Caliptra وجذر الثقة داخل شريحة مركز البيانات

الملخص

• Caliptra مشروع مفتوح المصدر لجذر ثقة مخصص للأنظمة على شريحة في مراكز البيانات، أطلقته AMD وGoogle وMicrosoft وNVIDIA في عام ٢٠٢٢ من خلال Open Compute Project.
• تجمع نواته بين ROM غير قابل للتغيير، وبرمجيات ثابتة قابلة للتعديل، وضوابط لدورة الحياة، وعتاد تشفيري، وبيئة DICE Protection Environment، وخدمات تصديق مخصصة لوحدات CPU وGPU وDPU والمسرّعات ووحدات التحكم في التخزين.
• توسّع Caliptra 2.x وSubsystem وAdams Bridge وOCP L.O.C.K. نطاق التصميم، فيما يظل توافق المكونات وسجل التصحيحات والتكامل مخاطر تشغيلية جوهرية.
• يتيح RTL العام تدقيقاً أوسع، لكنه لا يكشف كل تنفيذ مادي أو نظام تزويد أو شهادة تزكية أو نشر إنتاجي؛ ولم يُقدَّم إحصاء شامل للمنتجات المشحونة.

تعامل أربعة منافسين مع جذر الثقة بوصفه بنية تحتية مشتركة

أعلنت AMD وGoogle وMicrosoft وNVIDIA عن Caliptra خلال Open Compute Project Global Summit في أكتوبر ٢٠٢٢. وجمعت المجموعة المؤسسة بين مورّدي السيليكون ومشغلي البنية التحتية فائقة النطاق، رغم أن مصالحهم التجارية كثيراً ما تتنافس. لكن مشكلتهم الأمنية كانت مشتركة.

تصنع AMD وNVIDIA معالجات ومسرّعات معقدة تحتاج إلى آليات ثقة داخلية. وتشغّل Google وMicrosoft أساطيل كبيرة إلى درجة تجعل عدم اتساق أدلة المكونات تكلفة تشغيلية. وقد يكون جذر الثقة المملوك فعالاً داخل منتج واحد، لكن كل تصميم منفصل يتطلب مراجعة وتكاملاً ومنطق تحقق جديداً.

وفّر المشروع المشترك أساساً سابقاً للمنافسة. واستطاعت الشركات التعاون في الهوية والإقلاع المقاس ومصادقة البرمجيات الثابتة والتصديق، مع استمرارها في التمايز في المعالجات والمسرّعات والخدمات السحابية والتصنيع.

كان Open Compute Project مكاناً طبيعياً للإطلاق، لأنه يجمع بالفعل كبار المشغلين ومورّدي العتاد حول متطلبات الخوادم والتخزين والأمن. وظلت مواصفات Caliptra الرئيسية ضمن هذه البيئة. ولم يُقدَّم التصميم بوصفه تجربة عتاد مفتوح للهواة، بل أُعدّ لكي تستخدمه المؤسسات التي تبني سيليكون مراكز البيانات.

لم يكن العمل على المواصفات وحده كافياً. فالنص يستطيع تحديد الواجهات والسلوك المطلوب، لكنه لا يكشف الأخطاء في RTL أو البرمجيات الثابتة أو التحقق. وفي ديسمبر ٢٠٢٢، انضمت Caliptra إلى CHIPS Alliance، التي وفرت مستودعات عامة وقواعد للمساهمة وتراخيص واجتماعات وعملية تنفيذ مستمرة ضمن منظومة Linux Foundation.

يظل هذا التقسيم المؤسسي من السمات المحددة للمشروع. ينشر OCP المتطلبات الرئيسية ومواصفات حالات الاستخدام، فيما تطور Caliptra Workgroup داخل CHIPS Alliance الشيفرة والبرمجيات الثابتة وعمليات التحقق والإصدارات. وليس الفصل تاماً، إذ تشارك شركات كثيرة في الجانبين، لكنه يمنع تقديم المشروع على أنه وحدة تحكم أمنية خاصة بمورّد واحد أُرفقت بها وثيقة عامة.

وللتوافق بين المؤسسين حدود أيضاً. فالشيفرة المشتركة لا تعني وجود تسلسل تزكية أو عملية مصنع أو جدول نشر مشترك. ويقرر كل طرف يدمج التصميم كيفية تصنيع الوحدة وتزويدها. ويمكن للجذر المشترك تقليل تكرار العمل الهندسي من دون نقل السيطرة على المنتج إلى المشروع.

ينقل الترخيص المفتوح التكلفة إلى التكامل وضمان الجودة

تُطرح Caliptra بموجب Apache License 2.0. ويمكن للمورّدين إعادة استخدام التصميم وتعديله من دون ترخيص ملكية فكرية لكل وحدة من مورّد تقليدي لوحدات الأمن. وقد يقلل التطوير المشترك تكرار العمل ويمنح المشغلين تأثيراً أكبر في الواجهة المشتركة.

لكن التكلفة تنتقل ولا تختفي. فعلى المهندسين دمج الوحدة والتحقق من المنتج وتنفيذ الحماية المادية وإدارة التزويد ودعم التحديثات الميدانية. كما أن التقييم المستقل واختبارات ما بعد تصنيع السيليكون مكلفان. وعلى المورّد الذي ينشئ نسخة متفرعة من الشيفرة صيانتها خلال ظهور الثغرات وتغير المعايير.

تستطيع الشركات المؤسسة الكبيرة استيعاب هذه التكاليف وتخصيص متخصصين. وقد تستفيد شركات السيليكون الأصغر من التصميم المشترك من دون امتلاك الموارد اللازمة لتقييمه بالعمق نفسه. وهكذا قد يوسّع الوصول المفتوح المشاركة، لكنه قد ينتج مستويات غير متساوية من الضمان.

تعتمد استدامة المشروع على استمرار المساهمين في تمويل عمل يفيد المنظومة. ولا تخفض الوحدة المشتركة التكلفة إلا إذا عادت الإصلاحات والميزات إلى المشروع الأصلي بدلاً من تشتتها في فروع خاصة. وقد تتعارض جداول المنتجات وقيود الإفصاح مع هذا الحافز.

بالنسبة إلى المشترين، لا تتمثل المنفعة الاقتصادية في RTL مجاني فحسب، بل في احتمال الحصول على أدلة قابلة للمقارنة بين المورّدين وتقليل الاعتماد على تصميم خاص لجذر الثقة. ولا تتحقق هذه المنفعة إلا عندما تكون التنفيذات موثقة بما يكفي للاستبدال أو التدقيق.

قد تدعم المنظومة السليمة خدمات تجارية للتحقق والتكامل والشهادات حول النواة المفتوحة. ويمكن لهذه الأعمال تمويل الخبرة من دون امتلاك المشروع، لكنها قد تنشئ أيضاً تبعيات جديدة ينبغي تمييزها عن المواصفات المشتركة.

من الأفضل فهم Caliptra بوصفها بنية تحتية سابقة للمنافسة. يجعل ترخيصها التعاون ممكناً قانونياً، فيما تحدد الحوكمة والعمل الهندسي المستدام ما إذا كان التعاون سيظل موثوقاً اقتصادياً.

لم يعد للخادم تعليمة أولى واحدة أو حد أمني واحد

يبدأ الرسم المألوف للإقلاع الآمن بمعالج واحد ومرحلة أولى غير قابلة للتغيير وسلسلة من البرمجيات الموقعة تقود إلى نظام التشغيل. أما خادم مركز البيانات اليوم فهو مجموعة من أنظمة الحوسبة. ويمكن لوحدة GPU تشغيل برمجيات ثابتة كبيرة، ولوحدة DPU التحكم في الشبكات والتخزين وإدارة المضيف، وقد يحمّل المسرّع شيفرته بصورة مستقلة، كما تستطيع وحدة تحكم التخزين الاحتفاظ بمفاتيح التشفير وتقرير ما إذا كانت الوسائط قابلة للقراءة.

ينشئ كل مكوّن تعليمة أولى وقرار ثقة أول خاصين به. فإذا اختُرقت وحدة تحكم قبل أن يبدأ المضيف فحوصه، فقد لا يثبت إقلاع المضيف السليم الكثير عن الجهاز بأكمله. ويحتاج مشغلو السحابة إلى أدلة من مكونات اختلفت تصميماتها الأمنية الداخلية تاريخياً باختلاف المورّد وخط المنتج.

تعالج Caliptra هذا الحد المجزأ على مستوى السيليكون. فهي تحدد وتنفذ جذر ثقة متكاملاً للقياس داخل نظام على شريحة. وتنشئ الوحدة هوية للجهاز، وتصادق البرمجيات الثابتة وتقيسها، وتفرض سياسة دورة الحياة، وتنتج أدلة موقعة يستطيع نظام آخر تقييمها.

نطاق المشروع أضيق عمداً من نطاق معالج متكامل لإدارة المنصة. فهو لا يجدول أحمال العمل، ولا يشغّل جهة إصدار شهادات سحابية، ولا يحدد كل مرحلة من مراحل الإقلاع الآمن في الخادم. ويهدف هذا النطاق الضيق إلى جعل الوحدة قابلة لإعادة الاستخدام داخل فئات كثيرة من الشرائح.

لهذه القابلية لإعادة الاستخدام أهمية استراتيجية. فمقدم الخدمات السحابية الذي يشتري مكونات من عدة مورّدين يريد طريقة مشتركة للسؤال: ما هذا الجهاز، وما الشيفرة التي بدأ بها، وأي جهة زكّت الدليل؟ ويريد مورّد السيليكون تجنب إعادة بناء كل وظيفة تشفير وتصديق، مع الاحتفاظ بالسيطرة على تكامل المنتج.

لا تستطيع الطبقة المشتركة جعل جميع الأجهزة متطابقة. فالمصنّعون يختارون خرائط المصاهر والحماية المادية والتغليف والساعات والذاكرات والتزويد، ويقرر مالكو المنصات القياسات المقبولة. وتكمن قيمة Caliptra في إنشاء نقطة فحص مشتركة داخل سلسلة توريد تظل متنوعة.

يوضح هذا التمييز أيضاً سبب عدم تقديم Caliptra على أنها شركة شرائح. فليس لديها كتالوج منتجات أو مساهمون أو مؤسسة مبيعات. إنها مشروع تعاوني للعتاد والبرمجيات الثابتة لا تصبح مخرجاته واقعاً إلا عندما تدمجها مؤسسة أخرى في السيليكون.

يحتاج سر الجهاز إلى ملف أدلة مشترك

يحتاج جذر الثقة إلى حقيقة ابتدائية لا تستطيع البرمجيات العادية إعادة كتابتها. وتجمع Caliptra بين مادة فريدة للجهاز وحالة دورة الحياة وشيفرة المرحلة الأولى غير القابلة للتغيير لإنشاء هذا الأساس. ثم يشتق التصميم الهويات والأدلة للمكونات اللاحقة بدلاً من تسليم السر الأعمق إلى كل جهة تستدعيه.

يبدأ تسلسل الإقلاع في ROM. ويصادق ROM على First Mutable Code ويقيسها، ثم تنشئ هذه الشيفرة البرمجيات الثابتة وخدمات وقت التشغيل. ويمكن لأرقام الإصدار الأمني منع المهاجم من إرجاع البرمجيات الثابتة القابلة للتعديل إلى إصدار أقدم موقّع لكنه ضعيف. وينشئ التسلسل سلسلة ترتبط فيها حالة الشيفرة اللاحقة بسلطة أسبق وأكثر تقييداً.

تتوافق Caliptra مع مفاهيم DICE لدى Trusted Computing Group من خلال بيئة DICE Protection Environment. وتستطيع DPE اشتقاق هويات مركبة من القياسات والسياق، بما يسمح للمكونات داخل نظام على شريحة بالحصول على قدرة للتوقيع أو التصديق من دون الوصول المباشر إلى سر الجذر.

هذا التفويض مهم في شريحة كبيرة. إذ تستطيع وحدة تحكم إدارية أو خدمة أمنية أو مكوّن تقديم دليل مرتبط بسياقه المقاس. ويمكن لأدوات التحقق التمييز بين هويات تنحدر من الجذر المادي نفسه، لكنها تمثل وظائف أو حالات مختلفة.

غالباً ما تُلخّص الآلية في الهوية والإقلاع المقاس والتصديق. وقد تحجب هذه الكلمات تقسيماً حاسماً للمسؤولية. تستطيع Caliptra توقيع الدليل، لكنها لا تقرر ما إذا كان مقبولاً. ويحتاج أداة التحقق السحابية إلى سلسلة تزكية، وقاعدة بيانات للقياسات المتوقعة، وسياسة تحدد ما يحدث عندما تختلف النتيجة.

قد يصف القياس الموقع بصورة صحيحة برمجيات ثابتة مصرحاً بها لكنها تظل ضعيفة. وقد يكون الجهاز أصلياً لكنه أُعدّ بصورة خاطئة. وقد ترفض خدمة التصديق عتاداً سليماً لأن سياستها قديمة. فالثقة لا ينتجها التوقيع وحده؛ بل يجعل التوقيع الادعاء قابلاً للنسب إلى مصدره.

تتمثل مساهمة المشروع في جعل هذا الادعاء يصدر من تصميم عام قابل لإعادة الاستخدام. أما مساهمة مشغل الأسطول فهي حوكمة الهويات والنتائج المرتبطة بها. ومن شأن الخلط بين الأمرين تحويل محرك القياس إلى وعد لا يستطيع الوفاء به.

تستطيع DPE في Caliptra اشتقاق هويات للمكونات داخل الشريحة. وتصبح هذه الهويات مفيدة عندما تُعرض عبر بروتوكولات وتقيمها أنظمة تفهم معناها. وتوفر معايير مثل DICE وSPDM أجزاء من هذه المفردات الأوسع، فيما قد تقدم وحدة TPM خدمة ثقة أخرى داخل المنصة.

هذه المكونات متكاملة. تستطيع Caliptra إنشاء هوية داخلية مقاسة، ويمكن لمستجيب SPDM استخدام أدلة الجهاز والقياس عند الاتصال بمكوّن آخر، كما تستطيع وحدة TPM الاحتفاظ بحالة موجهة إلى المضيف أو الإبلاغ عنها. وتعتمد السلسلة الدقيقة على بنية النظام.

يتطلب التشغيل البيني أكثر من اختيار خوارزمية التوقيع نفسها. فعلى الأطراف الاتفاق على ملفات الشهادات وتنسيقات القياس وتسميات السياق ومعالجة الأخطاء. ويحتاج أداة التحقق إلى معرفة ما إذا كانت الهوية تمثل الشريحة المادية أو بيئة برمجيات ثابتة أو مكوّناً مفوضاً. وقد تؤدي معاملة جميع الشهادات على أنها متكافئة إلى محو الفروق التي صُممت البنية للحفاظ عليها.

تضيّق ملفات المواصفات نطاق السلوك الاختياري لكي يمكن اختبار منتجات مستقلة معاً. وهي تثير أيضاً سؤالاً حوكمياً: من يحدد الملف المقبول لدى سحابة أو قطاع صناعي؟ يمكن لملف خاص بمورّد أن يستخدم بروتوكولات مفتوحة، لكنه يعيد إنشاء الارتهان على مستوى السياسة. أما الملف الخاضع لحوكمة واسعة فقد يحسن قابلية الاستبدال، لكنه قد يتقدم بوتيرة أبطأ من تطوير المنتجات.

تمنح وحدة Caliptra القابلة لإعادة الاستخدام الجهات المنفذة مصدراً مشتركاً لاشتقاق الهوية، لكنها لا تلغي الحاجة إلى اتفاق فوقها. وستربط أدلة المنتجات الأكثر موثوقية حالة DPE الداخلية ببروتوكول خارجي وسياسة تحقق، من دون ترك قفزات ملتبسة في السلسلة.

وهذا سبب آخر لوصف جذر الثقة بأنه منتج للأدلة، لا خدمة ثقة شاملة. يستطيع التشفير ربط الخطوات، لكن ملفات المواصفات والمؤسسات هي التي تقرر معنى هذا الربط.

تقع العشوائية وتخزين المفاتيح تحت كل قياس موقّع

لا يستطيع جذر الثقة مصادقة البرمجيات الثابتة وتوقيع التصديقات إلا إذا كانت مادته التشفيرية غير قابلة للتنبؤ ومحمية. وتتضمن Caliptra وظائف لمصدر العشوائية وخزنة المفاتيح، كي لا تضطر القيم الحساسة إلى المرور عبر ذاكرة المضيف العادية.

لا يضمن التصميم المنطقي جودة كل مصدر مادي للعشوائية. فتباين عملية التصنيع وسلوك بدء التشغيل واختبارات السلامة تؤثر في العشوائية. وقد يصل طرف يدمج الوحدة في منتجه بصورة خاطئة أو يضعف العزل من خلال المنطق المحيط بها.

تثير خزنة المفاتيح أيضاً أسئلة تتعلق بالتوافر ودورة الحياة. فالمفتاح المقفل يحمي السرية، لكنه قد يمنع الاسترداد عندما تكون السياسة خاطئة. وقد يكون محو خانة التخزين الإجراء الصحيح عند إخراج الجهاز من الخدمة، أو خطأ لا يمكن التراجع عنه إذا ظلت الهوية أو مفتاح الوسائط مطلوباً.

لذلك ينبغي أن يشمل التحقق، إلى جانب متجهات اختبار التشفير، سلامة مصدر العشوائية وانتقالات التحكم في الوصول وسلوك إعادة الضبط والفشل عند انقطاع الطاقة. فلا تستطيع أقوى خوارزمية توقيع إصلاح سر يمكن التنبؤ به أو مفتاح انكشف قبل وصوله إلى المسرّع.

يظل ROM غير القابل للتغيير صغيراً لأن كل سطر يصبح التزاماً مدى الحياة

تتمتع أقدم شيفرة قابلة للتنفيذ بسلطة استثنائية، لكنها تملك أيضاً أسوأ خيارات التحديث. فبعد تصنيع ROM داخل الجهاز، قد يتطلب العيب حلاً التفافياً في برمجيات ثابتة لاحقة أو تغييراً في سياسة المصاهر أو إخراج السيليكون من الخدمة. ولذلك تنقل Caliptra وظائف كبيرة إلى مراحل قابلة للتعديل بعد مصادقتها.

توفر First Mutable Code طبقة مبكرة قابلة للتحديث. وتعرض برمجيات وقت التشغيل الثابتة خدمات تشغيلية مثل أوامر صندوق البريد والتوقيع والتصديق. وتتمثل مهمة ROM في إثبات السماح لهذه المراحل والحفاظ على الشروط الأمنية اللازمة لتشغيلها.

تنشئ البنية خطوط إصدارات مستقلة لكل من RTL وROM وFMC وبرمجيات وقت التشغيل الثابتة. وهذا أكثر واقعية من الادعاء بأن للمشروع رقم إصدار واحداً، لكنه أصعب تشغيلياً أيضاً. فعلى الجهة التي تدمج التصميم معرفة التركيبات المتوافقة وأرقام الإصدارات الأمنية المقبولة وأي مكوّن يستطيع الالتفاف بأمان حول عيب في مكوّن آخر.

تضمن خط Caliptra 2.0 إرشادات توافق اشترطت مستويات تصحيح محددة لـRTL بسبب تفاعلات ROM. وليست هذه التحذيرات هامشية، بل توضح كيف يستطيع مكوّن غير قابل للتغيير تقييد كل تحديث فوقه.

تنشئ سياسة منع الرجوع إلى إصدار أقدم مقايضة أخرى. فرفض الإصدار القديم يحمي الجهاز من هجمات التخفيض، لكن تثبيت إصدار أمني جديد بقوة مفرطة قد يجعل الاسترداد المشروع مستحيلاً. وقد يتعذر استخدام تحديث تالف أو مفتاح توقيع مفقود أو صورة طوارئ لأن العتاد يرفض، بصورة صحيحة، العودة إلى الوراء.

يتحكم المصنّعون في كيفية تزويد مصاهر الإصدارات وسلطات الصور ومسارات الاسترداد. ويمكن للمشروع المفتوح تحديد الحقول والمنطق، لكنه لا يستطيع ضمان اختيار كل منتج لسياسة تشغيلية آمنة.

تمثل إصدارات التصحيحات في عامي ٢٠٢٥ و٢٠٢٦ دليلاً على أن المشروع حي، لا دليلاً على أن البنية معيبة إلى حد يمنع استخدامها. فالعتاد الأمني معقد وستظهر فيه أخطاء. والسؤال المهم هو موضع العيب وما إذا كانت الطبقة المتأثرة قابلة للتحديث. ويحسن سجل التصحيحات المفتوح مستوى الرؤية، مع تذكير المشترين بأن صيانة السيليكون التزام يمتد سنوات.

يجب ألا يتحول استرداد دورة الحياة إلى سلطة إقلاع ثانية

تمر الشريحة بمراحل التصنيع والاختبار والإنتاج والتشغيل الميداني والإرجاع وإخراجها من الخدمة. وقد يكون الوصول المناسب في مرحلة خطيراً في مرحلة أخرى. يحتاج مهندسو المصنع إلى قدرات للاختبار وتصحيح الأخطاء، لكن ينبغي ألا يتيح جهاز إنتاج المسار نفسه لمهاجم عن بعد أو لفني غير مخوّل.

تستخدم Caliptra مدخلات دورة الحياة وحالة المصاهر وآليات فتح تصحيح الأخطاء للتمييز بين هذه المراحل. ويظل التكامل الدقيق قراراً للمصنّع. يستطيع جذر الثقة تقييم الحالة وفرض السياسة، لكن الدبابيس المادية ونسيج تصحيح الأخطاء ومحطة التزويد تقع خارج الوحدة العامة.

قد يقلل إغلاق تصحيح الأخطاء نهائياً مساحة الهجوم ويجعل التشخيص لاحقاً صعباً. أما إبقاء مسار لفتح الوصول فيدعم الإصلاح، لكنه ينشئ بيانات اعتماد أو آلية تحدٍّ عالية القيمة. وقد تعيد عملية سيئة التصميم للتعامل مع المنتجات المرتجعة فتح وصول كان يُفترض أن تزيله سياسة الإنتاج.

قد تكون أخطاء دورة الحياة غير قابلة للتراجع أيضاً. فالجهاز الذي تُثبت مصاهره في حالة خاطئة قد يصبح غير صالح للاستخدام. وقد يقوض الاحتفاظ بمفتاح تصنيع مدة أطول من اللازم ملكية الجهاز في الميدان. كما قد يكشف المنتج الذي لا يستطيع الانتقال بأمان عند إخراجه من الخدمة بيانات أو بيانات اعتماد أثناء إعادة البيع والتدوير.

غالباً ما تُعامل هذه القرارات بوصفها تفاصيل مصنع، لكنها جزء من البنية الأمنية؛ إذ لا يستطيع جذر الثقة التمييز بين فني مشروع ومهاجم من دون نظام للسياسات وبيانات الاعتماد صممه المصنّع.

يمكن لمنطق دورة الحياة العام تحسين المراجعة. إذ تستطيع الجهات التي تدمج التصميم فحص الانتقالات المسموح بها وتحليل حالات الفشل. لكنه لا يكشف ما إذا كان مصنع بعينه قد حمى المفاتيح، أو ما إذا كانت المصاهر قد بُرمجت بصورة صحيحة، أو ما إذا كانت لوحة ما تتيح مساراً آخر لتصحيح الأخطاء يتجاوز الوحدة.

وبذلك تنقل Caliptra جزءاً مهماً من فرض دورة الحياة إلى شيفرة مشتركة، مع إبقاء المسؤولية حيث يوجد الواقع المادي. يستطيع المشروع جعل تعريف الحالات غير الآمنة أصعب، لكنه لا يستطيع الإشراف على كل خط تصنيع.

قد يحول جذر الثقة الذي لا يفعل سوى رفض البرمجيات الثابتة السيئة حادثاً قابلاً للاسترداد إلى جهاز معطل. أضافت Caliptra 2.0 دعماً متوافقاً مع أعمال الاسترداد لدى OCP، حتى تستطيع المنصة استعادة البرمجيات بعد تلفها أو فشل تحديثها. والاسترداد ضروري لأن البرمجيات الثابتة القابلة للتعديل يُتوقع أن تتغير طوال عمر الشريحة.

مسار الاسترداد هو أيضاً سلطة قادرة على استبدال الشيفرة. ويحتاج إلى مصادقة وقواعد إصدارات وشروط تشغيل خاصة به. فإذا استطاع مهاجم استدعاءه بصورة خبيثة، يكون قد تجاوز الإقلاع الآمن عبر آلية الإصلاح. وإذا كانت السياسة صارمة أكثر من اللازم، فقد يعجز المشغل عن استعادة جهاز بعد فقد المفاتيح أو بيانات الصور.

يتطلب تصميم الاسترداد، لذلك، سلسلة ثقة ثانية لا تتجاوز الأولى بصمت. ويجب أن يعرف الجذر أي سلطة تستطيع توفير مادة الاسترداد، وما إذا كان الرجوع إلى إصدار أقدم مسموحاً، وكيف تؤثر حالة دورة الحياة في العملية. ويحتاج مالكو المنصات إلى عملية لتخزين بيانات اعتماد الاسترداد وتدويرها طوال عمر منتج قد يتجاوز عمر الفريق الهندسي الأصلي.

يتفاعل الاسترداد أيضاً مع التوافر. فقد يفشل جهاز يدخل وضع الاسترداد مراراً في الانضمام إلى الأسطول رغم بقاء الأسرار محمية. ويحتاج المشغلون إلى بيانات تشغيلية تميز بين فشل التوقيع وتلف التخزين وعدم توافق إصدارات المكونات والعزل المتعمد. ومن دون هذه الأدلة قد تبدو وحدة التحكم الآمنة معطلة فحسب.

يستطيع المشروع تحديد الآليات واختبار المسارات المشتركة. أما الأنظمة اللاحقة فتتحكم في توزيع الصور والوصول إلى الشبكة والخدمة المادية وقرار إخراج العتاد من الخدمة. ولا تصبح ميزة الاسترداد بنية تحتية مرنة إلا عندما تُختبر هذه العناصر التشغيلية قبل وقوع الطوارئ.

ومع ذلك، فإن وجود مسار معياري ذو قيمة. فهو يقلل إغراء إبقاء واجهة مصنع غير موثقة بوصفها خيار الإصلاح الوحيد. وتستطيع Caliptra جعل الاسترداد جزءاً من البنية الخاضعة للمراجعة، بدلاً من استثناء مميز يُصمم بعد شحن المنتج.

التزويد هو المراسم الخاصة الكامنة خلف كل قياس لاحق

قبل أن تستطيع Caliptra التصديق على أي شيء، يجب على المصنّع إنشاء مادة فريدة لكل جهاز أو اشتقاقها، وبرمجة حالة دورة الحياة، وإنشاء تزكية تثق بها أدوات التحقق. ويحدث ذلك في المصانع وأنظمة التزويد الآمنة التي لا يشغّلها المشروع العام.

يمكن لمحطة تزويد مخترقة إدخال أسرار قابلة للتنبؤ أو إصدار شهادات احتيالية أو تسجيل مادة خاصة. وقد تكون قياسات الإقلاع اللاحقة صحيحة تشفيرياً، لكنها متجذرة في هوية يتحكم فيها المهاجم. ولا يصلح أي قدر من التحقق الميداني أصلاً فاسداً من دون تصميم مستقل للاسترداد.

تحتاج المصانع أيضاً إلى اختبار المردود وتصحيح الأخطاء. ويجب أن تسمح العملية بوصول كافٍ لتشخيص السيليكون الجديد، مع ضمان عدم انتقال بيانات اعتماد الاختبار وأذونات دورة الحياة إلى الإنتاج. ويمكن للمصنّعين المتعاقدين وشركات التغليف ومقدمي الخدمات اللوجستية إضافة حدود مؤسسية تتجاوز مصمم الشريحة.

يمكن للمواصفات المفتوحة تحديد حقول المصاهر المتوقعة واشتقاق الهوية والانتقالات، ودعم عمليات التدقيق بجعل المراسم المنطقية صريحة. لكنها لا تستطيع نشر كل مفتاح أو ضبط للعملية أو مخطط لمنشأة. بعض السرية ضروري لحماية الأنظمة التشغيلية، إلا أن السرية تجعل الضمان الخارجي أصعب أيضاً.

لذلك ينبغي للمشترين طلب أدلة تزويد تتناسب مع المخاطر: فصل الواجبات، وضوابط إنشاء المفاتيح، وتدقيق الشهادات، وسجلات اختبار دورة الحياة، وخطط الاستمرارية إذا تغير مصنع أو جهة إصدار شهادات. ولا يشكل مصدر ثانٍ للسيليكون بديلاً حقيقياً إذا كان المنتجان يعتمدان على خدمة تزكية واحدة غير موثقة.

تكمن قيمة Caliptra لسلسلة التوريد في توحيد الواجهة بعد التزويد وتوضيح ما كان على المصنّع فعله قبل ذلك. لا يلغي المشروع المراسم، بل يمنح العملاء طريقة أفضل لتحديد الثقة الخاصة التي تظل قائمة.

صندوق البريد حد للخدمة ومساحة للهجوم

تحتاج برمجيات المضيف الثابتة والمكونات الأخرى إلى طريقة لطلب الخدمات من Caliptra. ويوفر صندوق البريد مسار أوامر مضبوطاً إلى برمجيات وقت التشغيل الثابتة لوظائف مثل القياس والتوقيع والعمليات التشفيرية والتحديثات والاسترداد.

تُفضّل الواجهة الضيقة على كشف الذاكرة الداخلية أو المفاتيح. ويمكن للأوامر التحقق من المعلمات وتقييد الوصول، فيما يبقي جذر الثقة الأسرار معزولة مع مواصلة دعم بقية الشريحة.

لكن الواجهة نفسها مساحة للهجوم. فقد تكون الجهة المستدعية مخترقة أو ترسل بيانات مشوهة أو ببساطة تحدث ضوضاء. ويجب على المحللات التعامل مع مدخلات غير موثوقة. وقد تستهلك العمليات التشفيرية الطويلة قدرة المعالجة المحدودة للجذر، فيما يمكن لطوفان الطلبات تأخير الإقلاع أو التصديق. وقد تكشف أخطاء الصلاحيات أوامر لمكونات لا ينبغي أن تستخدمها.

لأن جذر الثقة مركزي، فإن حجب الخدمة يخلّف نتائج أوسع من فشل جهاز طرفي عادي. فقد يمنع مكوّن آمن غير متاح المنصة من إثبات حالتها أو إكمال الاسترداد.

يحتاج التصميم إلى تخويل للأوامر، وضوابط للمعدل أو التسلسل، وحدود دقيقة للذاكرة، وقابلية للرصد. وعلى الجهات التي تدمج التصميم تحديد وكلاء المضيف الذين يستطيعون استدعاء كل وظيفة وكيف تظهر حالات الفشل في بيانات تشغيل الأسطول.

يوضح ذلك حقيقة أوسع عن العتاد الآمن: العزل وحده لا يكفي. يجب أن تظل الخدمة المحمية قابلة للاستخدام تحت طلبات عدائية أو معيبة. فأداء حد الثقة وتوافره من الخصائص الأمنية.

يسمح التنفيذ العام لـCaliptra بمراجعة هذه المسارات واختبارها عبر عدة مساهمين. ومع ذلك، يستطيع المنتج اللاحق تغيير الأغلفة والحافلات وآليات التحكيم. ويجب أن يحدد ضمان المنتج مسار الاستدعاء كاملاً، لا معالج الأوامر في المشروع الأصلي فقط.

نقل التقييم المستقل المشروع إلى ما بعد الوصف الذاتي

غالباً ما يُدافع عن العتاد المفتوح بالقول إن أي شخص يستطيع فحصه. لكن السؤال العملي هو ما إذا كان لدى المراجعين المؤهلين الوقت والأدوات وسياق المنتج اللازم. وقد وفر التقييم العام الذي أجرته NCC Group لـCaliptra في عام ٢٠٢٣ فحصاً خارجياً مهماً لبنية محددة وحالة تنفيذ بعينها.

يستطيع التقييم اكتشاف الغموض التصميمي والافتراضات غير الآمنة وعيوب التنفيذ، كما يستطيع تأكيد أن الحدود المهمة خضعت للدراسة. وتسمح النتائج العامة للمجتمع برؤية كيفية معالجة المشكلات بدلاً من الاعتماد حصراً على تطمينات الشركات المؤسسة.

نطاق التقييم مهم. فالمراجعة تنطبق على إصدارات وإعدادات ونماذج هجوم محددة، بينما تضيف الإصدارات اللاحقة شيفرة جديدة. وقد يعدل المورّد RTL، ويركّبه بأدوات مختلفة، ويختار تنفيذاً للذاكرة، ويضعه في بيئة مادية تتضمن قنوات جانبية جديدة. ولا تصادق أي مراجعة على مستوى المشروع على كل هذه النتائج.

تعالج لوحات التحقق واختبارات الانحدار وقوائم فحص الإصدار جزءاً آخر من الضمان. ويمكنها إظهار استمرار نجاح الخصائص وحالات الاختبار المحددة. وتغطية الاختبارات دليل مفيد، لكنها ليست برهاناً على عدم وجود عيب غير مرئي.

يختلف التحقق من العتاد أيضاً عن اختبار البرمجيات لأن بعض العيوب يصبح دائماً. ويجب أن تكشف المحاكاة والأساليب الصورية ونماذج FPGA واختبارات ما قبل تصنيع السيليكون الأخطاء قبل اعتماد التصميم للتصنيع. وقد تكشف اختبارات ما بعد التصنيع سلوكاً مادياً أو تكاملياً غاب عن النماذج.

ينبغي اعتبار استعداد المشروع لنشر المشكلات وإصدارات التصحيح علامة نضج. تصبح الادعاءات الأمنية أكثر موثوقية عندما يتضمن السجل عيوباً وقرارات وإصلاحات. أما المستودع الذي لا تظهر فيه مشكلات فقد يعكس الكمال أو ضعف المراجعة أو المعالجة الخاصة، ولا يستطيع الجمهور معرفة أيها الصحيح.

الخطوة التالية في الضمان هي أدلة خاصة بالمنتج. يحتاج المشترون إلى معرفة مراجعة المشروع الأصلي المستخدمة، وما تغير، وكيف قُيّمت الحماية المادية، وأي عملية تزويد أنشأت الهوية. توفر Caliptra نقطة بداية أقوى لهذا الاستقصاء، لكنها لا تنهيه.

تحول إصدارات المكونات كل إصدار إلى عقد تكامل

غالباً ما تعرض المنتجات البرمجية رقم إصدار واحداً حتى عندما تتضمن مكتبات كثيرة. لا تستطيع Caliptra تبسيط دورة حياتها بأمان بهذه الطريقة. فلكل من RTL وROM وFirst Mutable Code وبرمجيات وقت التشغيل الثابتة قيود تحديث مختلفة، كما يضيف Subsystem والمسرّعات التشفيرية إصدارات خاصة بهما. والمنتج عبارة عن تركيبة من هذه العناصر.

يسمح الفصل بين الإصدارات بتحسين الشيفرة القابلة للتعديل من دون تصنيع سيليكون جديد. لكنه ينشئ أيضاً مصفوفة لا يكون فيها إصلاح أمني صالحاً إلا مع مستويات معينة من ROM أو RTL. وتحتاج الجهات التي تدمج التصميم إلى سجلات دقيقة لقائمة المواد تكفي لتحديد التركيبة داخل كل مراجعة للمنتج.

تضيف أرقام الإصدارات الأمنية بُعداً آخر. فقد تكون صورة وقت التشغيل متوافقة وظيفياً، لكنها تُرفض لأن قيمة منع الرجوع فيها أقل من الحد الأدنى المثبت بالمصهر. وقد تحتاج صورة مصححة إلى مرحلة أسبق لا تحتويها شريحة قديمة. كما قد يعتمد إصدار Subsystem على واجهة للنواة تغيرت بين إصدارين فرعيين.

هذه إدارة إعدادات عادية، لكن العتاد غير القابل للتراجع داخل الحلقة. لذلك تكون عواقب الاعتماد الخاطئ أكبر وأبطأ في التصحيح. وقد يمتلك مشغل مركز بيانات آلاف الأجهزة المتطابقة في اسم المنتج، رغم اختلاف المراجعات الداخلية.

لذلك ينبغي أن يبلغ تصديق المنتج المفيد عن هوية المكونات بتفصيل يكفي لأداة التحقق كي تطبق السياسة الصحيحة. عبارة «Caliptra 2» ليست محددة بما يكفي. وقد يحتاج التقرير إلى RTL الخاص بالنواة وROM والإصدار الأمني للبرمجيات الثابتة القابلة للتعديل ومراجعة Subsystem وملف تكامل المورّد.

قد تجعل هذه التفاصيل سياسة الأسطول معقدة، لكنها تظل أفضل من معاملة جميع الأجهزة على أنها متكافئة ثم اكتشاف الفروق أثناء حادث. فتحول شفافية الإصدارات عدم التجانس الخفي إلى مخزون قابل للإدارة.

تُعد جداول التوافق وملاحظات التصحيح في المشروع جزءاً من النموذج الأمني. فهي تحدد التركيبات التي لدى الفريق الأصلي أسباب للاعتقاد بأنها تعمل معاً. ويظل المورّدون اللاحقون مسؤولين عن توثيق الانحرافات واختبار المنتج الدقيق.

يُسهّل Caliptra Subsystem التكامل بتوسيع القاعدة الموثوقة

كان Caliptra Core الأصلي مقيداً عمداً. ومع نظر الجهات المنفذة في المنتجات الكاملة، احتاجت إلى وظائف إدارية وواجهات للأجهزة الطرفية وخدمات استرداد حول الجذر. وأضاف Caliptra Subsystem وحدة تحكم للمصنّع وبيئة تكامل أوسع.

يمكن لهذا التوسع تقليل تكرار العمل الهندسي. إذ يحصل مورّد النظام على شريحة على مزيد من البنية الداعمة اللازمة لربط جذر الثقة بالحافلات والتخزين والاسترداد ومكونات المضيف. وقد يحسن التنفيذ المشترك التشغيل البيني ويركز المراجعة على الشيفرة المشتركة.

التكلفة هي قاعدة حوسبة موثوقة أكبر. فالمزيد من البرمجيات الثابتة والأجهزة الطرفية والأوامر ينشئ حالات أكثر للتحقق. وقد تصبح وحدة تحكم تدير الاسترداد أو الخدمات التشفيرية مساراً إلى الأسرار وسياسة دورة الحياة. ويمكن لأخطاء Subsystem المحيط تقويض نواة سليمة.

ينبغي أن يظل الفرق بين Core وSubsystem ظاهراً في ادعاءات المنتجات. فقد يدمج تصميم النواة مع منطق إدارة مملوك، بينما يستخدم آخر Subsystem العام. وأدلة الضمان في الحالتين غير قابلة للتبادل.

نمو النطاق علامة طبيعية على ضغط التبني. يكتشف المستخدمون أن دمج الوظيفة الدنيا باتساق صعب، فيطلبون من المشروع توحيد المزيد. والسؤال الحاكم هو أين يتوقف. فكل وظيفة مشتركة قد تحسن قابلية النقل وتضيف التزامات صيانة إلى المشروع.

يغير عمل Caliptra على Subsystem السياق التنافسي أيضاً. إذ تستطيع وحدة جذر دنيا استكمال وحدة تحكم أمنية قائمة، فيما يبدأ Subsystem الأشمل بالتداخل مع معالجات أمن المنصات المملوكة. وقد يرحب المورّدون بواجهات برمجة مشتركة مع حماية ميزات الإدارة التي تميز منتجاتهم.

سيحتاج المشروع إلى الحفاظ على الوحداتية حتى تستطيع الجهة التي تدمج التصميم اختيار الحد المناسب من دون إنشاء فرع للتصميم كله. ويستفيد الأمن عندما لا تكون القاعدة الموثوقة أكبر مما تتطلبه حالة الاستخدام، فيما تستفيد المنظومة عندما لا تعيد كل جهة تنفيذ الوظائف المشتركة بصورة ضعيفة. يقع Subsystem بين هذين الهدفين.

يجلب Adams Bridge التحقق ما بعد الكمّي إلى العتاد طويل العمر

قد يظل سيليكون مراكز البيانات في الخدمة سنوات، وقد يلزم الوثوق بصور البرمجيات الثابتة بعد التصنيع بمدة طويلة. لذلك يجب أن تبدأ التحولات التشفيرية قبل أن تصبح الخوارزميات القديمة مكسورة عملياً. أضافت Caliptra 2.x‏ Adams Bridge، وهو مسرّع عتاد مفتوح لآليات ما بعد الكم، ومنها ML-DSA وML-KEM.

لا يتمثل الاستخدام الفوري في إعلان أن الخادم كله آمن كمّياً. فقد يسرّع دعم العتاد التحقق من توقيعات البرمجيات الثابتة وعمليات إنشاء المفاتيح التي ستكون مكلفة لولا ذلك على المعالج الصغير داخل جذر الثقة. ويمنح الأجهزة طويلة العمر مساراً نحو الخوارزميات المختارة من خلال عملية NIST.

تجلب مخططات ما بعد الكم مفاتيح وتوقيعات أكبر وتعقيداً إضافياً في التنفيذ. كما تنشئ اعتبارات جديدة للذاكرة والأداء والقنوات الجانبية. وقد حظيت الخوارزميات والشيفرة بوقت نشر أقل من أنظمة المنحنيات الإهليلجية الراسخة. ولذلك يشكل سجل التصحيحات حول المسرّع دليلاً مهماً، لا أمراً محرجاً ينبغي إخفاؤه.

قد يستخدم الانتقال الهجين آليات تقليدية وآليات ما بعد الكم معاً. ويمكن لهذا النهج الحماية من عدم اليقين في أي من العائلتين، مع زيادة حجم الرسائل وعمل التحقق ومتطلبات التوافق. ويجب أن يعرف ROM غير القابل للتغيير ما يكفي لقبول التنسيق المختار أو أن يفوض ذلك بأمان إلى شيفرة قابلة للتعديل.

يمتد الانتقال إلى ما وراء الشريحة أيضاً. فيجب أن تفهم شهادات التزكية وخدمات التصديق وأنظمة توقيع التحديث وبرمجيات التحقق الخوارزميات الجديدة. وقد يظل الجذر الذي يتحقق من برمجيات ثابتة موقعة بـML-DSA يقدم هويته عبر سلسلة خارجية أقدم.

أضاف الإصدار 2.1 قدرات إضافية لما بعد الكم، منها ML-KEM ووضع External-Mu في ML-DSA. وهذه ميزات فعلية في المشروع، وليست دليلاً على أن كل منتج لاحق يفعّلها. وستختار الجهات التي تدمج التصميم الملفات المناسبة وفق الأداء ونموذج التهديد واستعداد المنظومة.

تكمن قيمة Caliptra في تمكين عدة مورّدين من فحص مسرّع مشترك وتنفيذه بدلاً من تكرار الانتقال بصورة خاصة. أما الخطر فهو إمكان انتشار عيب مشترك على نطاق واسع. ولذلك تُعد المراجعة المستقلة ومتجهات الاختبار والإبلاغ الواضح عن الإصدارات أموراً أساسية تحديداً لأن الشيفرة معدة لإعادة الاستخدام.

يوسّع OCP L.O.C.K. نطاق الثقة من الإقلاع إلى إعادة استخدام التخزين

تطرح أجهزة التخزين مشكلة أمنية مختلفة. فقد يجعل تشفير البيانات الساكنة محتوى القرص غير متاح من خلال إتلاف مفتاح تشفير الوسائط أو تغييره. ويعتمد الضمان على مكان إنشاء المفتاح وتخزينه ومحوه. ولا يكون أمر المضيف الذي يدعي تطهير الوسائط أكثر موثوقية من وحدة التحكم التي تفرضه.

يوسّع OCP L.O.C.K.، الذي نُشر الإصدار 1.1 منه في يونيو ٢٠٢٦، استخدام Caliptra لحماية مفاتيح وسائط التخزين وتدفقات المحو التشفيري. ويربط العمل وحدة جذر الثقة بوظائف وحدة تحكم التخزين من دون الادعاء بأن الجذر نفسه هو محرك التشفير.

تهم حالة الاستخدام الاقتصاد الدائري. فقد يُعاد نشر أقراص مراكز البيانات أو إصلاحها أو إخراجها من الخدمة. ويمكن للإتلاف الآمن للمفتاح جعل إعادة الاستخدام أكثر أماناً وتقليل الحاجة إلى تدمير عتاد صالح. كما تستطيع وحدة تحكم قابلة للتحقق تقديم دليل على أن مسار المفتاح اتبع انتقال الحالة المطلوب.

يظل الحد خاصاً بالمنتج. فمورّد التخزين يوفر تشفير الوسائط والبرمجيات الثابتة لوحدة التحكم والتصميم المادي، ويحدد مالك الجهاز سياسة التطهير والمخزون. تستطيع Caliptra عزل عمليات المفاتيح وتخويلها، لكنها لا تضمن أن يشمل تصميم تشفير المورّد كل نسخة من البيانات أو كل كتلة أعيد تعيينها.

يوضح L.O.C.K. أيضاً كيف يستطيع مشروع التوسع عبر ملف مواصفات. فليس كل تكامل لـCaliptra جهاز تخزين. ويحدد الامتداد مجموعة بعينها من التفاعلات ومشاركين مسمّين في القطاع. وينبغي أن تحدد الادعاءات ما إذا كان المنتج اللاحق ينفذ الإصدار ذي الصلة وخضع للاختبار في سيناريوهات المحو والاسترداد المقصودة.

ثمة أثر حوكمي أيضاً. فبعد أن يتحكم جذر مشترك في مفاتيح يحدد إتلافها إعادة الاستخدام القانونية والتشغيلية، تصبح دورة حياته جزءاً من إدارة الأصول. وقد يؤخر خطأ في البرمجيات الثابتة إخراج أسطول كامل من الخدمة، وقد يقوض مسار استرداد متساهل ضمان المحو، فيما يستطيع انتقال خاطئ غير قابل للتراجع إتلاف بيانات لا تزال مطلوبة.

ينقل امتداد التخزين Caliptra من مكوّن لأمن الإقلاع نحو خدمة أمنية أوسع للبنية التحتية. ويزيد هذا النمو أهميتها الاقتصادية وتكلفة أي عيب فيها.

يُبقي المنطق المفتوح الضمان المادي خاصاً ومكلفاً

يمكن فحص RTL والبرمجيات الثابتة في Caliptra ومحاكاتها وتركيبها. ويستطيع المراجعون دراسة الوصول إلى خزنة المفاتيح وانتقالات دورة الحياة ومسارات الأوامر التشفيرية وإدارة سياقات DPE. ويسمح السجل العام لشركات مختلفة بمناقشة التنفيذ نفسه بدلاً من مقارنة أوصاف تسويقية لوحدات خاصة.

تتضمن الشريحة النهائية خيارات لا تظهر في RTL العام. إذ تؤثر عملية المسبك ووحدة الذاكرة وشجرة الساعة ومخطط المواضع والتغليف وتوزيع الطاقة في مقاومة الهجمات المادية. ويمكن لحقن الأعطال استهداف الجهد أو سلوك الساعة، وقد تسرّب القنوات الجانبية المعلومات عبر التوقيت أو الطاقة أو الانبعاثات الكهرومغناطيسية. وقد يتجاوز مهاجم تدخلي الضوابط المنطقية.

يضيف المورّدون أيضاً أغلفة ومنطقاً للمصاهر. فقد تُدمج وحدة أصلية آمنة مع حافلة مكشوفة أو مسار ضعيف لتصحيح الأخطاء. وقد يكون المسرّع التشفيري صحيحاً، لكنه يتلقى عشوائية ضعيفة أو مفاتيح مخترقة. كما يمكن لإعدادات التركيب والأدوات تغيير الافتراضات.

لذلك ينبغي ألا يُسوّق التصميم المفتوح بوصفه ضماناً تلقائياً. فهو يحسن فرصة المراجعة ويقلل السرية المحيطة بالمنطق المشترك، لكن أمن المنتج يظل بحاجة إلى تقييم مادي وضبط لسلسلة التوريد واختبار للتكامل.

يمكن للمشروع المساعدة عبر تحديد الخصائص الأمنية وأدوات الاختبار وإرشادات التكامل. كما يستطيع نشر القيود المعروفة وتشجيع التقييم المستقل. لكنه لا يستطيع إجبار المصنّع على كشف كل مخطط أو إجراء في المصنع، وقد ينشئ الإفصاح العام نفسه مخاطر لمنتج بعينه.

المعيار العملي هو تقديم أدلة تتناسب مع الادعاء. فالمورّد الذي يقول إن شريحته تتضمن Caliptra يستطيع تحديد الإصدار الأصلي والتعديلات. والذي يدعي مقاومة الهجمات المادية ينبغي أن يقدم تقييماً للتنفيذ الفعلي. أما مشغل السحابة الذي يدعي سلامة أسطول مصدّق فعليه شرح نموذج التزكية والتحقق بالمستوى المناسب.

ينقل العتاد المفتوح خط الأساس من «الثقة في التنفيذ الخاص للمورّد» إلى «فحص التصميم المشترك وطلب أدلة عن الجزء الخاص المتبقي». وهذا تغير مهم، لكنه ليس نهاية الحاجة إلى الثقة.

يبلغ التصديق عن بداية التنفيذ، لا عن كل ما يليها

ينتج جذر الثقة قياسات حتى يستطيع نظام آخر التصرف بناءً عليها. وفي الأسطول، قد تقارن أداة التحقق الأدلة بقوائم البرمجيات الثابتة المعتمدة وسلاسل الشهادات وحالة دورة الحياة. ويمكنها قبول الجهاز أو عزله أو حجب المفاتيح وأحمال العمل عنه.

قد تقلل الأدلة المشتركة عبر وحدات CPU وGPU وDPU تكلفة التكامل. ويستطيع مشغل المنصة بناء إطار سياسة واحد بدلاً من تفسير تنسيقات غير مترابطة لمورّدين مختلفين. كما تستطيع هويات المكونات جعل إدارة المخزون والاستجابة للحوادث أكثر دقة.

تكتسب أداة التحقق سلطة كبيرة. فهي تقرر البرمجيات الثابتة المقبولة وسلطات التزكية الموثوقة. وقد يرفض خطأ في السياسة أجهزة سليمة على نطاق واسع، فيما تستطيع أداة تحقق مخترقة قبول حالة خبيثة أو ربط الهويات خارج الغرض الأمني الأصلي.

لا تشغّل Caliptra هذه الخدمة. ولدى شركات السحابة المؤسسة حوافز قوية لتطوير بنيتها الخاصة للتحقق من الأساطيل والشهادات. وينشئ مورّدو السيليكون تزكيات الأجهزة، بينما قد لا يرى العملاء سوى النتيجة لا السياسة الكاملة.

يحمي هذا التقسيم الاستقلال التجاري ويحد من سيطرة المشروع، لكنه يعني أيضاً أن منتجين قائمين على Caliptra قد يقدمان أدلة متوافقة تقنياً تقبلها سلطات تشغيلية مختلفة. فالتنسيق المشترك لا يعني حوكمة مشتركة.

يحتاج مشغلو الأساطيل إلى خطط لاستمرارية التحقق. وينبغي إصدار نسخ من تغييرات السياسة واختبارها، مع تدوير جذور التزكية وإتاحة استردادها، وإمكان تدقيق الاستثناءات. كما ينبغي أن يعكس الاحتفاظ بالأدلة متطلبات الخصوصية والحوادث بدلاً من اعتماد الجمع الدائم بصورة افتراضية.

يستطيع الجذر المفتوح جعل مسار القياس أكثر قابلية للفحص. لكن نقطة التركّز التالية تنتقل إلى الخدمة التي تفسره، وينبغي للقيادات الأمنية فحص تلك الخدمة بالشك نفسه المطبق على الشريحة.

تستطيع Caliptra قياس البرمجيات الثابتة المصادق عليها واشتقاق الأدلة من سلسلة الإقلاع. وهذه الأدلة مهمة لأن الشيفرة المبكرة تنشئ الهويات وحماية الذاكرة وسياسة التحديث. لكن لها حداً زمنياً.

بعد الإقلاع، قد تواجه البرمجيات الثابتة المصرح بها ثغرة أو تتلقى مدخلات عدائية أو تتخذ قراراً سيئاً. وقد تبدأ وحدة DPU من صورة معتمدة ثم تطبق لاحقاً سياسة شبكة خاطئة. كما قد تصدّق مسرّعات على برمجياتها الثابتة ثم تنتج نتيجة غير صحيحة بسبب خطأ أو عطل أثناء التشغيل. ولا يراقب جذر الثقة كل تعليمة أو نتيجة تطبيق.

تحتاج أنظمة الأساطيل إلى الجمع بين أدلة الإقلاع وبيانات التشغيل ومخزون الثغرات والضوابط السلوكية. وينبغي أن يحدد القياس الحالة التي يغطيها ووقت أخذه. وقد تحتاج بيانات الاعتماد طويلة العمر إلى التجديد أو إعادة التصديق بعد تغييرات مهمة.

يحمي هذا الحد من الادعاءات المبالغ فيها. فلا ينبغي أن تصبح كلمة «مصدّق» مرادفاً لكلمة آمن. إنها تعني أن دليلاً محدداً وقعته هوية وفق سياسة أداة تحقق. وتعتمد جودة الادعاء على ما قيس وكيف استجاب النظام بعد ذلك.

يساعد التمييز أيضاً في الاستجابة للحوادث. فقد يضيّق تصديق صالح نطاق التحقيق بعيداً عن العبث بالإقلاع ونحو أسباب أثناء التشغيل أو في التطبيق. ويمكن لنتيجة غير صالحة تشغيل العزل من دون إثبات نية خبيثة. وتكون الأدلة أكثر فائدة عندما تقلل عدم اليقين بدلاً من الادعاء بإزالته.

تظل الحوكمة والنشر موزعين بين مؤسسات مختلفة

ليس لدى Caliptra فريق تنفيذي تقليدي. فالسلطة التقنية موزعة بين عملية المواصفات في OCP وCaliptra Workgroup وحوكمة CHIPS Alliance والمشرفين ومراجعي المستودعات والشركات المساهمة. وتتحكم الجهات اللاحقة التي تدمج التصميم في المنتج النهائي.

يمنح الترتيب كل مؤسسة غرضاً محدداً. يربط OCP المتطلبات بمشغلي مراكز البيانات ومورّدي العتاد، وتوفر CHIPS Alliance موطناً قانونياً ومحايداً للمشروع، وتعقد مجموعة العمل اجتماعات عامة وتطور الإصدارات، ويقرر المشرفون ما إذا كانت التغييرات تلبي المعايير التقنية. أما الشركات فتقدم معظم العمل المتخصص ومعرفة النشر.

تقلل الاستضافة المحايدة خطر إغلاق مورّد واحد للمشروع أو إعادة تعريف الواجهات بصورة خاصة، لكنها لا تساوي بين الموارد. فبوسع شركة فائقة النطاق أو شركة سيليكون تخصيص مهندسين وتشغيل عمليات تحقق مكلفة وإدخال قيود منتجات لا تتاح لمساهم مستقل. ويتبع النفوذ غير الرسمي القدرة المتاحة.

تجعل المستودعات والاجتماعات العامة القرارات أكثر وضوحاً. لكن بعض الأدلة اللازمة لإعادة بناء سبب القرار قد يظل مملوكاً، مثل النتائج المادية ومتطلبات العملاء وجداول منتجات غير معلنة. ويستطيع المجتمع مراجعة التنفيذ من دون رؤية كل واقعة نشر حفزته.

أشارت مكانة المشروع المتقدمة داخل CHIPS Alliance في عام ٢٠٢٥ إلى نضج العملية. وتدعم آلية تمويل إضافية ومساهمات الشركات العمل المشترك، رغم عدم نشر ميزانية موحدة للمشروع. ولا ينبغي تفسير غياب الحسابات على أنه انخفاض في التكلفة؛ إذ يتطلب RTL عالي الضمان والبرمجيات الثابتة بلغة Rust والتشفير والتحقق والاستجابة الأمنية خبراء بصورة مستدامة.

ستُختبر الحوكمة طويلة الأجل عندما تتباعد أولويات المؤسسين. فقد يثبت مورّد فرعاً أقدم لمنتج، أو يطلب مشغل سحابة ميزة لا يحتاج إليها الآخرون، أو تتطلب مشكلة أمنية إفصاحاً منسقاً عبر تنفيذات سرية. وعلى المشروع المحايد الحفاظ على خط مشترك من دون الادعاء بأن كل مشارك يشحنه بالجدول نفسه.

التصميم المؤسسي جزء من قيمة Caliptra. فجذر الثقة المشترك بين منافسين يحتاج إلى منتدى لا تعتمد فيه الشرعية التقنية على الموقع السوقي لشركة واحدة.

لدى Caliptra إصدارات ومستودعات عامة وتقييمات وسلاسل تصحيح وأعمال تكامل مسماة. وتثبت هذه الوقائع وجود مشروع جاد، لكنها لا تثبت عدد الشرائح الإنتاجية التي تتضمن الوحدة أو الأساطيل التي تعتمد على أدلتها.

وصفت AMD أعمال تكامل، وقدمت الشركات المؤسسة عروضاً توضيحية وحالات استخدام، وأسهم مشاركون في التخزين في L.O.C.K. ويستهدف المشروع وحدات CPU وGPU وDPU ووحدات التحكم المرتبطة بها. لكن قائمة شاملة بالمنتجات وعدد الوحدات وسجل المطابقة لم تكن متاحة علناً حتى ٥ أغسطس ٢٠٢٦.

قد تنتج الفجوة خطأين متعاكسين. فقد يفترض المشككون عدم وجود تبنٍّ لأن تفاصيل المنتجات سرية، بينما يحول المؤيدون عضوية المؤسسين وخرائط الطريق إلى ادعاءات بنشر شامل. ولا تدعم الأدلة العامة أياً من الاستنتاجين.

تفسر دورات المنتجات جزءاً من التأخير. فيجب إدخال وحدة جذر الثقة إلى تصميم الشريحة قبل اعتمادها للتصنيع، ثم اجتياز التحقق والتصنيع، وبعد ذلك دمجها في اللوحات والبرمجيات الثابتة وأنظمة الأساطيل. وقد تفصل سنوات بين إعلان المشروع وظهور منتج مشحون باسمه.

ستحسن المطابقة العامة قوة الأدلة. فقد يحدد سجل المنتج ومراجعة Caliptra وملف المواصفات ونطاق التقييم والامتدادات ذات الصلة من دون كشف أسرار المصنع. ويمكن لحزم الاختبار إثبات السلوك الوظيفي، فيما ينشر المورّدون ضماناً منفصلاً للجوانب المادية والتزويد.

على المشروع تقرير مقدار السيطرة التي يريدها على اسمه. فالتسمية المتساهلة تشجع التبني لكنها تنشئ غموضاً، بينما يكلف برنامج اعتماد صارم مالاً وقد يثبط التنفيذات المعدلة. ويمكن لحل وسط أن يطلب الإفصاح عن الإصدار والتعديلات من دون وعد بأمن شامل.

المعلم الجوهري التالي ليس التزاماً عاماً آخر، بل منتجاً يمكن فحص تكامله ومسار أدلته ونتيجته التشغيلية. وإلى أن يحدث ذلك، ينبغي وصف Caliptra بأنها بنية تحتية مفتوحة ناضجة تقنياً، لكن رؤية نشرها العام غير مكتملة.

ترسم OpenTitan ووحدات TPM والمعالجات المملوكة حدود الثقة بصورة مختلفة

كثيراً ما تُذكر Caliptra إلى جانب OpenTitan لأن كليهما ينشر عتاد جذر الثقة وبرمجياته الثابتة. لكن المشروعين مختلفان. فقد طورت OpenTitan تصميماً مستقلاً أوسع ووصلت إلى شحن إنتاجي موثق في Chromebooks. أما Caliptra فتركز على جذر قياس مدمج للأنظمة على شريحة المخصصة لمراكز البيانات، وعلى نموذج أدلة مكونات متعدد المورّدين.

تتشارك المشاريع بعض المفاهيم وأعمال العتاد المفتوح أو تعيد استخدامها، لكن نشر أحدهما لا يثبت نشر الآخر. وتختلف حوكمتهما وبنيتهما العليا ومسارات وصولهما إلى المنتجات.

توفر وحدة Trusted Platform Module منفصلة أوامر موحدة ووظائف هوية عند حد مكوّن مستقل. ويمكنها استكمال شريحة قائمة على Caliptra بدلاً من منافستها مباشرة. فقد تصدّق TPM على حالة المضيف، بينما تنشئ Caliptra الثقة داخل معالج أو مسرّع قبل أن يتمكن المضيف من الوصول إليه.

تعالج Microsoft Cerberus ومواصفات أمنية أخرى لدى OCP حماية المنصة والبرمجيات الثابتة من زاوية مختلفة. ويمكن للمعالجات الأمنية المملوكة أن تتكامل بإحكام مع منتج المورّد، وقد تتمتع بتحصين مادي ناضج، لكن تنفيذها وواجهاتها أقل إتاحة للمراجعة المشتركة.

ليس الاختيار بين فائز شامل واحد وبدائل متقادمة. فقد يحتوي الخادم عدة جذور وسلاسل أدلة. ويتمثل التحدي الهندسي في فهم المكوّن الذي يزكي كل حالة وكيف تجمع أداة التحقق بينها.

الميزة الهيكلية لـCaliptra هي وجود وحدة عامة مشتركة يدعمها المشترون والمورّدون معاً. أما عيبها فهو أن إعادة الاستخدام العامة لا تستطيع تحسين كل منتج، وأن التنفيذ العام لا يتضمن حزمة الضمان كاملة.

لذلك ينبغي أن تركز المقارنة على الحدود والأدلة: أي شيفرة غير قابلة للتغيير؟ وأين تُخزن الأسرار؟ ومن يزوّد التزكية؟ وأي قياسات تعبر الواجهة؟ وأي مؤسسة تستطيع تحديث السياسة؟ اسم المشروع أقل أهمية من الإجابات.

تستطيع المسرّعات ووحدات DPU تغيير البيانات من دون الرجوع إلى وحدة CPU المضيفة

التركيز على مراكز البيانات ليس اختياراً سوقياً اعتباطياً. فالمسرّعات ومعالجات البنية التحتية تنفذ الآن أعمالاً كانت تمر سابقاً عبر المضيف. تشغّل وحدة GPU نوى وبرمجيات ثابتة على بيانات قيّمة للنماذج والتدريب. ويمكن لوحدة DPU فرض سياسة الشبكة وإنهاء مسارات التخزين وإدارة العزل. وقد يؤثر مكوّن مخترق في السرية أو السلامة حتى عندما يكون نظام تشغيل المضيف مصححاً بالكامل.

يسمح جذر داخلي مشترك لهذه الأجهزة بتقديم هويتها وأدلة إقلاعها قبل أن يعهد إليها المشغل بأحمال العمل. وتستطيع أنظمة الأساطيل التمييز بين مسرّع أصلي يشغّل خطاً معتمداً من البرمجيات الثابتة وجهاز مجهول أو معدل. وقد تدعم هذه الأدلة قرارات العزل وإتاحة المفاتيح والصيانة.

لا يثبت التصديق أن المسرّع حسب نموذجاً بصورة صحيحة. فهو يبلغ عن الشيفرة المقاسة وحالة الجهاز. وتظل أعطال وقت التشغيل وأحمال العمل الخبيثة والأخطاء في البرمجيات الثابتة المصرح بها ممكنة. وهذا التمييز أساسي في أنظمة الذكاء الاصطناعي، حيث قد يُساء اعتبار الإقلاع السليم دليلاً على موثوقية المخرجات.

تنشئ وحدات DPU حداً آخر. فهي تُستخدم كثيراً لعزل خدمات البنية التحتية عن المضيفين الخاضعين للمستأجرين. ويجب أن يظل جذر الثقة موثوقاً عندما يكون أحد جانبي الواجهة عدائياً. وينبغي لصلاحيات صندوق البريد وسلطات التحديث وسلوك إعادة الضبط الحفاظ على هذا العزل.

ولأن هذه المعالجات تقع على مسارات عالية النطاق الترددي، فإن التوافر مهم. فقد يمنع فشل جذر الثقة مسرّعاً يعمل بصورة سليمة من الانضمام إلى مجموعة حوسبة، أو يمنع وحدة DPU من تقديم خدمات الشبكة. ويحتاج المشغلون إلى إجراءات للتكرار والاستبدال تراعي تغير هوية المكوّن.

تتمثل فرصة Caliptra المعمارية في جعل هذه الأدلة متسقة بين المورّدين. أما خطرها الاستراتيجي فهو أن تصبح سياسة أداة تحقق واحدة بوابة القبول لأسطول غير متجانس. يقلل جذر المكوّن عدم اليقين داخل الجهاز، لكنه يزيد أهمية مستوى التحكم خارجه.

يصبح الإفصاح المنسق أصعب عندما تكون المنتجات غير معلنة

يمكن ربط ثغرة في برمجيات عادية مفتوحة المصدر بإصدارات الحزم والتوزيعات العامة. أما عيب Caliptra فقد يكون رُكّب داخل سيليكون تظل هويته ومراجعته وعملاؤه سريين. وقد ينشر المشروع الأصلي تصحيحاً من دون امتلاك قائمة كاملة بالمنتجات المتأثرة.

يجعل ذلك الإفصاح المنسق عملاً على مستوى سلسلة التوريد. فعلى المشرفين تحديد ما إذا كانت المشكلة في البرمجيات الثابتة القابلة للتعديل أو ROM أو RTL أو تكامل بعينه. وتحتاج الشركات المؤسسة واللاحقة إلى وقت لتحديد المنتجات ووسائل الحد من الخطر. وقد يملك مشغلو السحابة بيانات عن الأسطول لا يمكن مشاركتها علناً، فيما يحتاج الباحثون إلى مسار للإبلاغ عن النتائج من دون التواصل منفردين مع كل مورّد محتمل.

تختلف خيارات الاستجابة بحدة. يمكن تحديث برمجيات وقت التشغيل الثابتة إذا وفر المنتج مساراً موثوقاً. أما عيب ROM أو RTL فقد يحتاج إلى حل التفافي قابل للتعديل أو سياسة تقييدية أو استبدال العتاد. وقد لا تكون نقطة ضعف مادية مهمة إلا في منتجات ذات مخطط أو تغليف معين.

لذلك ينبغي للإرشادات العامة تحديد المكوّن المتأثر وافتراضات الإصدار من دون الإيحاء بتعرض شامل. وينبغي للمورّدين نشر خرائط المنتجات عندما يسمح الإفصاح، فيما يحتاج العملاء إلى معلومات تكفي لمعرفة ما إذا كان الإصلاح الأصلي قد وصل إلى أجهزتهم.

توضح خطوط تصحيحات مارس ٢٠٢٦ سبب أهمية هذه الآلية. فالتعزيز الأمني النشط دليل على أن المشروع يُفحص ويُصان. ولا يكمن الخطر في وجود الإصلاحات، بل في غياب الرؤية لدى الأطراف اللاحقة. فقد تستمر شريحة في الشحن بنسخة أقدم بعد انتقال المستودع العام بوقت طويل.

ستتعامل منظومة Caliptra الناضجة مع منشأ الأمن بوصفه ميزة في المنتج. وينبغي لقائمة المواد ربط القطعة المادية بتحديثات المشروع الأصلي وإرشاداته. ومن دون هذا الربط، يحسن التطوير المفتوح الشيفرة المشتركة فيما يظل العملاء غير متأكدين من السيليكون أمامهم.

لا يحسن الجذر المشترك اختيار المورّدين إلا إذا صمدت الأدلة عند تغيير المورّد

من وعود البنية التحتية المشتركة تقليل الاعتماد على وحدات أمنية مملوكة. فقد يطلب مشترٍ من عدة مورّدي سيليكون جذراً يعرض قياسات وهويات مألوفة، من دون إعادة بناء أداة التحقق من البداية لكل جهاز.

لا يكفي التوافق الوظيفي للاستبدال. فقد يزوّد المورّدون تسلسلات تزكية مختلفة، أو يدعمون حالات مختلفة لدورة الحياة، أو يقدمون ضمانات استرداد مختلفة. وقد يستخدم تنفيذ Caliptra Core فيما يستخدم آخر Subsystem، كما قد تختلف الحماية المادية وخيارات ما بعد الكم.

لذلك يحتاج المشتري إلى ملف مواصفات يحدد السلوك المطلوب وما يظل خاصاً بالمورّد. ويمكن لاختبارات المطابقة التحقق من تنسيقات الأوامر والأدلة، كما تستطيع شروط الشراء طلب الإفصاح عن الإصدارات ودعم التحديث واستمرارية الشهادات. ويستطيع التقييم المستقل معالجة الادعاءات المادية والتكاملية الخاصة بالمنتج.

قد تكشف العملية أن قطعتين «قائمتين على Caliptra» غير قابلتين للتبادل. وهذه نتيجة مفيدة. فالمرونة الحقيقية تأتي من معرفة تكلفة الاستبدال وحدوده قبل فشل المورّد، لا من افتراض أن شعاراً مشتركاً يضمن ذلك.

يستطيع المشروع دعم هذه السوق عبر إبقاء الواجهات مستقرة، وتوثيق الميزات الاختيارية، ومقاومة الاستخدام الغامض لاسمه. ولا يلزمه أن يصبح سلطة اعتماد مركزية كي يجعل الأدلة قابلة للمقارنة.

إذا نجحت Caliptra في هذه الطبقة، فقد تكون أكبر مساهمة اقتصادية لها هادئة. سيتمكن مشترو الخدمات السحابية والعتاد من التفاوض حول واجهة ثقة مشتركة، فيما يواصل المورّدون التنافس في المعالجات والأداء والضمان. لن تلغي الوحدة المفتوحة قوة المورّدين، لكنها ستجعل أحد أكثر أسسها غموضاً أسهل في الاختبار.

تجعل Caliptra أول ادعاء للمكوّن قابلاً للفحص بدلاً من جعله موثوقاً تلقائياً

لا تتمثل مشكلة أمن مراكز البيانات الحديثة في نقص الوظائف التشفيرية، بل في عدد المكونات التي يجب الوثوق بشيفرتها الأولى وهويتها عبر مورّدين مختلفين. تقدم Caliptra جذراً داخلياً مشتركاً تستطيع هذه المكونات القياس انطلاقاً منه وتقديم الأدلة.

بنيتها ملموسة: ROM، وبرمجيات ثابتة قابلة للتعديل، وحالة دورة الحياة، وتخزين المفاتيح، والمسرّعات التشفيرية، وDPE، وصندوق البريد. ومؤسساتها ملموسة أيضاً: مواصفات OCP، ومستودعات CHIPS Alliance، ومجموعة عمل عامة. وتوضح إصدارات التصحيح والتقييم الخارجي أن التصميم يخضع للصيانة بدلاً من بقائه مجمداً عند إعلان الإطلاق.

والحدود ملموسة بالقدر نفسه. فالمصنّعون يملكون التنفيذ المادي والتزويد، ومشغلو المنصات يملكون سياسة التحقق، ومورّدو المنتجات يقررون الإصدار والامتدادات التي تُشحن. وقد يفتقر العملاء إلى رؤية كاملة للعناصر الثلاثة.

لا يشكل هذا التقسيم سبباً لرفض المشروع، بل يمثل الواقع الذي يجب على جذر ثقة مفتوح كشفه. تستطيع Caliptra جعل الأساس المنطقي المشترك قابلاً للفحص وتقليل عدد التصميمات الخاصة، لكنها لا تستطيع تحويل سلسلة توريد معقدة إلى قرار ثقة واحد.

سيستحق المشروع ادعاءات أوسع عندما تلحق أدلة المنتجات والمطابقة والنتائج الميدانية بنضج الشيفرة. وحتى ذلك الحين، يظل إنجازه أضيق لكنه مهم: اتفق منافسون على بناء المكوّن الذي يصدر أول بيان أمني للجهاز على مرأى من الجمهور.