كيف يختلف الحفظ المؤسسي فعليًا عن محفظة الأجهزة الشخصية

كثيرًا ما تُوصَف محفظة الأجهزة الشخصية ومنصة الحفظ المؤسسي بالمفردات نفسها، التخزين البارد، والتوقيع دون اتصال، والأجهزة الآمنة، وهو ما يجعلهما تبدوان نسختين من الشيء نفسه بمقياسين مختلفين. لكنهما، من الناحية البنيوية، ليستا كذلك. فمحفظة الأجهزة تحمي مفتاحًا خاصًا واحدًا، يحمله شخص واحد، على جهاز مادي واحد. أما الحفظ المؤسسي فيُبنى عادة بحيث لا يحمل أي جهاز واحد أو موقع واحد أو شخص واحد مفتاحًا خاصًا كاملًا على الإطلاق. وهذا الفارق يهم بالنسبة للأمن، ويهم بالقدر نفسه عندما يحدث خطأ ما ويستدعي الأمر تحقيقًا.

ما الذي تفعله محفظة الأجهزة فعليًا

تولّد محفظة الأجهزة الاستهلاكية مفتاحًا خاصًا كاملًا وتحفظه داخل جهاز صغير مخصَّص الغرض، معزول عن الحاسوب أو الهاتف المتصل بالإنترنت والمستخدَم في بناء المعاملة. ولا يغادر المفتاح الجهاز أبدًا، وتُوقَّع المعاملات داخله قبل إعادة تمرير التوقيع إلى الخارج. وهذا دفاع قوي فعليًا ضد الاختراق عن بُعد، لكن المفتاح، في صورته الكاملة، يوجد في مكان واحد بالضبط، محميًا في المقام الأول بالأمن المادي لذلك الجهاز والشخص الحائز عليه.

كيف يعيد الحفظ المؤسسي تشكيل المشكلة

يحل الحفظ المؤسسي عمومًا مشكلة مختلفة: لا مجرد إبقاء المفتاح آمنًا من المهاجمين عن بُعد، بل ضمان ألا يستطيع جهاز واحد مخترق، أو موظف مُكرَه، أو قطعة أجهزة مفقودة، تحريك الأموال بمفردها. ويهيمن نهجان تقنيان على هذا المجال. الأول هو وحدة أمان الأجهزة، أو HSM، وهي قطعة أجهزة مخصَّصة معتمَدة ومقاومة للعبث، غالبًا ما تُستضاف في مركز بيانات مؤمَّن بدلًا من مكتب عادي، تولّد المفاتيح وتستخدمها داخليًا من دون أن تكشف أبدًا عن مادة المفتاح الخام، حتى أمام موظفي المؤسسة نفسها أو برمجياتها.

أما الحوسبة متعددة الأطراف، أو MPC، فتتبع نهجًا مختلفًا: فبدلًا من وجود مفتاح خاص كامل واحد في أي مكان، تُقسَّم قدرة التوقيع رياضيًا بين أطراف أو مواقع مستقلة متعددة، بحيث لا يمكن إنتاج توقيع صالح إلا عندما يشارك عدد مطلوب من تلك الأطراف، من دون أن يحمل أي واحد منها بمفرده، أو يحتاج إلى أن يحمل، المفتاح الكامل في أي مرحلة. ويحقق هذا وظيفيًا شيئًا مشابهًا لمحفظة متعددة التوقيع، تشترط موافقات متعددة، لكنه يفعل ذلك على المستوى التشفيري بدلًا من عبر توقيعات منفصلة متعددة على السلسلة، وكثيرًا ما يُجمع مع حصص مفاتيح موزَّعة جغرافيًا، بحيث لا يحمل أي منشأة واحدة أو ولاية قضائية واحدة أو فرد واحد ما يكفي من مادة المفتاح لإعادة بنائه بمفرده.

لماذا يغيّر هذا الطريقة التي يسير بها التحقيق فعليًا

عندما تُخترق محفظة أجهزة تابعة لفرد، تكون الأسئلة التحقيقية عادة ضيقة: كيف جرى الوصول إلى عبارة الاسترداد أو الجهاز، ماديًا أو عن بُعد، وإلى أين ذهبت الأموال بعد ذلك. أما عندما تُبلِّغ منصة حفظ مؤسسي عن خسارة، فتكون الأسئلة مختلفة بنيويًا وأوسع بكثير. هل نتجت الخسارة عن فشل تشفيري أو فشل في البنية التحتية بالفعل، أم عن سياسة ضبط وصول أُعدَّت بشكل خاطئ أو جرى تجاوزها، أم عن شخص داخلي يملك صلاحيات موافقة مشروعة لكن أُسيء استخدامها، أم عن فشل في العملية التشغيلية المحيطة بتقنية سليمة في الأصل، كسير عمل موافقات تعرَّض للاستعجال أو الالتفاف عليه تحت ضغط هندسة اجتماعية. ونادرًا ما تكون التقنية التي جرى التغلب عليها هي التفسير الأبسط بمجرد أن يكون الحفظ قائمًا على MPC أو HSM. أما طبقة السياسات والعمليات المحيطة بها فهي عادة كذلك.

• سجلات الموقّعين والموافِقين عبر كل طرف مشارك في نظام التوقيع الموزَّع، لا الطرف الذي بادر بالمعاملة فقط.
• سياسة ضبط الوصول والموافقة الموثَّقة لدى المؤسسة، والأدلة على ما إذا كانت قد اتُّبعت فعليًا في المعاملة محل النظر.
• سجلات البنية التحتية والوصول لكل موقع مادي أو منطقي يحمل حصة مفتاح أو مكوّنًا من وحدة HSM.
• تسلسل زمني لأي تغييرات حديثة في صلاحيات الموقّعين، أو الحدود، أو مسارات عمل الموافقة، في الفترة التي سبقت الخسارة.

لماذا يهم هذا التمييز أي شخص يقيّم مزوّد حفظ

بالنسبة لفرد، تبقى محفظة أجهزة جيدة مقترنة بممارسات نسخ احتياطي منضبطة معيارًا قويًا وملائمًا. أما بالنسبة لشركة أو صندوق يحمل قيمة بحجم مؤسسي، فلم يعد تقييم مزوّد حفظ بناء على ما إذا كان "يستخدم التخزين البارد" سؤالًا ذا معنى، إذ سيجيب كل مزوّد تقريبًا بنعم. الأسئلة الأجدى هي حول البنية الكامنة تحت تلك التسمية: كم عدد الأطراف المستقلة المطلوبة لتفويض معاملة، وهل تُعاد بناء مادة المفتاح في مكان واحد ولو للحظة، وكيف تُطبَّق سياسة ضبط الوصول وتُراجَع، لأن تلك البنية هي التي تحدد فعليًا مدى مقاومة الحفظ لنقطة فشل منفردة، وكيف سيُحقَّق في حادثة ما في نهاية المطاف إذا حدث خطأ ما.

مقالات ذات صلة