاحيتها هو حدث استمرارية المنتج. يجب أن تمتد الملكية من الإصدار خلال التجديد، والنشر، والتداخل، والتقاعد، والاستبدال الطارئ.

ثانيًا، يجب أن تستند المراقبة إلى الوقت حتى التأثير بدلاً من لحظة انتهاء الصلاحية النهائية. تحتاج الإنذارات إلى وقت كافٍ للإصدار، والمراجعة الأمنية، واختبار العميل، والنشر المرحلي، والتراجع. الحالة الخضراء اليوم ليست كافية إذا لم يتم اختبار الانتقال التالي مطلقًا.

ثالثًا، يجب اختبار التجديد عبر العملاء والقنوات المدعومة. يمكن أن تتصرف إصدارات فايرفوكس النقطية، وESR، والتكوين عن بعد، وإضافات النظام، والنشر المُدار، والبناءات التابعة بشكل مختلف. لا يحدد السجل المعتمد كل نتيجة منتج، وهذا هو بالضبط سبب أهمية أدلة التغطية قبل انتهاء الصلاحية.

بروفة فعالة ستختبر أكثر مما إذا كانت الشهادة الصادرة حديثًا صالحة تشفيريًا. ستسأل ما إذا كان العملاء يتلقون السلسلة قبل انتهاء صلاحية القديمة، وما إذا كانت التثبيتات غير المتصلة أثناء الانتقال تتعافى لاحقًا، وما إذا كانت البيئات المُدارة تقبل التغيير، وما إذا كان لاستثناءات التسليم عن بعد بديل قائم على الإصدار، وما إذا كان التراجع يترك حالة موثوقة. لا يكشف التسلسل الزمني لشهر مايو أيًا من هذه الاختبارات التي أجرتها موزيلا مسبقًا. يظهر لماذا يحتاج مالك دورة الحياة إلى دليل على أن الانتقال يعمل عبر ظروف التوزيع، وليس فقط دليل على أن مواد التجديد موجودة.

رابعًا، يجب أن يكون نصف القطر الانفجاري للوضع الشائع صريحًا. مشاركة وسيطة تبسط العمليات لكنها تركز الفشل. يجب أن تسأل مراجعة البنية عما إذا كان التقسيم، أو الصلاحية المتداخلة، أو مسارات الثقة البديلة يمكن أن تقلل عدد الأدوات المشروعة التي تفشل معًا دون إضعاف إنفاذ التوقيع.

خامسًا، يجب حوكمة القنوات البعيدة الطارئة كبنية تحتية مميزة. يجب تعريف الوصول، والتفويض، والتوقيع، والأهلية، والتتبع، والتراجع، والشرح العام قبل الأزمة. تظهر استجابة Normandy/Studies قيمة الوصول؛ ذلك الوصول يطلب أيضًا ضبطًا.

سادسًا، يجب أن ترافق إرشادات آمنة لبيانات المستخدم أول استجابة عامة. التعليمات الدقيقة "لا تقم بحذف و/أو إعادة تثبيت أي إضافات" عالجت رد فعل متوقع. يجب أن تحدد خطط الاسترداد إجراءات المساعدة الذاتية الخطيرة بالمثل قبل أن يكتشفها المستخدمون.

سابعًا، يجب أن تكون استمرارية المطور جزءًا من تخطيط حوادث المنصة. يحتاج المطورون إلى سبب موثوق، وحالة، ومسار معالجة، وتوقعات يمكنهم توصيلها. يجب على المنصة تجنب جعل الأطراف الثالثة المتوافقة تبدو مسؤولة عن فشل تحكم مشترك.

ثامنًا، يحتاج التتبع الذي يتم جمعه للإصلاح الطارئ إلى خطة حذف. لا يمكن تأجيل الغرض والاحتفاظ إلى أجل غير مسمى لأن النشر كان عاجلاً. دليل الوصول يمكن أن يتعايش مع تقليل الخصوصية إذا تم تصميم دورة الحياة مسبقًا.

أخيرًا، يجب إظهار الاسترداد عبر قنوات الإصدار العادية. الإصلاح العاجل يمكن أن يستعيد الخدمة بسرعة، لكن الضمان الدائم يأتي من البناءات المدعومة، وحالة الثقة المُتحقق منها، والتدابير المؤقتة المغلقة، ودليل على أن انتهاء الصلاحية التالي لن يكرر نفس المسار.

هذه الضوابط ليست نتائج أن موزيلا كانت تفتقد كل واحدة منها. هي متطلبات المساءلة التي كشف عنها السبب المؤكد وتسلسل المعالجة. يحدد السجل العام الحاجة إليها؛ الأدلة الداخلية ستحدد مدى وجودها قبل وبعد الانقطاع.

المجاهيل يجب أن تحد من الحكم

لم يتم تحديد العدد الدقيق للمستخدمين المتأثرين. الشهادة الوسيطة المشتركة والتقارير الواسعة تدعم وصف التأثير الواسع، لكن ليس عددًا عالميًا. "كل مستخدم فايرفوكس" سيكون ادعاءً غير مدعوم.

التوزيع الكامل عبر فايرفوكس المكتبي، وESR، وأندرويد، والبناءات التابعة لم يغلق بواسطة الأدلة المعتمدة. ملاحظات الإصدار تثبت معالم المعالجة للإصدارات المسماة. لا تثبت أعراضًا متطابقة أو إكمالًا عبر جميع المتغيرات.

التأثير الاقتصادي الكلي للمطور غير معروف. أكثر من 15,000 إضافة تصف حجم النظام البيئي، وليس عدد المطورين الذين فقدوا إيرادات أو قيمة العمل المعطل.

تاريخ الاكتشاف والتجديد الداخلي الكامل غير عام هنا. السبب الفني مؤكد؛ التسلسل التنظيمي المؤدي إلى انتهاء الصلاحية يبقى مرئيًا جزئيًا فقط. لا يتبع من السجل ادعاء بالتعطيل المتعمد أو الاحتيال أو السلوك الخبيث.

يجب أن يظل نطاق ومعالجة التتبع الطارئ مرتبطين بالأدلة الداعمة. يظهر السجل أن موزيلا عالجت لاحقًا حذف بيانات الاستخدام التي تم جمعها من خلال آلية الإصلاح. لا يدعم التكهن حول بيانات التصفح غير ذات الصلة أو برنامج جمع غير محدد.

بيانات الإضافة المحذوفة لم تثبت أنها غير قابلة للاسترداد دائمًا. تحذير موزيلا يثبت خطر حفظ حقيقي والحاجة إلى إرشادات آمنة. لا يثبت النتيجة لكل ملف تعريف أو إضافة.

حالة التحكم طويلة الأمد بعد الحادث غير مثبتة بالكامل بواسطة السجل العام. مسار الإصدار يظهر المعالجة، لكنه لا يوفر تدقيقًا لاحقًا لمخزون الشهادات، أو ملكية التجديد، أو عتبات الإنذار، أو بروفات الانتقال، أو حوكمة القنوات الطارئة. يجب أن تمنع تلك التفاصيل المفقودة ادعاءً بأن كل مخاطر دورة الحياة قد أغلقت بشكل دائم. لا تقلل من تسلسل الإصلاح المؤكد؛ تعرف الأدلة التي ستكون مطلوبة لتقييم الديمومة.

عنصر تحكم وقائي يحتاج إلى مالك توفر

لم يظهر انقطاع إضافات فايرفوكس لعام 2019 أن توقيع الإضافات كان خطأ. أظهر أن عنصر تحكم وقائي يمكن أن يفشل كبنية تحتية. كانت الشهادة الوسيطة كائن ثقة مشترك، وتبعية محدودة الوقت، ومفتاحًا قادرًا على تغيير ما إذا كانت الأدوات المشروعة تبقى قابلة للاستخدام.

التسلسل الزمني محدد. علمت موزيلا حوالي الساعة 6:00 مساءً بتوقيت المحيط الهادئ في 3 مايو. انتهت صلاحية الوسيطة بعد الساعة 1:00 UTC بقليل في 4 مايو 2019. قدمت موزيلا الإصلاح العاجل لنظام Normandy/Studies في الساعة 2:44 صباحًا بتوقيت المحيط الهادئ. تبعت إصدارات Firefox وESR.

الفئات السببية محددة أيضًا. انتهاء الصلاحية كان المحفز. حددت موزيلا الوسيطة منتهية الصلاحية كسبب جذري. الاعتماد المشترك، والفحوصات المتقطعة، وحجم النظام البيئي، ومسارات التسليم المتعددة كانت ظروفًا مساهمة. قصة الاكتشاف الكاملة قبل انتهاء الصلاحية لا تزال غير معروفة. الإصلاح عن بعد، وإرشادات المستخدم، والإصدارات النقطية كانت أدلة استجابة. الثقة المستقرة، وسلامة بيانات المستخدم، وإغلاق الخصوصية، وتغطية القنوات المدعومة كانت التزامات استرداد.

هذا الفصل يتجنب خطأين سهلين. أحدهما وصف الحدث كحادثة إضافة ضارة عندما تقول الأدلة المعتمدة خلاف ذلك. الآخر العفو عنه كسهو كتابي غير ضار عندما كانت الشهادة تتحكم في التوفر لنظام بيئي كبير من المطورين والمستخدمين.

تكتسب ضوابط الأمان الثقة من خلال مقاومة الهجوم والاستمرارية في ظل أحداث دورة الحياة العادية. انتهاء الصلاحية متوقع. لا يزال التجديد صعبًا تشغيليًا لأن حراسة المفاتيح الآمنة، والتوزيع الواسع للعميل، والتوافق، والتراجع يجب أن تعمل معًا. التوقع يجعل التحضير أكثر أهمية، وليس التنفيذ تافهًا.

حافظت استجابة موزيلا على نموذج التوقيع مع استعادة الإضافات المشروعة من خلال القنوات الطارئة والرسمية. كشف المسار العام أيضًا عن الالتزامات حول إرشادات المستخدم والبيانات الطارئة. تلك نقاط قوة مادية في سجل الاستجابة حتى مع بقاء انتهاء الصلاحية الأصلي الفشل المركزي.

الدرس الدائم هو أن البنية التحتية للثقة الإلزامية تحتاج إلى مالك توفر بنفس وضوح مالك الأمان. الشهادة التي تحمي نظام المتصفح البيئي يمكن أن توقفه أيضًا. تبدأ المساءلة عندما يتم حوكمة كلتا النتيجتين قبل أن يصل العقرب إلى الصفر.