الجهاز الذي تعمل عليه جميع المنتجات
أمن نابع من البنية
| الطبقة | ما تفعله |
|---|---|
| الفصل المادي | يصل مفتاح داخل الجهاز شبكة واحدة في كل مرة ويفصل الأولى تمامًا قبل وصل الأخرى. في كل تشغيل يُفصل كل شيء أولًا، وتثبت التغذية الراجعة من المفتاح حالة الفصل، لا مجرد تنفيذ أمر. |
| الإقلاع الموثوق | الإقلاع الآمن UEFI، وقياس الإقلاع في شريحة TPM 2.0، ونظام للقراءة فقط يُتحقق منه كتلةً كتلةً بـdm-verity. تُبنى سلسلة الإقلاع مرة واحدة وتكون متطابقة على كل وحدة. |
| البيانات المخزنة | مشفرة منذ أول تشغيل بـLUKS2 وAES-256-XTS. لا يُطلق المفتاح إلا لإقلاع وقّعه المُصنِّع، ويُعرض رمز الاسترداد مرة واحدة على من يشغّل الوحدة. |
| الفحص المعزول | تعمل البرامج التي تفتح الملفات وتفحصها، ومحركات الفحص، في حاويات بلا صلاحيات root، مع AppArmor وseccomp، دون شبكة، وبنظام ملفات للقراءة فقط وحدود للموارد. وكل عطل يُبقي طريق العبور مغلقًا. |
| التشفير | التواقيع بـECDSA على P-256 مع SHA-256، وTLS 1.3 فقط، والتشفير AES-256-GCM، وكلمات المرور بـArgon2id. لا تُستخدم MD5 أو SHA-1 أو 3DES أو RC4 أو TLS 1.2 وما قبله أبدًا. |
| الهوية والتدقيق | كلمة مرور تُطلب مرة أخرى للإجراءات عالية الخطورة، ولا حساب أو مفتاح خفي للمُصنِّع. سجل التدقيق يُضاف إليه فقط ويكشف أي عبث. |
الذكاء على الجهاز نفسه
لا يكتفي Bardin Gate بتطبيق القواعد، بل يفهم ما يعبر. كل ما يلي يعمل على الجهاز نفسه دون اتصال، ويخدم الحدّ الفاصل ولا يلتف عليه أبدًا.
| القدرة | ما تفعله |
|---|---|
| فهم المحتوى | يُحكم على كل ملف ببايتاته الحقيقية، لا باسمه ولا بما يدّعيه المرسل: نوعه الفعلي، والمحتوى النشط المخفي مثل وحدات الماكرو والبرامج النصية، والأرشيفات الخطرة، والبيانات الحساسة. |
| الفحص بالذكاء الاصطناعي | يفحص نموذج ذكاء اصطناعي على الجهاز ما سمحت به القواعد الثابتة، ويوقف ما يبدو خبيثًا أو في غير موضعه. يستطيع أن يحتجز ملفًا، ولا يستطيع أبدًا أن يمرّره. |
| كشف الشذوذ | يتعلم الجهاز النمط المعتاد لكل تدفق، من حجم وتوقيت وأنواع ملفات ومصادر، ويطلق تنبيهًا في لوحة التحكم وفي نظام SIEM لديك حين يخرج عبور عنه. |
| مساعد السياسات | يصف المسؤول بكلمات بسيطة ما ينبغي أن يعبر، فيصوغ المساعد مسودة القواعد والسياسة. لا يسري شيء حتى يراجعه شخص ويوافق عليه، في نسخة جديدة مدقَّقة. |
| قرارات معلَّلة | تُسجَّل كل نتيجة مع الأدلة التي بُنيت عليها، ونسخة كل قاعدة ومحرك ونموذج أنتجها. |
القواعد التي يلتزم بها النموذج
- على الجهاز، دون اتصال. يعمل النموذج داخل بيئة الفحص المعزولة في الجهاز، بلا شبكة ولا خدمة خارجية.
- دليل، لا كلمة أخيرة. القرار لشخص أو لسياسة وافقت عليها، والنموذج يضيف دليلًا إلى ذلك القرار.
- صامت تجاه المرسل. لا تعود نتائجه أبدًا إلى الجهة التي جاء منها الملف.
- مسجَّل. كل نتيجة في سجل التدقيق مع نسخة النموذج.
- يُحدَّث كالتواقيع. تصل النماذج الجديدة موقعة ودون اتصال، في حزمة البيانات فقط التي لا تغيّر البرمجيات.
الهوية والوصول
- الجهاز هو المرجع الوحيد. المتصفح والملفات المستوردة وكل ما عداها تأتي بادعاءات، ولا يمكن لأي منها أن يمنح صلاحية.
- الرفض هو الأصل. لكل دور نطاق صريح، وكل صلاحية غير مكتوبة مرفوضة.
- كلمة المرور، ثم كلمة المرور مرة أخرى. الأدوار وسياسة الأمن واستيراد الترخيص والتحديثات وتصحيح الوقت والاسترداد واستيراد الإعدادات تطلبها مرة أخرى.
- لا باب خلفي. لا كلمة مرور رئيسية للمُصنِّع، ولا حساب خفي، ولا إعادة تعيين بالبريد، ولا تجاوز غير مسجَّل. واسترداد آخر مسؤول إجراء مادي عند الوحدة.
- لا يصل SSH إلا إلى حساب دعم مقيَّد. يعيد التقارير والسجلات والحالة فقط. لا دخول لحساب الجذر عبر SSH، ولا واجهة أوامر للعمل اليومي ولا وصول مباشر إلى قاعدة البيانات.
التدقيق وSIEM
| الخاصية | القيمة |
|---|---|
| كشف العبث | يُربط كل حدث ببصمة الحدث السابق، ويُغلق كل مقطع بعد ١٠٬٠٠٠ حدث أو ساعة، ويُوقَّع موضع تحققه. |
| ما يُسجَّل | كل محاولة ونتيجة أمنية وإدارية وحرجة للأعمال، بما فيها الإجراءات عالية الخطورة المرفوضة. |
| الوقت الموثوق | يحتفظ به الجهاز نفسه دون اتصال، ولا يمكن لخلل في الساعة أن يمدد ترخيصًا أو مهلة احتفاظ. |
| نظام SIEM | تصدير أحادي الاتجاه ومنظم: TCP عبر TLS افتراضيًا، مع TLS متبادل اختياري، بصيغة RFC 5424 JSON أو CEF، والعناوين بأسماء مستعارة. |
| ما لا يُصدَّر أبدًا | محتوى الملفات وبيانات الاعتماد والرموز والمفاتيح الخاصة. |
ما تستلمه وما توفره
| البند | المعنى |
|---|---|
| الجهاز | جهاز بارتفاع 2U يُركب في الحامل، جاهز كما يُسلَّم. لا خادم ولا نظام تشغيل ولا برمجيات إضافية لتختارها أو تثبتها. |
| المساحة والكهرباء | مساحة 2U في حامل قياسي، والكهرباء. |
| الشبكة | اتصال بالشبكة الآمنة وغير الآمنة وشبكة الإدارة. لا تتصل الأوليان ببعضهما أبدًا. |
| العمل اليومي | متصفح فقط. لوحة التحكم بأربع عشرة لغة، منها العربية. |
| الإنترنت | غير مطلوب. تصل التراخيص والتحديثات والتواقيع دون اتصال وموقعة. |
التشغيل في أربع خطوات
ركّبه في الحامل
ثبّت الجهاز ووصّل الكهرباء والشبكة الآمنة وغير الآمنة وشبكة الإدارة.
افتح لوحة التحكم
افتحها في المتصفح. يثبت رمز يظهر على شاشة الجهاز نفسه أنك تقف بجانبه.
اتبع الإعداد الموجَّه
تسير الخطوات بالترتيب وتختبر كل خطوة نفسها: العتاد والوقت وعناوين الشبكة وأول مسؤول.
استلمه
خذ دليل التشغيل الموقَّع. الجهاز جاهز للعمل.
تحديثات لا تتركك عالقًا
- الحزم موقعة ودون اتصال. تُرفض الحزمة التي لا تحمل توقيعًا صالحًا أو الأقدم من الإصدار المثبت.
- نسختان للتثبيت. يُكتب التحديث في النسخة الثانية، ويُشغَّل مرة تجريبية، ولا يُعتمد إلا بعد نجاح فحوص السلامة، وإلا عاد الجهاز وحده إلى الإصدار السابق.
- البيانات منفصلة عن البرمجيات. تصل تواقيع المحركات ونماذج الذكاء الاصطناعي والقواعد ومخططات التحقق في حزمة بيانات فقط لا تغيّر البرمجيات.
الإصلاح الذاتي والاسترداد
يفترض الجهاز أن أحدًا لا يستطيع الوصول إليه، فيصلح نفسه بنفسه. لا لوحة مفاتيح ولا جلسة شاشة ولا واجهة أوامر للعمل اليومي، ولا يحتاج أي طريق للاسترداد إلى الوصول إلى وحدة معطلة.
| الحالة | الطريق الصحيح |
|---|---|
| البرمجيات لم تعد سليمة | تعيد إعادة الضبط اللينة الجهاز إلى آخر حالة سليمة، وتبقى الهوية والإعدادات والسجلات والتدقيق. |
| تعطل قرص واحد | يُستبدل وفق دليل التشغيل، وتبقى وحدة التخزين سليمة أو قابلة للاسترداد. |
| مزود الطاقة أو المروحة | إجراء المُصنِّع ضمن عقد الصيانة، ثم فحص الجاهزية من جديد. |
| اللوحة الأم أو الشريحة الأمنية | يطلب الجهاز رمز الاسترداد مرة واحدة عند الوحدة، ويحتفظ بهويته وإعداداته وترخيصه. |
| فقدان الجهاز كله | جهاز بديل: تشغيل جديد، واستيراد الإعدادات، وإدخال الأسرار من جديد. لا تُنسخ هوية الجهاز القديم أبدًا. |