لاقت الجهود الرامية لتدقيق برنامج تشفير الملفات “تروكريبت ” أداة التشفير مفتوحة المصدر ـ تأييدًا الأسبوع الماضي، عندما حاول أحد أعضاء فريق تطويرها المجهول، التواصل مع مشغلي موقع IsTrueCryptAuditedYet؟
يقول ماتيو غرين، أخصائي التشفير في جامعة جونز هوبكنز ببالتيمور، والذي حاول هو ورفيقه الباحث كينيث وايت إجراء هذا التدقيق بنجاح: “لقد أرسل إلينا خطابًا رسميًّا يضفي عليه طابع الود، يعرب فيه عن سعادتهم لسماع خبر هذا التدقيق الذي ننوي القيام به، مضيفًا أنهم يرونها محاولة جادة وليست سعيًا لكسب الأموال دون تقديم أي مقابل”. وأضاف غرين أن المطور توقع أن يشغل التدقيق برنامج تشفير الملفات “تروكريبت” بشكلٍ مستقل؛ وذلك لتجنب حدوث تضارب في المصالح.
يُنتظر أن يُجيب التدقيق على عددٍ من الأسئلة التي أصبحت في الآونة الأخيرة هامةٌ جدًّا، في أعقاب الكشف عن قيام الحكومة الأمريكية بمراقبة مواطنيها بذريعة الحفاظ على الأمن الوطني. إن القلق الرئيسي يتمثل في أن برنامج “تروكريبت “، الذي تم تحميله لما يزيد عن 28 مليون مرة قد تكون له أسرارٌ وخبايا، بالإضافة إلى المخاوف التي تراود الخبراء الأمنيين؛ نتيجةً لأن رخصة هذا البرنامج مفتوحةٌ ومجانية، وخوفًا من أنه قد يتسبب في تعريض المستخدمين المجانيين له لمزيدٍ من المخاطر القانونية.
في غضون ذلك، أجرى زافي دو كارني دو كرنفاليت – من جامعة كونكورديا بكندا – محاولة تدقيقٍ مستقلةٍ لبرنامج “تروكريبت” توصل خلالها إلى استنتاجٍ يفيد بأنه ما من شيءٍ سيئٍ بقدر هذا البرنامج، وأضاف أنه استطاع أن يعيد إنتاج عملية التجميع المحدد لبرنامج “تروكريبت” لنظام التشغيل ويندوز، والتي تتوافق مع الملفات الثنائية. وقد سارع كلٌّ من غرين وزميله وايت في الثناء على المشروع، والإشادة بتلك الجهود الأساسية في هذا النطاق.
بالنسبة للجهود المبذولة لجمع التمويل والتبرعات، بهدف الاستعانة بخدمات أحد الشركات المحترفة في مجال تدقيق أكواد الشفرات والدعم القانوني لمراجعة الترخيص ـ فقد بلغت 17,000 دولار. وقد ساعدت التبرعات التي بلغت حتى الآن 53,000 دولار المنظمين على تطوير خريطة الطريق المبدئية للتدقيق المزمع إجراؤه. ويوضح غرين أن تدقيق الأكواد والرموز سيركز في المقام الأول على منطقتين؛ هما: التشفير المستخدم في برنامج “تروكريبت “، بالإضافة إلى تقييم نسخة الويندوز، على عكس برنامج “تروكريبت” المستخدم في نظام التشغيل “لينكس”؛ وذلك لأن مستخدمي نظام التشغيل ويندوز على سبيل المثال، يُحمِّلون ملفات ثنائية بدلًا من شفرة المصدر؛ حيث لا يمكننا مقارنه تلك الملفات الثنائية بهذه الشفرة، وتعمل بطريقةٍ تختلف عن الإصدارات والنُّسخ الأخرى.
على سبيل المثال: يملأ برنامج “تروكريبت 7,0” آخر 65,024 بايتس من المقدمة بقيمٍ عشوائية؛ فهل جميع هذه القيم في الواقع عشوائية، أو هل تعتبر تشفيرًا لكلمة المرور التي تحمي البرنامج؟ إذا حدث اختراقٌ لبرنامج “تروكريبت “، وكانت هذه القيم عبارة عن كلمات مرور مشفرة، فإن المفتاح في هذه الحالة سيكون متوافرًا فقط لدى الطرف الثالث الذي قام بعمل هذا التشفير.
قال غرين: إن منظمي التدقيق ما زالوا في مرحلة تلقي عروض من شركات الأمن؛ للشروع في عملية تدقيق الشفرات والرموز..
وأضاف: “لا أستطيع أن أتحدث في التفاصيل، لكن يكفي أن أوضح أن 50,000 دولار ليس بالمبلغ الكافي، خاصةً عندما تتحدث عن عمل تدقيقٍ كاملٍ بواسطة واحدةٍ من كبرى الشركات. في هذه الآونة، نطمع في كرم الشركات المختلفة حتى لا نضطر إلى دفع كافة تكاليف العملية، ولقد تلقينا بالفعل بعض العروض المغرية والسخية (من بينها عرض مقدم من برنامج “Open Technology Fund). ” لدعم مشروعات الإنترنت”). لكننا وفي نهاية المشروع، نرغب في الوصول إلى نتائج فنية شديدة الدقة؛ وحتى في حالة الحصول على تخفيضاتٍ كبيرة، يظل هذا النوع من الأعمال مكلفًا للغاية.
كما أردف قائلًا: “في الوقت نفسه، ينبغي أن يخفف العمل الذي قام به دو كرنفاليت من حدة المخاوف، إزاء مصداقية هذا البرنامج”.
وفي مقالةٍ له حول هذه العملية، قال كرنفاليت: “سوف أشرح لكم اليوم كيف تمكنت من تجميع برنامج “تروكريبت 7,1″ الخاص بنظام التشغيل ويندوز، وكيف توصلت إلى عمل مطابقةٍ قريبةٍ جدًّا من الملفات الثنائية الأصلية. كما أنني قادرٌ على توضيح الفروق البسيطة المتبقية، ومن ثم إثبات أن هذه الملفات الأصلية قد جاءت في الحقيقة من مصادر عامة”.
وقد أشاد كلٌّ من غرين وزميله وايت بهذا العمل؛ نظرًا لدوره الفعال في تحديد بناء وتركيب برنامج “تروكريبت “، خاصةً وضع حزمة أدوات مايكروسوفت الأساسية معًا بهدف تجميع البرنامج بشكلٍ صحيح.
وأضاف وايت: “إن النتائج التي توصل إليها هي بالتأكيد بيانات مفيدة، لكن تزداد قيمتها نظرًا لعملية البناء التفصيلية التي نشرها (خاصةً وأنها مستمدة من وثائق موجودة)، بالإضافة إلى أن عمله في تعقب وتحديد أي حِزمٍ للخدمات الخاصة بويندوز وأي إصدارٍ من “Visual Studio ” نحتاجه بالضبط، والمعارف المميزة العامة أو ما يعرف بـ “GUIDs”، وعمليات تدقيق المجموعة الداخلية…. وما إلى ذلك ـ يعتبر مفيدًا جدًّا ونحن نجري عملية التدقيق والتحقق المستقلة. لكن، ومن وجهة نظري، أن هذا يعتبر مجرد خطوةٍ نحو تحقيق هدفنا في تدقيق بناء البرنامج المحدد، ولا شك أنها ضروريةٌ لكنها ليست بالكافية من أجل تحليلٍ شاملٍ للتشفير، وتدقيق الرموز والشفرات. وفي اعتقادي أن زافي سيوافقني الرأي”.
يقول دو كرنفاليت: “إنه لا توجد أي أسرار أو خبايا في برنامج “تروكريبت 7,1 “، لكنه لم يكن ليصرح بذلك إلا بعد أن تمكن من إعادة إنتاج واستحضار البيئة التي عمل عليها المطورون عن قرب”.
كما كتب يقول: “إن التحليل الذي أجريته يمكن أن يساعد عملية [التدقيق] في إدراك أهمية استخدم نفس الإصدار التجميعي، بهدف تقديم والتوصل إلى بناءٍ محدد. ولحسن الحظ، أن مصادر البرنامج تأتي مع برنامج البرمجة “Visual Studio” الذي يكون جاهزًا للتجميع، وبالتالي تفادي الكثير من المشاكل التي يمكن أن تنشأ جرَّاء الاختلافات الموجودة في تركيب المشروع. والآن، يمكن للجهود أن تتركز على تدقيق شفرة المصدر، بدلًا من محاولة إعادة تحليل البرنامج بكامله للبحث عن أسرار، وخبايا غير موجودة”.
النصائح