يفصل التخزين المشفّر بايتات الملف عن صلاحية فك التشفير، لكن المستلمين والبيانات الوصفية والنسخ المحلية تظل جزءًا من نموذج التهديد.
يمكن تخزين مرفق مشفّر من طرف إلى طرف على خادم دون منحه الملف بصورته الصريحة. يشفّر تصميم شائع الملف على جهاز المرسل بمفتاح محتوى جديد، ويرفع النص المشفّر، ثم يرسل المفتاح إلى المستلمين المقصودين داخل رسالة مشفّرة وموثّقة الأصالة.
هذا الفصل مفيد، لكن «التخزين عديم المعرفة» ليس مواصفة كاملة. ما زلت بحاجة إلى السؤال عن كيفية التعامل مع المفاتيح ومراجع الملفات وأسمائها وضوابط الوصول والنسخ التي نُزّلت.
دورة حياة المرفق
- إعداد الملف. يختار المرسل صورة أو فيديو أو مستندًا. إزالة البيانات الوصفية أو تحويل الترميز خطوة منفصلة؛ فالتشفير وحده لا يزيل EXIF أو خصائص المستند.
- إنشاء مواد التشفير. يولّد التنفيذ الآمن مواد المفتاح والقيمة غير المتكررة اللازمة وفق المخطط المختار.
- التشفير قبل الرفع. تتلقى خدمة التخزين بايتات مشفّرة بدل المحتوى الأصلي.
- توصيل مرجع موثّق الأصالة. تحمل رسالة الدردشة المشفّرة المعلومات اللازمة للمستلمين، مثل موقع الملف ومفتاح فك التشفير والبيانات الوصفية المرتبطة بسلامته.
- الجلب والتحقق. يجلب العميل المستقبِل كتلة البيانات ويتحقق من الأصالة قبل اعتبار النتيجة محتوى صالحًا.
- إدارة النسخ المحلية. قد يؤدي العرض أو التصدير أو التحرير أو الحفظ في المعرض إلى إنشاء نسخ خارج حدود التخزين المشفّر الأصلية.
قد يمر المفتاح عبر بنية المزود نفسه داخل غلاف مشفّر. وقد يكون وصف ذلك بأنه «خارج النطاق» مضللًا: فهو منفصل منطقيًا عن تخزين كتلة البيانات، لكنه لا يُسلَّم بالضرورة عبر قناة اتصال مستقلة.
ما الذي يضيفه التشفير الموثّق؟
يحمي مخطط التشفير الموثّق السرية ويكشف التغييرات غير المصرح بها ضمن نطاق التوثيق. وتعرّف مواصفة GCM من NIST أحد هذه التراكيب ومتطلباته. التعامل الصحيح مع المفتاح والقيمة غير المتكررة وفحص نتيجة التحقق أمور أساسية؛ فاسم خوارزمية معترف بها لا يجعل كل تنفيذ آمنًا.
يحتاج التطبيق أيضًا إلى ربط الملف بالرسالة والمحادثة الصحيحتين. صلاحية كتلة بيانات مشفّرة لا تثبت وحدها أنها تنتمي إلى هذه الدردشة تحديدًا. تحتاج معرّفات الملفات والحجم المتوقع وترتيب الأجزاء والبيانات الوصفية للمرفق إلى تصميم توثيق مناسب.
ما الذي قد تظل خدمة التخزين تعرفه؟
| المعلومات | هل يخفيها تشفير المحتوى وحده؟ |
|---|---|
| بايتات الملف الأصلية | صُمّم لإخفائها عن الأطراف التي لا تملك المفتاح |
| الحجم التقريبي بعد التشفير | عادةً لا |
| توقيت الرفع والتنزيل | عادةً لا |
| الحساب الذي يطلب ملفًا | يعتمد على تصميم التوجيه وضوابط الوصول |
| اسم الملف والوصف المرافق | فقط إذا كان البروتوكول يحميهما أيضًا |
| نسخة حفظها مستلم | لا؛ فالمستلم يملك أصلًا إمكانية الوصول إلى المحتوى الصريح |
تظل ضوابط الوصول مهمة حتى مع تشفير كتل البيانات. يمكنها الحد من التنزيل غير المرغوب والإساءة وانكشاف المعرّفات. التشفير ليس بديلًا عن التفويض أو سياسات الاحتفاظ أو التوافر.
الملفات الكبيرة تحتاج أكثر من شعار
قد يبث تصميم الملفات الكبيرة البيانات تدريجيًا أو يقسمها إلى أجزاء موثّقة. يمكن أن يقلل ذلك استخدام الذاكرة، لكن يجب تحديد ترقيم الأجزاء والطول النهائي وإعادة المحاولة ومعالجة الاقتطاع. لا تختلق أرقام أداء ولا تدّع أن وضع ملف داخل رسالة يسبب بالضرورة «تضخم حالة آلية التسنين»؛ فهذه النتائج تعتمد على التنفيذ.
يشمل الاختبار المفيد ملفًا صالحًا وبايتًا معدّلًا وتنزيلًا مبتورًا وجزءًا غُيّر ترتيبه ومحاولة جلب غير مصرح بها. نفّذ هذه الاختبارات فقط في بيئة اختبار مأذون بها وبملفات غير حساسة. سجّل ما إذا كان العميل يرفض البيانات غير الصالحة قبل فتحها.
ما الذي توثّقه Livara؟
تشرح صفحة أمان Livara التشفير قبل الرفع، ومفتاحًا عشوائيًا لكل ملف يُنقل داخل الجلسة المحمية، وحماية أسماء الملفات وأوصافها في المحادثات التي يكون فيها التشفير من طرف إلى طرف نشطًا، بما فيها المجموعات الخاصة المتوافقة. وتستثني المجموعات القديمة غير المتوافقة صراحةً من هذه التغطية. كما تميّز المحادثات المحمية عن قنوات البث العامة. هذه ادعاءات موثّقة عن المنتج، وليست تدقيقًا جديدًا للتنفيذ أُجري في هذه المقالة.
ويقرّ نموذج التهديد أيضًا بأن مستلمًا أو جهازًا مخترقًا قد يكشف محتوى مقروءًا. لذلك لا يستطيع التخزين المشفّر ضمان اختفاء صورة من كل جهاز عند حذف رسالتها من الدردشة.
أسئلة قبل مشاركة ملفات حساسة
تحقق من أن نوع المحادثة يدعم التشفير من طرف إلى طرف، وأن جميع المستلمين المقصودين موثوقون، وما إذا كان الملف نفسه يحتوي على بيانات وصفية كاشفة للهوية. راجع الحفظ التلقائي في المعرض والنسخ السحابي للصور كلًّا على حدة. وفي المستندات، فكّر فيما إذا كان ينبغي إزالة التعليقات أو سجل المراجعات أو الخصائص المضمّنة قبل الإرسال.
وأخيرًا، افهم الحذف والاستعادة. قد تمنع إزالة كتلة بيانات من الخادم تنزيلها مستقبلًا، لكنها لا تسترجع نسخة موجودة لدى المستلم. وقد يجعل فقدان المفتاح اللازم ملفًا مشفّرًا متبقيًا غير قابل للقراءة. يشرح التصميم الجيد للمرفقات النتيجتين بوضوح.
