الخلاصة

  • تقول صفحة أكتوبر 2026 إن Assembly Voting سترسل رسالتين: إحداهما تحمل رابطاً فريداً ورمز التصويت 1 مُعبّأ مسبقاً، والأخرى تحمل رمز التصويت 2 المطابق لرقم التسجيل في الجمعية العامة.
  • عند إطلاق المنصة عام 2022، وصفت RIPE NCC رقم التسجيل بأنه يصل منها، فيما ترسل Assembly Voting رسالة منفصلة بالرابط والرمز الآخر. تغيّر الوصف العلني، لكن السجل الحالي لا يوضح حدود الاعتماد بين المكوّنات.
  • لا يثبت هذا الاختلاف ضعفاً أمنياً أو تصويتاً غير مشروع أو كشفاً للسرية أو تغييراً للنتيجة. إنه يثبت فقط أن عدّ الرسائل وترقيم الرموز لا يكفيان لإثبات الاستقلال أو سلطة الاسترداد أو فصل الهوية عن الورقة.
  • تستطيع خريطة ذات إصدارات لكل جمعية أن تنشر الغرض والمُصدر والقناة والتفعيل وإعادة الإرسال والإلغاء وفصل الهوية ونطاق المراقب، من دون كشف القيم السرية أو البيانات الشخصية.

رحلة واضحة للمستخدم وحدود غير واضحة للثقة

ستُعقد الجمعية العامة لـ RIPE NCC، وفق الجدول الحالي، بين 28 و30 أكتوبر 2026. تستخدم الجمعية منصة Assembly Voting التابعة لطرف ثالث. وتقول التعليمات إن كل ناخب مسجل ومؤهل سيتلقى رسالتين من Assembly Voting، وإنهما تصدران من عنوان إرسال واحد تابع للمنصة. تحتوي إحداهما على رابط شخصي ورمز التصويت 1 مُدخلاً سلفاً، فيما تحتوي الأخرى على رمز التصويت 2، وهو نفسه رقم تسجيل الجمعية العامة.

توضح الصفحة أيضاً أن الرابط لا يعمل قبل فتح التصويت، وأن خادم البريد يحتاج إلى دعم TLS 1.2، وأن Safari قد لا يُظهر الرمز المعبأ، وأن على من لا يتلقى الرسائل التواصل مع فريق الجمعية. هذه تفاصيل مفيدة؛ فهي تحول عبارة «تصويت آمن» إلى خطوات يستطيع العضو تنفيذها واستكشاف أعطالها.

لكن الرقم لا يحدد طبيعة عنصر الاعتماد. قد يكون الرمز 1 سراً داخل الرابط، أو معرفاً، أو مرجعاً مبهمًا إلى حالة محمية. وقد يكون الرمز 2 سراً منفصلاً، أو قيمة تسجيل جرى استيرادها إلى المنصة. لا تجيب المصادر العامة التي روجعت، ولا ينبغي للمقال أن يخمّن.

السؤال القابل للتدقيق هو: من ينشئ كل قيمة؟ ما النظام المصدر؟ هل يستطيع طرف يعرف أحدهما اشتقاق الآخر؟ ماذا يُبطل بعد إعادة الإرسال؟ من يملك تغيير عنوان التسليم؟ متى تنتهي صلاحية الرابط؟ وفي أي نقطة تنفصل الهوية اللازمة لمنح حق التصويت عن الاختيار الذي يجب ألا ينسب إلى صاحبه؟

غياب الإجابة من الصفحة العامة لا يعني غياب الضبط داخل الأنظمة. النتيجة الدقيقة أضيق: لا يستطيع العضو إعادة بناء مسار الثقة من السجل المنشور.

في 2022 كان الوصف يرسم فصلاً آخر

قدمت RIPE NCC منصة Assembly Voting عام 2022 ضمن سرد أوسع من تعليمات الاستخدام. ذكرت قابلية التحقق من طرف إلى طرف، وتشفير الأصوات، ولوحة إعلانات رقمية، ومراسم لفتح المفاتيح وإغلاقها يشارك فيها المزود وRIPE NCC ومراقب مستقل.

وفي مسار الدخول، قالت إن RIPE NCC سترسل إلى العضو رقم التسجيل، ثم ترسل Assembly Voting رسالة منفصلة تتضمن رابط المنصة والرمز الثاني. كما أتاح دليل ذلك العام تنزيل إيصال والتحقق عبر اللوحة من تسجيل الورقة.

لا يجعل هذا الترتيب القديم أقوى حكماً. قد تصل رسالتان من مؤسستين إلى صندوق بريد واحد. وقد يجمعهما تحويل تلقائي. ولا يثبت اختلاف خانة المرسل أن مخازن الأسرار أو المسؤولين أو مسارات الموافقة مستقلة. وبالعكس، لا يثبت إرسال الرسالتين من عنوان Assembly Voting في 2026 أن الضوابط الداخلية اندمجت أو ضعفت.

المؤكد هو تغير الوصف العلني. ففي مايو 2026 عرضت شرائح الإجراءات عنوان Assembly Voting للرسائل، ووصف التقرير الموقّع الدخول بأنه «2 factor» باستخدام الرمز 1 والرمز 2. وسجل رسالة أولى فيها الرابط والرمز 1، ثم ثانية فيها الرمز 2. وتعيد صفحة أكتوبر التجربة نفسها. لكنها لا توضح علناً كيف ينتقل رقم التسجيل من نظام RIPE NCC إلى منصة الاقتراع، ولا ما العزل الذي يبقى، ولا لماذا ينبغي عدّ العنصرين عاملين مستقلين.

الحل ليس جدلاً لغوياً حول تسمية قديمة. إن كان التغيير تحريرياً فقط، تُسجل الخريطة أن البنية لم تتغير. وإن جُمّع التسليم لتقليل الأخطاء، تشرح الضبط التعويضي. وإن كان لكلمة «عامل» معنى محدد في المنتج، يذكر السجل الخطر الذي يعالجه كل عنصر.

المصادقة القوية تسبق منصة الاقتراع

يبدأ التسجيل في LIR Portal. يدخل الشخص إلى الحساب، ويختار المؤسسة التي يمثلها، ويقرر التصويت، ثم يتلقى تأكيداً يتضمن رقم التسجيل. وتقول RIPE NCC إن المصادقة الثنائية إلزامية لحسابات RIPE NCC Access. كما تعتمد الأهلية على وضع العضوية ومدتها وعدم تعليقها وسداد الرسوم وصفة الشخص المخول.

هذه طبقة دفاع مهمة. فرقم التسجيل لا يُعطى لعنوان عشوائي؛ بل يأتي بعد جلسة حساب محمية وقرار مرتبط بمؤسسة مؤهلة.

مع ذلك، لا يصح دمج مصادقة البوابة بخطاب واحد مع دخول التصويت اللاحق. تثبت الأولى أن صاحب حساب قدّم عوامل RIPE NCC Access وأجرى التسجيل في لحظة معينة. ويثبت المسار اللاحق أن شخصاً يحمل الرابط والقيمة المرتبطة بالتسجيل يستطيع دخول المنصة أثناء النافذة. ولا تقول الصفحات العامة إن العامل الأصلي يُطلب مرة أخرى، أو يرتبط تشفيرياً بجلسة الاقتراع، أو يلزم عند تغيير عنوان البريد.

قد يكون الفصل مقصوداً لحماية التوافر. لو احتاج كل اقتراع إلى LIR Portal من جديد، فقد يؤدي عطل فيه إلى إغلاق صندوق جاهز للعمل. المنصة المستقلة تقلل هذا الاعتماد. لكن الاستقلال التشغيلي يزيد أهمية وصف التسليم: ما تأكيد الأهلية الذي ينتقل إلى المزود، ومن يستطيع تعديله، وكيف لا تغير المعالجة الطارئة هيئة الناخبين من دون أثر؟

الاسترداد هو موضع ظهور السلطة

يسجل تقرير مايو 2026 سبعة وعشرين طلب مساعدة. ويضيف أنه عندما قدّم الشخص عنوان بريد بديلاً إلى الموظفين، أعيد إرسال رسائل التصويت عبر النظام إلى العنوان الجديد.

لا توجد قرينة على أن الحالات السبع والعشرين كانت خروقات أمنية. قد يحجب المرشح رسالة، أو يفشل التوافق، أو يفقد ممثل المؤسسة بريده، أو يحتاج إلى تصحيح مشروع. ومن دون الاسترداد تتحول الحماية الشكلية إلى استبعاد عملي. ومن الإيجابي أن التقرير ذكر العدد وواقعة إعادة الإرسال.

لكن نقل التسليم قرار سلطة. من يحق له طلب العنوان البديل؟ ما السجل المستخدم للتحقق؟ هل يحتاج الموظف إلى موافقة ثانية؟ هل تُلغى الروابط والرموز القديمة فوراً؟ هل يظل المساران القديم والجديد صالحين في الوقت نفسه؟ هل يُحفظ السبب والتوقيت وهوية الموافق؟ وهل يفحص المراقب المستقل سجل الاستثناءات؟

يمكن الإجابة من دون أسماء. يستطيع الإيصال النهائي فصل حالات فشل التسليم، وتغيير العنوان، واستبدال بيانات الاعتماد، والحالات غير المحسومة. ويمكنه ذكر عدد بيانات الاعتماد القديمة التي أُبطلت، وفئات الأدلة التي فحصها المراقب، وما إذا بقيت قضية لناخب مؤهل عند الإغلاق. لا حاجة لنشر العناوين أو الوثائق أو اختيار أي عضو.

من يملك تغيير مسار الاسترداد يملك جزءاً من بوابة الاقتراع. يجب أن يكون المسار مرناً بما يكفي لإعادة حق عضو مشروع، وضيقاً بما يكفي كي لا تنشئ الراحة الإدارية ناخباً جديداً.

تبدأ الخريطة من سجل العضو وتنتهي عند فصل الورقة

لا ينبغي أن تبدأ الخريطة من البريد. تبدأ من العضو والشخص الطبيعي المخول. ثم تمر بجلسة LIR Portal، واختيار المؤسسة، وطلب التصويت، ورقم التسجيل، وتسليم بيانات الأهلية إلى المزود، وإنشاء الرابط، وأحداث البريد، والتفعيل، والمحاولات الفاشلة، والدعم، والاستبدال، والدخول، وإيداع الورقة، والإغلاق.

يحمل كل مكوّن نوعاً واضحاً: إثبات هوية، أو تفويض، أو سر حيازة، أو معرف، أو مرجع. ويُسجل المُصدر والمصدر الأصلي والمدة والاعتماد وقاعدة الإبطال. تبقى القيمة سرية، لكن تصبح الوظيفة معلومة.

ثم تُبيّن الخريطة حد الخصوصية. تحتاج الأهلية إلى هوية معروفة. وتحتاج سرية الاقتراع إلى منع نسبة الاختيار النهائي إلى تلك الهوية. وتحتاج قابلية التحقق من طرف إلى طرف إلى أن يتأكد الناخب من إدراج صوته أو معالجته من دون أن يحصل على إثبات قابل للنقل يبيّن لمن صوّت.

يمكن جمع الخصائص الثلاث، لكن يجب إعلان مواضع الانتقال: هنا تُثبت الهوية، وهنا يصدر الاستحقاق، وهنا تُستهلك بيانات الدخول، وهنا تُحمى صلة الشخص، وهنا تُسجل الورقة المشفرة، وهنا يفحص المراقب.

كانت مواد 2022 تعرض اللوحة والإيصال ومراسم المفاتيح والمراقب الخارجي. أما تعليمات 2026 فتعرض نقرة المستخدم. المفقود هو السجل التشغيلي الحالي الذي يصل بينهما. دليل الاستخدام ليس نموذج تهديد، والنموذج التاريخي ليس إيصال تشغيل للجمعية الحالية.

يمكن نشر بنية الضبط وحماية الأسرار

لا تحتاج الخريطة إلى طول الرمز أو معدل عشوائيته أو بنية قاعدة البيانات أو أسماء الخوادم أو مستندات الهوية أو طرق الالتفاف. يكفي أن تنشر القاعدة والمسؤول والوقت المرجعي للأهلية؛ والغرض والمُصدر والإصدار عند الإنشاء؛ وفئة المرسل ونافذة التسليم والأعطال المجمعة؛ ودور الموافق وقاعدة الاستبدال والإلغاء في الاسترداد؛ ونقطة فصل الهوية ونطاق التصديق؛ والمراقب والاستثناءات والتسوية عند الإغلاق.

لكل جمعية إصدار محفوظ. لا تمحو الصفحة الجديدة السابقة. إذا تغير مسار المرسل ظهر الفرق وسببه. وإذا لم تتغير البنية وتغير النص فقط، ظهر ذلك أيضاً. هكذا تختفي الحاجة إلى استنتاج النظام من اسمي رمزين.

يناسب ذلك حجم السلطة. اجتماع RIPE NCC ليس انتخاباً لكل مستخدمي الإنترنت في أوروبا؛ إنه فعل داخلي لجمعية أعضائها المؤهلون. وتضع اللوائح تنظيم الإجراء التقني للتصويت الإلكتروني على عاتق المجلس التنفيذي. السلطة محدودة لكنها تنتج قرارات حقيقية، ولذلك تحتاج إلى دليل حقيقي ضمن حدودها.

يضع منظور Lu Heng التنفيذ قبل اللغة المؤسسية. لا تتطلب النتيجة توسيع سلطة RIPE NCC، بل جعل الطبقة المشتركة الضيقة قابلة للفحص: الأهلية، والوصول، والاسترداد، والتدقيق، والسرية، والسجل. لقد نشرت المؤسسة معظم القطع؛ وما ينقص هو جمعها في خريطة بصيغة الحاضر.

المصادر