الخلاصة

  • تعرّف RFC 9614 تجزئة الخصوصية بأنها فصل «من» عن «ماذا»، ضمن سياقات تجمع البيانات والبيانات الوصفية والكيانات التي تتشارك الوصول.
  • التشفير والمرحّلات والوسطاء المتعددون قد يضيّقون رؤية كل طرف، لكنهم لا يثبتون استحالة الربط إذا جمع التحكم أو المعرّف أو الحمولة أو السجلات أو التوقيت أو الحجم أو مسار الطوارئ الجزأين.
  • يحتاج الادعاء القابل للتدقيق إلى خريطة للسياقات والسيطرة والاحتفاظ والوصلات المسموح بها والقنوات الجانبية والتجاوز، وإلى قياس فعلي لقدرة الخصم على المطابقة.

يمكن لنظام أن يصدر إيصالين دقيقين وينتهي بنتيجة مضللة. الإيصال الأول يثبت أن المرحّل لا يملك النص الواضح. الثاني يثبت أن البوابة لا تستقبل عنوان المستخدم مباشرة. لكنهما لا يثبتان أن جهة واحدة لا تستطيع الوصول إلى الأثرين، ولا أن المعرّف نفسه لا يظهر في طبقة أخرى، ولا أن توقيت الرسائل وأحجامها عاجزان عن صنع مفتاح ربط.

هذه الفجوة بين الحقيقة المحلية والنتيجة الكلية هي موضوع RFC 9614، وهي وثيقة معلوماتية من مسار IAB نُشرت في يوليو 2024. تصف تجزئة الخصوصية بفصل المعلومات التي تعرّف المستخدم، أي «من»، عن المعلومات التي تصف نشاطه أو بياناته، أي «ماذا». والسياق هو مجموعة البيانات والبيانات الوصفية والكيانات التي تشترك في الوصول.

الهدف ليس وعداً عاماً بالمجهولية. إنه شرط هندسي أضيق: ينبغي ألا يشارك كيان غير العميل في سياقات تكشف الجانبين معاً. لذلك لا يكفي أن نقول إن هناك خادمين أو اتصالين. علينا أن نعرف من يسيطر، ومن يستطيع الاستعلام، وما الذي يمكن جمعه خلال مدة الاحتفاظ.

السياق سلطة وصول لا عنوان جهاز

قد تصبح آلات كثيرة سياقاً واحداً إذا أرسلت سجلاتها إلى مخزن واحد أو خضعت لمسؤول واحد. وقد تحتوي مؤسسة واحدة على سياقات قوية إذا فصلت المفاتيح والصلاحيات والاحتفاظ والمراجعة. الحدود القانونية والتقنية مفيدة بقدر ما تغيّر القدرة الفعلية على الجمع.

لهذا لا يصلح عدد الوسطاء مقياساً بمفرده. إضافة قفزة قد تمنع طرفاً من رؤية الوجهة أو توسع مجموعة التخفي. لكنها تضيف أيضاً مشغلاً وسجلاً ونقطة فشل وافتراضاً جديداً بعدم التواطؤ. يمكن أن توزع السياقات المعرفة أو أن توسع مساحة الثقة.

تقدم RFC 6973 لغة عامة لتهديدات الخصوصية وتقليل البيانات. وتدفع RFC 9614 الفحص نحو العلاقة. قد يبدو العنوان أو الاستعلام أو الوقت محدوداً وحده؛ وعند جمعها يصبح لدينا وصف لشخص. لذلك يجب البحث عن مفاتيح الربط الصريحة وعن الإشارات التي تعمل كمفاتيح من دون اسم.

الخريطة الكاملة تعبر الطبقات: عنوان الشبكة، حل الأسماء، نهاية التشفير، اتصال النقل، رمز الحساب، بصمة الجهاز، الفوترة، الدعم، مكافحة الاحتيال والرصد. رسم المسار العادي وحده يستبعد السياقات الإدارية التي تتجمع فيها السجلات الطويلة.

التشفير يغيّر المراقب

يحجب TLS المحتوى عمن لا ينهي الاتصال. لكن نقطة الإنهاء ترى النص الواضح وغالباً ترى الطرف المتصل. فإذا قامت الخدمة نفسها بالمصادقة ومعالجة الطلب، صار لديها «من» و«ماذا». نجح التشفير ولم يتحقق الفصل المطلوب عند تلك النقطة.

تنقل الشبكة الخاصة الافتراضية الرؤية كذلك. قد لا يرى مزود الوصول الوجهة كما كان يراها، لكن مشغل الشبكة الخاصة يرى الاتصال الوارد والاتصال الصادر. قد يكون هذا التغيير أفضل ضمن نموذج تهديد محدد، لكنه لا يلغي المراقبة، بل ينقلها إلى جهة ينبغي فحص سيطرتها واحتفاظها.

تبقى الاتصالات المنفصلة قابلة للربط إن حملت الرمز نفسه أو بصمة جهاز أو سلوكاً نادراً. تقلل RFC 8981 الربط الناشئ عن عنوان IPv6 ثابت باستخدام عناوين مؤقتة، لكن معرّف التطبيق الدائم قد يمحو المنفعة. دوران طبقة لا يعالج ثبات طبقة أخرى.

تصف RFC 9000 QUIC، وتصف RFC 9180 التشفير الهجين HPKE. تضع الآليتان حدوداً مهمة، لكنهما لا تحددان من يدير الطرفين ولا مدة السجل ولا ما إذا كانت الحمولة تتضمن بريداً أو موقعاً. يضع التشفير حد القراءة؛ ويحدد التشغيل من يقف على جانبيه.

OHTTP يجعل الفرضية قابلة للاختبار

تعرّف RFC 9458 HTTP الغافل. يشفّر العميل الطلب للبوابة ويرسله عبر مرحّل. يرى المرحّل اتصال العميل ولا يقرأ المحتوى، وتفتح البوابة الطلب ولا تستقبل اتصال العميل مباشرة. تطبق RFC 9230 فكرة قريبة على DNS عبر HTTPS.

هذا فصل حقيقي: لم تعد الوجهة العادية تملك العلاقة كاملة بصورة افتراضية، وأصبح الربط الجماعي أصعب. لكن النتيجة مشروطة. يستطيع المرحّل والبوابة تحت سيطرة مشتركة محاذاة السجلات. ويمكن لبريد داخل الحمولة أن يكشف الهوية للبوابة. وفي المرور القليل قد يعمل التوقيت والحجم معرّفاً غير معلن.

العبارة الصحيحة محدودة: لا يستلم المرحّل النص الواضح، ولا تستلم البوابة الاتصال المباشر، ويحتاج خصم محدد إلى معلومات إضافية أو تعاون ليستعيد العلاقة. هذه العبارة تحافظ على الفائدة وتحدد ما يجب تدقيقه، خلافاً لعبارة «المستخدم مجهول».

ينبغي للاختبار إرسال معاملات معروفة وتغيير الأحجام والفواصل، ثم محاولة المطابقة من منظور المرحّل والبوابة والمشغل المشترك ومراقب الشبكة. ويجب تكراره مع الطوابير وإعادة المحاولة وانخفاض المرور والفشل الإقليمي. حماية لا تعيش إلا في حالة المختبر الهادئة ليست خاصية تشغيلية.

Privacy Pass يتغير مع نموذج النشر

تصف RFC 9576 بنية Privacy Pass بأدوار مثل الأصل والمُثبت والمُصدر. تتغير الخصوصية وفق من يدير كل دور والمعرّفات التي يراها وإمكان مطابقة التوقيت. اختلاف أسماء الأدوار لا يثبت اختلاف السلطة.

قد تدير مجموعة واحدة دورين أو تشترك الأدوار في حساب سحابي ومنصة أمن ودعم. إثبات نادر يعقبه استخدام نادر قد يصنع مطابقة قوية من دون رمز مشترك. لذلك يجب أن يسمي الادعاء نموذج النشر لا عائلة البروتوكول فقط.

تصبح الملكية والمقاولون وامتيازات الإدارة والوصول الطارئ بيانات تقنية. قد يخفض تعهد عدم التعاون الخطر إذا دعمه احتفاظ قصير وسجل وصول وتدقيق وعقوبة. لكنه لا يجعل قاعدة يستطيع طرف واحد فتحها قاعدتين مستقلتين.

والاستقلال ليس مجانياً. كل مشغل يضيف تأخيراً وفشلاً وسطح هجوم ونقطة إكراه. الهدف ليس تعظيم عدد المؤسسات، بل اختيار أصغر ترتيب مستقل يحقق هدفاً مقاساً ويبقى قابلاً للفحص أثناء الضغط.

الوقت والحجم يحملان معنى

السجل الخالي من الاسم قد يحدد شخصاً. رسالة بحجم غير مألوف تدخل المرحّل ثم تظهر في البوابة بعد لحظات تصنع مرشحاً. تسلسل الأحجام والفواصل يقوي البصمة. ساعات المرور المنخفض والمناطق الصغيرة تقلل مجموعة التخفي.

يقلل الحشو فروق الحجم، ويشوّش التأخير والتجميع والمرور التمويهي التوقيت. لكنها تستهلك النطاق والطاقة والكمون. وقد يكون للمرور المصطنع نمط خاص. لا تضع RFC 9614 إعداداً كونياً لأن الخدمات والخصوم يختلفون.

يجب أن يظهر الحد في وصف المنتج. قد يحمي النظام المحتوى من شبكة الوصول ولا يقاوم مراقباً عالمياً يقارن الزمن. وقد يصعّب الربط الجماعي ولا يمنع تحليلاً موجهاً. الحماية المحددة مفيدة؛ المشكلة في اللغة المطلقة.

ينبغي للقياس تغطية الأطراف لا المتوسط فقط. تجعل إعادة المحاولة والرسائل الطويلة والأخطاء النادرة والحوادث الإقليمية فئة صغيرة أكثر قابلية للتعرف. يجب نشر دقة المطابقة واسترجاعها وحجم المرشحين ونافذة الاحتفاظ لكل حالة تشغيلية.

مسار الطوارئ يعيد دمج الجزأين

يزيد الوسطاء الكمون والاعتماد، لذلك يعد المشغلون وضعاً مباشراً أو قفزة واحدة أو رأس تشخيص أو استثناء لمكافحة الإساءة. قد تحمي هذه الوسائل الخدمة والأمن. وهي تغير أيضاً السياق الذي يرى الجانبين.

يبقي الفشل المفتوح الخدمة ويكشف هوية أكثر. ويحفظ الفشل المغلق الفصل ويرفض الخدمة. يختلف القرار حسب المنتج، لكن لا ينبغي أن يتكون سراً أثناء الحادث. يجب تحديد المحفز والمصرح والمدة والمتأثرين والحقول الجديدة.

تضغط مكافحة الإساءة في الاتجاه نفسه. تفضل حدود المعدل والاحتيال إشارات ثابتة. إدخال معرّف عالمي خفي يلغي التصميم. البدائل تشمل رموزاً مقيدة بالسياق وتجميعاً واحتفاظاً قصيراً وقبول إنذارات كاذبة أكثر، ولكل منها كلفة يجب إظهارها.

توفر RFC 9297 وRFC 9484 سياقاً لبيانات HTTP والكبسولات وتمرير IP عبر HTTP. تسمح الصيغ ببناء مسارات غنية، لكنها لا تثبت المسار الذي عمل عند الفشل ولا البيانات الوصفية التي بقيت.

بناء إيصال قابل للتدقيق

يبدأ الإيصال بخريطة سياق ذات نسخ. لكل سياق تسجل البيانات والبيانات الوصفية والكيانات والمشغل والمعالجين والمعرّفات والبصمات والاحتفاظ والوصلات والحذف. توضع نقاط انتهاء التشفير ويُرسم المسار العادي وإعادة المحاولة والتشخيص ومكافحة الإساءة والطوارئ.

ثم تصنف قوة الفصل. بعض الوصلات مستحيلة من دون كسر التشفير، وبعضها ممنوع بعقد، وبعضها غير معتاد فقط. جمعها تحت كلمة «غير قابل للربط» يحول ممارسة قابلة للتغيير إلى ضمان تقني.

بعد ذلك يأتي القياس. يحاول فريق مخول ربط معاملات مزروعة بالتوقيت والحجم والترتيب والمنطقة والأحداث النادرة. يعيد الاختبار مع تغير المرور والفشل وخلال نافذة الاحتفاظ الحقيقية.

وأخيراً تُراقب التغييرات. الاستحواذ ومنصة التحليل المشتركة والاحتفاظ الأطول والمعالج الجديد والوصول الطارئ قد تدمج السياقات من دون تعديل البروتوكول. كل واحد منها تغيير في حدود المنتج.

المصادر