كيف تُحمى بياناتك

ما الذي يحدث عند المزامنة

1. على جهازك

كل ملف تعريف هو ملف واحد. وفي داخله قاعدة بيانات صغيرة تضم خوادمك، وبيانات دخولك، ومفاتيح SSH، والملاحظات، والإعدادات. تُضغط قاعدة البيانات كاملةً ثم تُشفَّر باستخدام AES-256-GCM. وتُستخدم قيمة nonce عشوائية جديدة في كل مرة يُحفظ فيها الملف، ويُكتب الملف أولًا في نسخة مؤقتة، فلا يمكن لعطل مفاجئ أن يترك وراءه ملفًا ناقصًا.

يُشتق المفتاح من كلمة مرور ملف التعريف عبر Argon2id، بذاكرة قدرها 64 MiB، و3 تمريرات، و4 مسارات، وملح (salt) عشوائي لكل ملف تعريف. هذه الإعدادات ثابتة في التطبيق، لذا لا يمكن لملف معدَّل أن يُضعفها.

لا تُكتب كلمة المرور على القرص أبدًا، ولا تُرسَل إلى أي مكان. وبعد اشتقاق المفتاح، تُمحى نسخة كلمة المرور الموجودة في نواة التطبيق، ويُمحى المفتاح عندما تقفل ملف التعريف. ويؤدي القفل أيضًا إلى إغلاق كل الاتصالات، وإلغاء أي تسجيل دخول لا يزال جاريًا. إذا نسيت كلمة المرور، فلا يمكن فتح ملف التعريف. ولا توجد إعادة تعيين، لأنه لا يُحتفظ في أي مكان بشيء يمكنه فتحه.

الفتح السريع (Quick unlock) اختياري ومعطّل افتراضيًا. على Windows يستخدم Windows Hello ووحدة TPM، وعلى Android يستخدم مستشعر بصمة الإصبع وAndroid Keystore. يحتفظ النظام بمفتاح ملف التعريف، لا بكلمة مرورك أبدًا، ولا يُزامَن المفتاح أبدًا. وعلى Android، يكون النسخ الاحتياطي السحابي الذي يجريه النظام لبيانات التطبيق معطّلًا.

على Windows، عندما يفتح برنامج Remote Desktop Connection خادمًا له كلمة مرور محفوظة، يسلّم التطبيق كلمة المرور في ملف ‎.rdp قصير العمر. وتكون كلمة المرور فيه مشفّرة باستخدام Windows DPAPI لمستخدم Windows الخاص بك، ويُحذف الملف فور أن يقرأه Remote Desktop Connection (بعد 30 ثانية على الأكثر؛ وأي ملف يبقى بسبب عطل مفاجئ يُزال عند التشغيل التالي).

• اشتقاق المفتاح (إعدادات Argon2id) lib.rs:237–254
• AES-256-GCM مع قيمة nonce جديدة lib.rs:256–263
• حفظ ملف التعريف lib.rs:431–486
• كلمة المرور لبرنامج Remote Desktop Connection (DPAPI) rdp.rs:178–193

2. المزامنة السحابية (Cloud sync)

المزامنة معطّلة إلى أن تسجّل الدخول. لكل ملف تعريف مفتاح بيانات عشوائي خاص به بطول 256 بت، ويُحفظ داخل ملف التعريف المشفّر. وقبل الرفع، يُشفَّر كل عنصر (خادم، أو بيانات دخول، أو مفتاح، أو ملاحظة…) على حدة بهذا المفتاح، باستخدام AES-256-GCM وقيمة nonce عشوائية جديدة.

وإلى جانب كل عنصر مشفّر، يتلقى الخادم معرّفًا عشوائيًا، ونوع العنصر، وطابعًا زمنيًا، وعلامة تبيّن ما إذا كان قد حُذف. ويتضمن الطابع الزمني معرّفًا عشوائيًا للجهاز الذي أجرى التغيير. ويدل حجم العنصر المشفّر على حجم العنصر تقريبًا. ويخزّن الخادم أيضًا اسم كل ملف تعريف. أما مفاتيح المضيفات المعروفة، وسجل الأوامر، وإعدادات المراقبة، والخيارات المحفوظة لهذا الجهاز وحده، فلا تُزامَن أبدًا.

هذا ما يخزّنه الخادم لعنصر واحد: (مثال)

{
  "uuid": "6f1c2e0a9b7d4c3e8a5f0d1b2c3e4f50",
  "entity_type": "servers",
  "updated_at": "001761043562118:00000:9f3a61c2d4e5b7a8",
  "deleted": false,
  "blob": "4e8a1f0c2b9d3e7a5c6f8b1d0a2e4c6b8d0f1a3c5e7b9d1f…"
}

• تشفير كل عنصر مُزامَن lib.rs:1050–1056
• ما يُرسَل لكل عنصر lib.rs:1086–1124

3. فتح ملف تعريف على جهاز جديد

لفتح ملف تعريف مُزامَن على جهاز آخر، يحتاج ذلك الجهاز إلى مفتاح البيانات الخاص بملف التعريف. لذلك يحتفظ الخادم بسجل إضافي واحد: مفتاح البيانات مشفّرًا بمفتاح مشتق من كلمة مرور ملف التعريف، بإعدادات Argon2id نفسها. ولا يستطيع الخادم فتحه.

وهذا أيضًا أهم ما قد يحاوله مهاجم لو سرق بيانات الخادم يومًا: تخمين كلمة مرور ملف التعريف دون اتصال. فكل تخمين يكلّف تشغيلًا كاملًا لـ Argon2id، لذا فإن كلمة مرور طويلة لا تستخدمها في أي مكان آخر تُبقي بياناتك في أمان.

• النسخة المخزّنة من مفتاح ملف التعريف lib.rs:1551–1569
• فتحها على جهاز جديد lib.rs:1574–1594

4. كلمة مرور حسابك

لحساب المزامنة كلمة مرور خاصة به، منفصلة عن كلمة مرور ملف التعريف. تُرسَل إلى الخادم عند تسجيل الدخول ضمن اتصال HTTPS، ولا يخزّن الخادم منها إلا تجزئة bcrypt. وبعد إدخال 5 كلمات مرور خاطئة، يتوقف تسجيل الدخول بكلمة المرور مؤقتًا لمدة 15 دقيقة.

تعمل الخدمة خلف Cloudflare، التي تتولى اتصال HTTPS نيابةً عنها. لذا يمكن لـ Cloudflare، مثل الخادم، أن ترى كلمة مرور حسابك عند تسجيل الدخول، لكنها لا ترى عناصرك إلا بصيغتها المشفّرة.

لا تستخدم أبدًا كلمة مرور ملف التعريف كلمةَ مرور لحسابك. وبذلك لا يمكن لأي شيء يراه الخادم أو Cloudflare، في أي وقت، أن يفتح ملفات التعريف الخاصة بك.

• طلب تسجيل الدخول cloud.rs:105–108

5. مشاركة ملف تعريف

لمشاركة ملفات التعريف، لكل حساب زوج مفاتيح X25519. ويُشفَّر المفتاح الخاص بمفتاح مشتق من عبارة مرور المشاركة (باستخدام Argon2id هنا أيضًا)، ولا تغادر عبارة المرور جهازك أبدًا. ويحصل كل عضو في ملف تعريف مشترك على مفتاح بيانات ملف التعريف مختومًا بمفتاحه العام.

عندما تدعو شخصًا، يستخدم التطبيق المفتاح العام الذي يقدّمه الخادم لعنوان البريد الإلكتروني ذاك. وإذا تغيّر مفتاح أحد الأعضاء لاحقًا، يُعلمك التطبيق بذلك ويعرض بصمة يمكنك مقارنتها معه. يعرف الخادم أسماء ملفات التعريف المشتركة ومن هم أعضاؤها، لكنه لا يعرف محتواها.

• ختم مفتاح لعضو identity.rs:91–114
• دعوة عضو lib.rs:2661–2719

6. لو كان الخادم خبيثًا

الأمان الجيد لا يقتصر على ما يُفترض أن يفعله الخادم. إليك ما يمكن لشخص يتحكم بالخادم تحكمًا كاملًا أن يفعله، وما لا يمكنه فعله.

7. كل ما يتصل به التطبيق

خوادمك أنت، والخوادم الوكيلة وخوادم القفز التي تضبطها لها. وخادم المزامنة، فقط عندما تكون مسجّل الدخول. وGitHub، للتحقق من وجود إصدار أحدث: عند فتح قائمة ملفات التعريف، وعندما تضغط «Check for updates» (التحقق من التحديثات)، يستعلم التطبيق من قائمة الإصدارات العامة على GitHub. ولا يحمل هذا الطلب إلا اسم التطبيق وإصداره.

لا يحتوي التطبيق على أي شيفرة للتحليلات أو للإبلاغ عن الأعطال أو للإعلانات. وفي المزامنة، لا يثق التطبيق إلا بقائمته المدمجة من جهات إصدار الشهادات، ولا يتبع أي إعادة توجيه أبدًا، لذا لا يمكن توجيهه خفيةً إلى خادم آخر.

• التحقق من التحديثات about.rs:75–139

8. ما الذي يحصل عليه سطح المكتب البعيد من جهازك

الحافظة. النص الذي تلصقه في علامة تبويب RDP أو VNC يذهب إلى ذلك الخادم، ولا يُعرض عليه أي شيء قبل أن تلصق. وعندما يكون خيار Share the clipboard مفعّلًا (وهو الإعداد الافتراضي، ويُضبط لكل خادم على حدة)، يوضع النص المنسوخ على سطح المكتب البعيد في حافظة هذا الجهاز. وهو نص فقط، لا ملفات أبدًا، ولا ينقل VNC إلا نص ASCII العادي.

الملفات، فقط مع عميل RDP المدمج على الحاسوب، وفقط إذا اخترت مجلدًا أو محرك أقراص لذلك الخادم، للقراءة فقط إن شئت. ويراه الخادم على أنه محرك أقراص ضمن \\tsclient، ولا يرى شيئًا آخر من حاسوبك. ويُفحص كل مسار يطلبه: لا ..، ولا يُتبع أي رابط على طول المسار، فلا يمكن الوصول إلى أي شيء خارج ما اخترته.

وتُحفظ هذه الخيارات على هذا الجهاز ولا تُزامَن أبدًا، لذا لا يستطيع أي شخص تشارك معه ملف تعريف أن يفعّلها.

• إبقاء مسارات المجلد المشارَك داخله rdp_share.rs:121–147
• ما يُسمح لحافظة VNC بنقله vnc_client.rs:180–188

تحقّق بنفسك

لا داعي لأن تصدّق كلامنا في أي من هذا. إليك طرقًا للتحقق، من السهلة إلى المتقدمة.

1. اقرأ الشيفرة

   التطبيق مفتوح المصدر. والروابط في هذه الصفحة تقودك إلى الأسطر نفسها التي تؤدي هذا العمل، في نسخة الشيفرة التي تصفها هذه الصفحة (c9dec31).

2. راقب الاتصالات

   استخدم جدار حماية أو أداة لمراقبة الشبكة. سترى خوادمك أنت، وخادم المزامنة فقط أثناء تسجيل دخولك، وكذلك api.github.com عند فتح قائمة ملفات التعريف. ولا شيء غير ذلك.

3. انظر إلى ما يخزّنه الخادم

   متقدّم: خذ رمز الجلسة الخاص بك من مجلد بيانات التطبيق (cloud_token.json)، واطلب بياناتك من واجهة API مع الترويسة X-Auth-Token، عبر GET /api/sync/profiles، أو عبر POST /api/sync مع قائمة سجلات فارغة. ولن تحصل إلا على معرّفات، وأنواع، وأوقات، وعلامات، ونص مشفّر. ثم سجّل الخروج في التطبيق لإنهاء تلك الجلسة.

4. اقرأ حركة البيانات

   متقدّم: شغّل على حاسوبك خادمًا وكيلًا صغيرًا يمرّر الطلبات إلى الخادم الحقيقي، واضبط خادم المزامنة في التطبيق على http://127.0.0.1 مع منفذ الخادم الوكيل. لا يسمح التطبيق باتصال HTTP العادي إلا مع حاسوبك أنت. سترى ما يرسله التطبيق، وأن عناصرك مشفّرة. (لن تعمل شهادة خادم وكيل تضيفها إلى نظامك، لأن التطبيق يستخدم قائمته الخاصة من جهات إصدار الشهادات.)

5. فكّ تشفير بياناتك بنفسك

   متقدّم: بكلمة مرورك، يمكنك فتح بياناتك بأي أداة تدعم Argon2id وAES-GCM، باستخدام الإعدادات في الجدول أدناه. ومن دون كلمة المرور، لا يستطيع أحد ذلك.

6. تحقّق من تنزيلك

   قارن المجموع الاختباري بما ورد في ملف SHA256SUMS المرفق بالإصدار (بدءًا من الإصدار 0.4)، أو تحقّق من شهادة تطبيق Android باستخدام apksigner، أو ابنِ التطبيق من الشيفرة المصدرية.

الإعدادات، لاستخدامها في أدواتك

ما لا تَعِد به هذه الصفحة

• لم يخضع Submarine لتدقيق أمني مستقل. والمراجعات التي أُجريت حتى الآن قام بها المطوّر.
• كلمة المرور الضعيفة أو المعاد استخدامها هي أضعف نقطة. استخدم كلمة مرور طويلة وفريدة لملف التعريف، وكلمة مرور مختلفة للحساب.
• اتصالات Telnet وVNC العادي غير مشفّرة بحكم تصميمها. ويميّزها التطبيق بعلامة، ويمكنه تمريرها عبر خادم SSH. وفي VNC العادي، يعبر الشبكة دون تشفير أيضًا نص الحافظة الذي تلصقه أو الذي ينسخه الخادم.
• عميل RDP المدمج تجريبي (فهو مبني على commit من IronRDP، وليس على إصدار)، ومعطّل إلى أن تختاره لخادم ما.
• تصف هذه الصفحة التطبيق كما هو في النسخة c9dec31. وإذا تغيّرت الشيفرة، تتغيّر هذه الصفحة معها.