تثبيت البرامج بأمان

لماذا يهم مكان التنزيل أكثر من البرنامج نفسه

البرنامج الواحد إذا نُزِّل من مكانين مختلفين ليس بالضرورة الملف نفسه. الاسم واحد والأيقونة واحدة، وقد يعرض عليك أثناء التثبيت الشاشات نفسها تماما. لكن البايتات في داخله قد تختلف، وليس لديك من الخارج أي وسيلة لرؤية ذلك.

هذه الجملة هي الدرس كله. وكل ما نقوله بعدها طريقة للاطمئنان إلى هذا الأمر وحده.

صانع البرنامج ليس لديه دافع للعبث بملفه هو. أما الموقع الذي يعيد نشر الملف فقد يكون لديه دافع وقد لا يكون، وأنت لا تستطيع التمييز. لذا فالقاعدة الأولى بسيطة ولا استثناء لها: خذ كل برنامج من موقع صانعه، وإن كان للصانع متجر رسمي، كمتجر نظام التشغيل أو مستودع لينكس الرسمي، فخذه من هناك.

القاعدة بسيطة، وتنفيذها هو بالضبط الموضع الذي تفسد فيه الأمور. فمن يقول خذه من موقع الصانع نفسه قد افترض أنك تعرف أي موقع هو. وعلى هذه الخطوة وحدها فخّان. الأول صفوف الإعلانات أعلى صفحة البحث: يستطيع أي أحد شراء إعلان على اسم برنامج، وذلك الصف الأعلى ليس بالضرورة موقع الصانع. والثاني النطاقات الشبيهة؛ حرف مُزاح، أو الاسم نفسه بلاحقة أخرى. فالعين تقرأ الاسم ولا تقرأ العنوان، وهذا الفخ مبني على ذلك بالضبط.

والجواب العملي سطران. خذ العنوان من موضع أعطاك إياه البرنامج نفسه، كقائمة «حول» في نسخة تملكها أصلا أو صفحة البرنامج في ويكيبيديا، لا من نتيجة بحث. ومتى وصلت إلى الموقع الصحيح فضعه في المفضلة، كي لا يكون هناك بحث أصلا في المرة القادمة.

وفي ووردبريس تلبس القاعدة نفسها ثوبا آخر: ثبّت الإضافة من مستودع ووردبريس نفسه أو من موقع الشركة التي كتبتها. أما ملف zip تداولته مجموعة محادثة فهو بالضبط ما يحذر منه هذا الدرس.

ما المجموع الاختباري بكلمات بسيطة

المجموع الاختباري سلسلة قصيرة تُحسَب من كل بايت في الملف. اعتبره بصمة الملف. لكل ملف سلسلته الخاصة، وإن تغير بايت واحد من الملف تغيرت السلسلة تماما.

تماما لا قليلا. وإليك مثالا حقيقيا يمكنك تكراره الآن: بصمة sha256 لكلمة hello بحروف صغيرة تبدأ من 2cf24dba، وللكلمة نفسها بحرف أول كبير، Hello، تبدأ من 185f8db3. تغير حرف واحد فلم تعد السلسلة تشبه سابقتها في شيء. وهذا ما يجعل مقارنة بصمتين سهلة: إما أن تتطابقا حرفا بحرف أو لا، ولا حالة وسطى.

والصانعون الجادون ينشرون بصمات ملفاتهم بجوار رابط التنزيل. تأخذ الملف وتحسب بصمته على جهازك وتقارنها بما كتبه الصانع. فإن تطابقتا فالملف الذي بين يديك هو الملف الذي نشره الصانع. وإن لم تتطابقا فامسحه ونزّله من جديد.

وحسابها لا يحتاج برنامجا خاصا كذلك. ففي ويندوز يؤدي certutil -hashfile setup.exe SHA256 المهمة، وفي ماك ولينكس shasum -a 256 setup.exe.

واقع مواقع التنزيل الإيرانية

لنكن صادقين، فالمجاملة هنا لا تنفع أحدا. جزء كبير من البرامج المثبَّتة في إيران لا يأتي من موقع الصانع. والسبب مفهوم: كثير من مواقع الصانعين لا تُفتح من إيران، والدفع الرسمي غير ممكن أيضا. وهذا ليس اختيارا بل قيدا.

لكن القيد لا يلغي الخطر؛ إنما يفسره. فحين لا يأتي الملف من موقع الصانع تضيع ثلاثة أشياء دفعة واحدة. البصمة التي نشرها الصانع لم تعد تطابق ملفك، فتصير أداة المقارنة بلا فائدة. والمثبِّت أُعيدت حزمته عادة للالتفاف على الترخيص، أي أن أحدا دخل إلى داخل الملف، وأنت لا تدري أمسّ الترخيص وحده أم أضاف شيئا آخر. والتحديث التلقائي يُطفأ عادة، لأن التحديث يعيد الترخيص؛ وهو التحديث نفسه الذي يبين القسم الأخير أنه أهم أجزاء الأمان.

وموقفنا نقوله بلا مجاملة: أما اللعبة والبرنامج الصغير الذي لا يعرف عنك شيئا فقدّر خطره بنفسك. أما أي برنامج تمر عبره كلمات مرورك أو حسابك البنكي أو بيانات عملائك، فالمثبِّت المعاد حزمه ليس خطرا مقبولا. وهناك، إن لم تستطع شراء النسخة الرسمية، فاذهب وابحث عن برنامج آخر.

البدائل المجانية ومفتوحة المصدر ولماذا هي عادة الخيار الأأمن

هنا يعمل منطق بسيط نادرا ما يُقال صراحة. البرنامج الذي نسخته الرسمية مجانية لا سوق لنسخة معبوث بها منه. فلا أحد يتكبد إعادة حزم شيء يستطيع الجميع أخذه من الموقع الأصلي بلا مقابل. وهكذا تُتَّبع قاعدة هذا الدرس الأولى من دون أي جهد.

وإليك أمثلة حقيقية تؤدي عملها: ليبر أوفيس للمستندات وجداول البيانات، وفي إل سي لتشغيل الفيديو، وسفن زيب للضغط، وفايرفوكس لتصفح الويب. أربعتها تُنزَّل من مواقعها هي، وأربعتها تنشر بصمة أو توقيعا.

وأما الجزء الذي لا يقوله إعلان أبدا: كون البرنامج مفتوح المصدر لا يعني بذاته أنه آمن. يعني أن الشيفرة قابلة للنظر فيها، وهذا لا يساوي شيئا إلا إذا نظر فيها أحد فعلا. فمشروع كبير له آلاف المستخدمين ومطورون نشطون يحظى بهذا النظر؛ أما إضافة مجهولة كان آخر تحديث لها قبل ثلاث سنوات فلا تحظى به، وانفتاح شيفرتها لا يعوّض شيئا.

أهم عادة على الإطلاق: إبقاء البرامج محدَّثة

إن كنت ستفعل شيئا واحدا من هذا الدرس فهو هذا. أبقِ التحديث التلقائي مفعَّلا ولا تؤجل رسائل التحديث أسبوعين.

والسبب أن معظم الهجمات الحقيقية ليست ثغرات مكتشفة حديثا؛ بل ثغرات صدرت رقعتها قبل شهور ولم يثبّتها أحد. فالمهاجم لا يبحث عن اكتشاف جديد، بل عمن لم يحدّث بعد.

وإليك مثالا من تجربتنا نحن، كتبناه أيضا في مدونة هذا الموقع. كان ووردبريس ٧.٠.٤ إصدارا أمنيا لمسألة واحدة وغيّر ملفا واحدا بالضبط. والثغرة التي أغلقها كانت تنفيذ شيفرة عن بعد، لكن على الخوادم التي فيها تركيبة معينة من برنامجين مساعدين فقط. وخادمنا نحن كانت فيه تلك التركيبة بالضبط. وكان الأمر كله بالنسبة لمدير موقع نقرة تحديث واحدة، وبالنسبة لمن لم ينقرها، بابا مفتوحا.

وإلى جانب ذلك عادة أصغر يقلّ ذكرها: احذف البرامج التي لا تستعملها. فكل برنامج مثبَّت، حتى ما لا تفتحه أبدا، سطح هجوم إضافي وشيء آخر يجب أن يبقى محدَّثا. وتقليل عدد برامجك هو بذاته إجراء أمني.