الخلاصة

  • أنتجت أربعة أدلة TLS معدلات عدم امتثال تراوحت بين نحو 14% و80% عند تطبيقها على 50.7 مليون رسالة Server Hello جُمعت في مؤسسة واحدة خلال 14 يوماً.
  • تضمنت العينة 6.85 ملايين مصافحة اختارت X25519MLKEM768، وهي مجموعة هجينة لما بعد الكم لم يذكرها أي من الأدلة الأربعة. «غير مدرج» لا يعني «مكسور».
  • يستطيع TLSGatekeeper مراقبة بعض قيم المصافحة وحجب الاتصال اختيارياً من دون فك تشفير محتوى التطبيق. أما نتيجة 100 غيغابت/ثانية فكانت اختباراً مختبرياً مع تعطيل الحجب، وليست تقريراً عن تشغيل إنتاجي.

النسبة التي يحددها الدليل

تبدو عبارة «80% غير ممتثل» في لوحة أمنية وكأنها صفة للشبكة. في هذه الدراسة، هي أيضاً صفة للدليل الذي استُخدم في تقييمها.

يعرض منشور ضيف في مدونة APNIC بحث Henrique Becker Brum وزملائه في جامعة ترينتو ومؤسسة Fondazione Bruno Kessler. تقارن الورقة، المنشورة تحت الرمز arXiv:2605.31020v1، عينة تمتد أسبوعين بأربعة أدلة وطنية للأمن السيبراني: ACN الإيطالي، وANSSI الفرنسي، وBSI الألماني، وNIST الأميركي. وفي الحقول الثلاثة التي فُحصت، تراوح عدم الامتثال من نحو 14% مع ANSSI إلى 80% مع NIST.

لا يتغير الاتصال عند تبديل الدليل؛ الذي يتغير هو التصنيف. وإذا حولت المؤسسة ذلك التصنيف إلى حجب آلي، أصبح تفسير وثيقة ما عاملاً يحدد الاتصالات التي يستطيع المستخدمون إقامتها.

ليست الأدلة بلا فائدة، كما أن اختلافها ليس بالضرورة اعتباطياً؛ فهي تخاطب بيئات حكومية ونماذج تهديد ومسارات انتقال مختلفة. تبدأ المشكلة حين يدمج النظام ثلاث حالات: ضعفاً معروفاً، وحظراً صريحاً، وقيمة لم تُقيّم بعد. يسهل حينها تشغيل الأتمتة، لكن يصعب تفسير قرارها.

ما الذي قيس فعلاً؟

جرت عملية الالتقاط من 13 إلى 26 أكتوبر 2025 لحركة المرور الخارجة من الشبكة الداخلية لـFondazione Bruno Kessler إلى خوادم خارجية. وبعد التنقية، أفاد الباحثون بوجود 155,066,707 حزم؛ وشكلت 50,744,009 رسائل Server Hello أساس تحليل إصدار TLS ومجموعة التشفير والمجموعة التي اختارها الخادم.

يكفي هذا الحجم لرصد أنماط داخل تلك المؤسسة، لكنه لا يحولها إلى تعداد عالمي. عدد المصافحات لا يساوي عدد المستخدمين أو الخوادم أو المؤسسات الفريدة. فمحطات العمل والخدمات والزوار والوصول عن بُعد وساعات عمل المؤسسة كلها تؤثر في العينة. ويصف الباحثون الشبكة بأنها متنوعة، لكن ذلك لا يعوض عينة جغرافية أو قطاعية.

يفحص التحليل ثلاث قيم اختارها الخادم، وبترتيب متسلسل: الإصدار، ثم مجموعة التشفير، ثم المجموعة المدعومة. فإذا أخفق الحقل الأول وفق الدليل المختار، لا تُحسب الحقول اللاحقة أسباباً لعدم امتثال السجل نفسه. كما لا تدقق الورقة في التكوين الكامل لكل خادم أو شهاداته أو برامجه أو بيئة تشغيله أو سلوكه بعد المصافحة. لذلك تعني «المطابقة» هنا مقارنة قيم محددة بقواعد بعينها، لا شهادة أمن كاملة للأنظمة الطرفية.

ومع هذا الحد، تكشف الدراسة مشكلة تشغيلية: الوثائق الأربع لا تتقاسم مفردات عالمية لما يعد مقبولاً.

«غير مدرج» حالة قائمة بذاتها

أوضح مثال هو X25519MLKEM768. يسجل مجموعه البيانات 6,845,778 رسالة Server Hello اختارت هذه المجموعة، أي نحو 13.5% من العينة. وتدرجها الورقة ضمن القيم التي أدت إلى تصنيف عدم الامتثال رغم غيابها عن الأدلة الأربعة كلها.

يجمع الاسم بين X25519، وهي مجموعة تقليدية واسعة الانتشار، وML-KEM، آلية تغليف مفاتيح لما بعد الكم اعتمدها NIST في FIPS 203. لكن ذلك لا يجعل كل اتصال «آمناً ضد الحوسبة الكمومية». فالقياس يثبت اختيار الخادم لمجموعة هجينة في هذه العينة، لا أمن الجلسة بأكملها أو تنفيذ العميل أو اكتمال الانتقال من طرف إلى طرف. كما يجب عدم خلطها بالقيمة الأقدم X25519Kyber768_Draft00 التي تناولتها الورقة منفصلة.

النتيجة التشغيلية أدق من عبارة «التشفير ما بعد الكم قادم»: تستطيع قائمة توافق لم تُحدّث بعد أن تصنف استخداماً حقيقياً على أنه غير ممتثل، مع أن الباحثين لم ينسبوا إلى القيمة ثغرة معروفة. لقد واجه الدليل شيئاً خارج مفرداته. هذا سبب لمراجعة القاعدة، لا برهان على وجوب الحجب.

وتظهر المفارقة في الاتجاه الآخر أيضاً. تذكر الورقة أن Curve25519 واسع الاستخدام ومقبول لدى المتصفحات الكبرى، لكنه غير معتمد في دليل NIST الذي جرى تقييمه. كما تشير إلى أن ChaCha20-Poly1305 خوارزمية حديثة رغم أن NIST لا يوصي بها. لا يعني ذلك تجاهل المتطلبات العامة؛ بل يعني أن «لا يطابق هذه القاعدة» و«مكسور تشفيرياً» قولان مختلفان، ولكل منهما أدلة وعواقب مختلفة.

لا تكفي إشارة ثنائية. ينبغي على الأقل التمييز بين قيمة محظورة صراحة بموجب سياسة محددة الإصدار، وقيمة مسموح بها، وقيمة لم تُقيّم أو لم تُدرج بعد، وقيمة معروفة الضعف وفق أساس تقني واضح. لا يجوز استنتاج الضعف من غياب الاسم عن قائمة. وقد تستبعد السياسة قيمة لأسباب تتعلق بالنطاق من دون أن تزعم أنها مكسورة؛ على أن تحتفظ السجلات بسبب الاستبعاد.

من المراقبة إلى منع الاتصال

TLSGatekeeper وسيط شبكي يستخدم XDP/eBPF. يقرأ حقولاً محددة من رسائل Server Hello أو Server Key Exchange، ويقارنها بسياسة مختارة، ويسجل النتيجة ويمكنه حجب الاتصال. وهو لا يفك تشفير محتوى التطبيق. وبما أنه يفحص قيماً يحددها الخادم، فإن إخفاء SNI من جهة العميل عبر Encrypted Client Hello لا يحجب الحقول الخادمية التي يحللها.

ينقل هذا التصميم نقطة التحكم من المتصفح أو التطبيق إلى مسار خروج مشترك. ويمكن للمؤسسة تطبيق قاعدة على كثير من العملاء من دون إعداد كل جهاز، وهو ما قد يفيد الأجهزة المؤقتة أو غير المُدارة مباشرة. لكن نقطة التحكم المشتركة تصبح أيضاً نقطة فشل مشتركة: فقد تؤثر قاعدة خاطئة أو حدود المحلل أو تحديث غير مراجع في جميع المستخدمين الذين تمر اتصالاتهم عبر الوسيط.

استخدم اختبار الأداء وحدتي BlueField-2 متصلتين بسرعة 100 غيغابت/ثانية داخل خادم واحد. ومع 16 تدفقاً خلفياً، اقترب الرابط من حد الوحدتين. وأفادت الورقة بمتوسط تأخير فحص قدره 671 نانوثانية لحزم مصافحة TLS 1.3 و795 نانوثانية لـTLS 1.2.

هذه قياسات مختبرية لمعالجة الحزم، وليست ضماناً للسرعة الكاملة في كل شبكة. والأهم أن الاختبار لم يحجب المرور: فقد سمح XDP_PASS بتمرير الحزم إلى مكدس النظام. لذا يثبت القياس انخفاض التأخير في ذلك الإعداد، لكنه لا يثبت موثوقية الحجب الفعلي في الإنتاج أو صحة سياسة بعينها أو وجود عملاء منشورين.

للتنفيذ نطاق معلوم أيضاً: TLS التقليدي فوق TCP، لا QUIC ولا DTLS. وعلى من يتبناه أن يعرف المسارات التي لا يشملها الفحص. «لا يفك التشفير» خاصية خصوصية ذات قيمة، لكنها لا تعني غياب سلطة التحكم؛ فالوسيط يستطيع استبدال حزمة مصافحة بتنبيه TLS ومنع قيام الاتصال.

APNIC منصة نشر، لا مشغل الدراسة

تتيح مدونة APNIC مساحة تقنية عامة لمجتمع آسيا والمحيط الهادئ. لكن نشر مقال ضيف لا يثبت أن APNIC طورت TLSGatekeeper أو اختبرته أو شغلته. ويفصل الانتماء المؤسسي للباحثين وإخلاء المسؤولية في المقال بين الدراسة وتشغيل السجل.

السؤال المفيد لمشغلي المنطقة ليس أي دليل «يفوز»، بل كيف تتحول قاعدة محلية إلى قرار شبكي. قد تفرض جهة حكومية ملفاً معيناً على خدمة عامة محددة؛ وقد تختار جامعة خط أساس مختلفاً لأجهزتها المدارة؛ وقد تحتاج شبكة إلى السماح بتبادل مفاتيح جديد ريثما تكمل مراجعته الأمنية. ويمكن لهذه الخيارات التعايش إذا سجل النظام الجهة صاحبة السلطة والنطاق والبروتوكول وإصدار الوثيقة المنطبق.

من دون هذا السياق، يصعب نقل القائمة من بيئة إلى أخرى. قد تُرفض قيمة مقبولة في ملف معين في ملف آخر. وقد يجعل تحديث الدليل اتصالاً لم يتغير يبدو فجأة غير ممتثل. وإذا لم تسجل المنظومة سوى «حُجب: غير ممتثل»، فقد يعجز فريق الحوادث عن إعادة بناء القاعدة أو معرفة ما إذا كان الأمر حظراً صريحاً أم غياب تقييم أم غياب ذكر فقط.

ينبغي أن يتضمن سجل القرار الحقل الذي فُحص والقيمة المرصودة ومعرف الدليل وإصداره وسبب الرفض ووقت القرار ومسار الاستثناء أو التصحيح. من دون ذلك قد يكون التنفيذ حتمياً بينما تبقى الحوكمة مبهمة.

ترجمة أكثر أماناً من الدليل إلى الحزمة

يمكن تمثيل حالة القاعدة بثلاث فئات: مسموح، محظور، وغير مقيّم. وتبقى نقاط الضعف المعروفة مصحوبة بتعليل تقني منفصل. ينبغي لحالة «غير مقيّم» أن تولد إشارة مرئية ومراجعة، لا أن ترث سلوك «محظور» في صمت.

عندما يكون الحجب مطلوباً، يمكن تشغيل القاعدة الجديدة أولاً في وضع المراقبة لقياس الاتصالات التي ستتأثر وتحديد الخدمات المتضررة، ثم اختبارها في شريحة محدودة قبل توسيعها. وينبغي أن تحمل القاعدة مصدرها وتاريخها ومسؤولها وموعد مراجعتها. أما الاستثناء فيحتاج إلى موافق محدد وتاريخ انتهاء؛ ويجب اختبار الرجوع قبل التعميم.

هذه توصيات تحريرية، وليست قدرات تزعم الورقة أن TLSGatekeeper يملكها بالفعل. وهي نابعة من المسافة بين مقارنة وثيقة واتخاذ فعل على حزمة. واضعو السياسة يتحكمون في اللغة، ومشغلو الشبكات يقررون التبني المحلي، ومطورو البرنامج يحددون سلوك المحلل، والمستخدمون يتحملون انقطاع الاتصال. يجب أن يحفظ سجل القرار هذه المسؤوليات بدلاً من إظهار الوسيط وكأنه يملك حقيقة عالمية اسمها «الامتثال».

تقدم Note 64 لـHeng Lu عدسة تصميمية مفيدة: لا ينبغي لخط أساس تقني مشترك أن يحول كل اختيار مستقبلي إلى طلب إذن مركزي. لا يعني ذلك تجاهل القواعد العامة، بل تحديد نطاقها بدقة وترك تقييم أثرها للمشغل محلياً. ويزداد ذلك أهمية عندما يكون أبرز «إخفاق» قيمة تشفيرية لم يلحق بها الدليل بعد.

ما الذي تثبته الأدلة وما الذي لا تثبته

توضح الدراسة أن عينة مؤسسية كبيرة تضمنت قيماً جديدة وقديمة لـTLS، وأن النتائج اختلفت بين الأدلة، وأن وسيطاً شبكياً استطاع فحص حقول محددة بأداء مرتفع في المختبر. لكنها لا توضح مدى تكرار الحجب في الإنتاج، أو أثره على المستخدمين، أو تمثيل العينة للإنترنت، أو معنى المجموعة الهجينة لأمن الاتصال من طرف إلى طرف.

لا تقلل هذه الفجوات من قيمة البحث؛ إنها تفصل القياس المفيد عن ادعاء نشر لا تدعمه الأدلة. النتيجة الأقوى ليست أن «80% من TLS غير آمن». بل أن المرور المرصود نفسه قد يحصل على تقييمات مختلفة جداً تحت أربع قواعد مرجعية، وأن المشغل يستطيع تحويل هذا التفاوت إلى قرار شبكي.

عندما يقول الدليل «غير مدرج»، لا ينبغي لمعالج الحزم أن يخترع السبب المفقود. على شخص أن يقرر هل القيمة محظورة أم غير مقيّمة أم مسموحة بموجب سياسة محلية أحدث. يجب أن يكون القرار مرئياً وقابلاً للمراجعة والتراجع. وإلا فلن تعود قائمة السماح تنفذ إرشاداً أمنياً فحسب؛ بل ستصبح، بصمت، سياسة الأمن ذاتها.

المصادر