الفجوة بين الادعاء والهندسة المعمارية
كل بائع سحابي يتعامل مع البيانات الحساسة يقدم نسخة ما من نفس الادعاء: "نحن نقوم بتشفير بياناتك." الادعاء صحيح تقريبًا دائمًا — وغالبًا ما يكون غير كافٍ.
اختراق LastPass في عام 2022 هو دراسة الحالة النهائية. قامت LastPass بتشفير خزائن كلمات مرور مستخدميها. استخدموا التشفير. كان الادعاء دقيقًا. ومع ذلك، تم تسريب 25 مليون مستخدم لخزائنهم المشفرة، وسُرِق 438 مليون دولار من مستخدمي LastPass في عمليات سرقة العملات المشفرة اللاحقة حتى عام 2025، وفقًا لأبحاث من Coinbase Institutional.
فرض مكتب مفوض المعلومات في المملكة المتحدة غرامة قدرها 1.2 مليون جنيه إسترليني على كيان LastPass في المملكة المتحدة في ديسمبر 2025 بسبب "الفشل في تنفيذ تدابير الأمان التقنية والتنظيمية المناسبة." كان التشفير موجودًا. لم تكن تدابير الأمان تلبي المعايير المطلوبة.
بالنسبة للمؤسسات التي تقيم أدوات الخصوصية السحابية — بما في ذلك منصات إخفاء الهوية للبيانات الشخصية — فإن سابقة LastPass تغير سؤال الشراء. السؤال ليس "هل يقومون بتشفير بياناتنا؟" بل هو "هل يمكنهم فك تشفير بياناتنا؟"
الأسئلة الأربعة حول المعرفة الصفرية التي تهم حقًا
عند تقييم ادعاء المعرفة الصفرية للبائع، تحدد أربعة أسئلة ما إذا كانت الهندسة المعمارية حقيقية:
1. أين تحدث عملية اشتقاق المفتاح؟
في هندسة المعرفة الصفرية الحقيقية، تحدث عملية اشتقاق مفتاح التشفير على جانب العميل — في المتصفح أو تطبيق سطح المكتب — قبل نقل أي بيانات. يتم استخدام المفتاح المشتق لتشفير البيانات محليًا. فقط النص المشفر ينتقل إلى خوادم البائع.
إذا كان البائع يشتق مفاتيح التشفير على خوادمه، فإنه يحتفظ بالمفاتيح. إذا كان يحتفظ بالمفاتيح، يمكنه فك التشفير. الادعاء دقيق تقنيًا ("نحن نقوم بالتشفير") ولكنه مضلل في دلالته.
2. هل يمكن للبائع الوصول إلى النص العادي في أي وقت؟
بعض الأدوات تشفر البيانات أثناء الراحة ولكن تفك تشفيرها للمعالجة — تشغيل نماذج الذكاء الاصطناعي، التحليلات، فهرسة البحث، أو توليد سجلات التدقيق. خلال فترة المعالجة، يكون النص العادي متاحًا على بنية البائع التحتية. أي اختراق خلال تلك الفترة يكشف البيانات بشكل غير مشفر.
3. ماذا يحدث تحت الإجراءات القانونية؟
إذا قدمت وكالة حكومية استدعاء للبائع، ما البيانات التي يمكنهم إنتاجها؟ يمكن إجبار بائع لديه مفاتيح على الخادم على إنتاج محتوى مفكوك التشفير. يمكن لبائع لديه هندسة معرفة صفرية إنتاج نص مشفر فقط — حتى تحت الإكراه القانوني، ليس لديهم شيء مفيد لتقديمه.
4. ماذا يكشف اختراق كامل للخادم؟
في تنفيذ حقيقي للمعرفة الصفرية، يؤدي اختراق كامل لبنية البائع التحتية إلى الحصول فقط على كتل مشفرة. يتلقى المهاجم نصًا مشفرًا بدون المفاتيح لفك تشفيره. في تنفيذ يتحكم فيه البائع، يكشف اختراق الخادم المفاتيح جنبًا إلى جنب مع البيانات.
فشل تنفيذ LastPass
كشف اختراق LastPass عن فجوة تنفيذ محددة: كانت الحسابات القديمة تستخدم PBKDF2 مع 1 تكرار فقط لاشتقاق المفتاح، بدلاً من 600,000 تكرار الموصى بها. جعلت عملية اشتقاق المفتاح الأضعف الهجمات بالقوة الغاشمة على الخزائن المسربة ممكنة حسابيًا.
هذا يوضح لماذا يتطلب تقييم ادعاءات المعرفة الصفرية فحص تفاصيل التنفيذ، وليس مجرد أوصاف هندسية. يمكن للبائع استخدام تصميم معرفة صفرية بينما ينفذه بشكل ضعيف. الأسئلة الصحيحة التي يجب طرحها تغطي كل من الهندسة المعمارية (موقع اشتقاق المفتاح) وقوة التنفيذ (الخوارزمية وعدد التكرارات).
اختراق Okta: وضع فشل مختلف
في أكتوبر 2023، كشفت Okta أن أكثر من 600,000 سجل دعم عملاء تم تسريبه في اختراق. Okta هي منصة هوية — الشركة التي تستخدمها العديد من المؤسسات لتأمين الوصول إلى أدواتها السحابية الأخرى. كان اختراق Okta وضع فشل مختلف عن LastPass: ليس ضعفًا في تنفيذ المعرفة الصفرية، ولكن اختراق للبنية التحتية للدعم التي تضمنت بيانات العملاء.
تعكس زيادة اختراقات SaaS بنسبة 300% في عام 2024 (AppOmni/CSA) كلا وضعي الفشل: نقاط الضعف المعمارية مثل LastPass واختراقات البنية التحتية مثل Okta. تعالج هندسة المعرفة الصفرية وضع الفشل المعماري. لا تقضي على جميع مخاطر الاختراق، لكنها تضمن أنه حتى في حالة اختراق كامل للبنية التحتية، لا يتم كشف أي بيانات عملاء قابلة لفك التشفير.
كيف يبدو التقييم الحقيقي
لفرق الشراء التي تقيم ادعاءات المعرفة الصفرية، قائمة التحقق للتقييم:
مراجعة الهندسة المعمارية:
- طلب الوثائق التي تظهر أين تحدث عملية اشتقاق المفتاح (على جانب العميل مقابل جانب الخادم)
- اطلب خوارزمية التشفير، طول المفتاح، وعدد التكرارات
- طلب تأكيد بأن النص العادي لا يتم نقله أبدًا إلى خوادم البائع
اختبار سيناريو الاختراق:
- اطلب من البائع وصف ما سيكشفه اختراق كامل للخادم
- إذا كانت الإجابة تتضمن أي شيء بخلاف "نص مشفر لا يمكننا فك تشفيره"، فإن الادعاء ليس معرفة صفرية حقيقية
مراجعة الإجراءات القانونية:
- اسأل ما إذا كان البائع يمكنه الامتثال لاستدعاء يتطلب إنتاج نص العميل العادي
- لا يمكن للبائعين الحقيقيين للمعرفة الصفرية إنتاج ما ليس لديهم
وثائق الامتثال:
- طلب وثائق امتثال البائع للمادة 32 من GDPR
- توفر شهادة ISO 27001 (خصوصًا الملحق A للتحكم في التشفير) تحققًا خارجيًا لممارسات إدارة المفاتيح
تؤكد الغرامة البالغة 1.2 مليون جنيه إسترليني من ICO على LastPass أن البائعين الذين يقدمون ادعاءات التشفير يخضعون لتقييم تنظيمي لمعرفة ما إذا كانت تلك الادعاءات تلبي المعايير المطلوبة. نفس إطار التقييم الذي يطبقه المنظمون متاح لفرق الشراء قبل حدوث الاختراق.
المصادر: