لطالما دخلت في نقاشات مطولة مع الكثير من الزملاء حول رؤيتنا فيما يتعلق بالمصادر المفتوحة و المغلقة..
و كان رأيي دائما هو نفسه: لكل نظام أهميته و استخدماته ولا توجد أفضليه لأحدهما على الآخر..

فالفوائد المكتسبة من نشر و تطوير و استخدام برامج المصادر المفتوحة قد لا تخفى على أحد ربما.. بدءا من زهد الثمن و انتهاءا بما هو أهم من تبادل المعرفة حول البرنامج و زرع الثقة في مستخدم النظام من خلال امكانية التحقق المباشر من المصدر و دراسته و سرعة الإبلاغ عن الثغرات البرمجيه و تلافيها و اصلاحها.. الخ.

إلا أن المصادر المغلقة أيضا لها أهميتها، فالحفاظ على حقوق المبرمجين التجارية و حماية نتاجهم الفكري هو أمر من حقهم ولا يجب المساومة على ذلك، كما أن الحماية من خلال الإخفاء هي قاعدة أمنية معروفة: Security through obscurity..

لكن لنعد إلى السؤال الذي عنونت به هذه التدوينه..
فإن كان لكل نظام تطبيقه الخاص.. ما هو النظام الذي يناسب الأجهزة الحكومية المختلفة؟
سأجيب عن هذا السؤال من خلال خبر هام تداوله المهتمون بأمن المعلومات في الأشهر القليلة الماضية..
لكن قبل أن أتحدث عن الخبر..
أود أن أذكّر.. أن لأي تطبيق حكومي حساسيته و أهميته.. فمعظم هذه التطبيقات تبنى على معلومات و بيانات حساسه.. بعضها قد يمس خصوصية المواطنين و بعضها قد يتعدى ذلك، كالمعلومات الأمنية و السرية..

من المعروف أن معظم الدول الغربية المتطورة تكنولوجيا (كالولايات المتحدة الأمريكية و ألمانيا على سبيل المثال)، قامت بسن أنظمة صارمة تحتم على أجهزة الحكومة (خصوصا الأمنية) استخدام برامج مصادر مفتوحة حصرا.. و تمنع أي تعامل مع أي برامج مصادر مغلقة..!
و لكي نعرف ما إذا كان هذا الأمر مبررا أم لا..
دعونا نتأمل نتائج المشروع الضخم الذي تبنته الـ Department of Homeland Security أو الـ DHS.. و هي منظمة حكومية تعادل “وزارة الداخلية” في الولايات المتحدة الأمريكية..
المشروع كان يهدف لإعادة تدقيق مصادر (أكواد) كل البرامج ذات المصادر المفتوحة التي يتم استخدامها من قبل الـ DHS.. و تم الانتهاء منه مؤخرا بعد عمل استمر لعامين.. إلا أن نتائجه كانت صادمة للكثيرين!
فقد وجد بالمعدل: ثغرة “أمنية” واحده في كل 1000 سطر من الكود فقط!
و هذا أمر مقلق حقا!

إلا أن المفرح في هذا الخبر، هو عندما ندرك كم شخصا تمت حماية أمنه الشخصي عند إصلاح كل ثغرة!
و هذا هو مربط الفرس..
و لذا ارى و بدون تردد.. أن الأجهزة الحكومية عامة و الأمنية خاصة، يجب أن تعتمد و بنسبة 100% على برامج المصادر المفتوحة، خصوصا اذا كانت تنوي الانضواء تحت مظلة تطبيقات الحكومة الإلكترونية!

ختاما.. هذه احصائية عن عدد الثغرات التي وجدت في بعض البرامج التي تمت اعادة تدقيق مصادرها:

- Lunix-kernal 2.6: المصدر يحتوي على 3.639.322 سطرا من الكود. تم العثور على 913 ثغره!
تم اصلاح 452 منها، و حل 48 ثغرة بانتظار الاصلاح، فيما بقي 413 ثغرة تنتظر الحل ثم الإصلاح.

- Unix FreeBSD: المصدر يحتوي على 1.582.166 سطرا من الكود. تم العثور على 611 ثغره!
لم يتم اصلاح أيا منها، فيما تم حل 6 ثغرات بانتظار الاصلاح، و يبقي 605 ثغرة تنتظر الحل ثم الإصلاح.

- Apache Web server: المصدر يحتوي على 135.916 سطرا من الكود. تم العثور على 22 ثغره!
تم اصلاح 3 منها، و حل 7، فيما بقي 12 ثغرة تنتظر الحل ثم الإصلاح.

- OpenVPN: : المصدر يحتوي على 69.223 سطرا من الكود. تم العثور على ثغره واحده فقط، تم حلها لكن لم يتم إصلاحها حتى الآن.

- OpenSSL: المصدر يحتوي على 221.194 سطرا من الكود. تم العثور على 49 ثغره!
تم اصلاح 24 منها، و حل واحدة، فيما بقي 24 ثغرة تنتظر الحل ثم الإصلاح.

للمزيد حول نتائج مشروع الـ DHS لتدقيق أكواد برامج المصادر المفتوحة: إضغط هـنـا، و هـنـا.

ربما يذكر بعضكم حديثنا قبل ما يقارب السنتين عن مركز Bletchley Park في بريطانيا و دوره في فك شفرات و رموز الألمان خلال الحرب العالمية الثانية و عن زيارتي للمركز، (إضغط هـنـا)..
المركز كان يستخدم جهاز يسمى Colossus لفك الرموز و الشفرات، و هذا الجهاز يعتبر من أقدم الأجهزة الحاسوبية و من أكثرها تقدما في وقته، و استطاع الانجليز بواسطته من فك آلاف الرموز أثناء الحرب العالمية الثانية داخل مركز Bletchley Park..

الجديد هو ما حدث قبل شهرين من تحدي مثير اهتم به معظم خبراء التشفير في العالم بشكل عام و في بريطانيا بشكل خاص..
التحدي يكمن في مسابقة أعادت جهاز Colossus للعمل بعد توقف دام أكثر من 60 عاما!
و التحدي كان يشمل جانبين:

أولا: يقوم فريق من الألمان الذين ساهموا بتشفير رسائل ألمانية أثناء الحرب العالمية الثانية، بتشفير ثلاث رسائل جديدة و بثها على موجات الراديو، و من نفس المركز الذي كانوا يستخدمونه للتشفير في الحرب العالمية الثانية في ألمانيا في مدينة Paderborn الألمانية. مستخدمين نفس طريقة التشفير و الآلة التي استخدموها اثناء الحرب و هي آلة Lorenz SZ42. مع العلم ان الرسائل الثلاث ستكون مقسمة إلى ثلاثة مستويات (صعب – صعب جدا – بالغ الصعوبة)..

ثانيا: يتم التنافس بين جهاز Colossus و جهاز حاسب حديث يستخدم نفس الطريقة في فك التشفير لمعرفة من سيكون الأسرع في فك شفرات الرسائل بعدها التقاطها من موجات الراديو، أجهزة الماضية العتيدة أم حواسيب الحاضر المتطورة!
و قد تم اختيار جهاز محمول بمعالج Pentium II لينافس جهاز Colossus، بإعتبار أن جهاز حاسب محمول بهذه المواصفات يقارب نوعا ما سرعة الـ Colossus..

و من أجل هذا الغرض تم بناء جهاز Colossus جديد، حيث انه لم يتم تصنيع سوى 10 أجهزه منه في السابق، و هي جميعها معطلة، و المشكلة كانت في أن بعض تفاصيل صناعته كانت سرية مما سبب بعض المشاكل لفريق اعادة التصنيع، إلا أنهم في النهاية تمكنوا من صناعة جهاز Colossus جديد..
الصورة في الأسفل هي للسيد Tony Sales الذي ترأس فريق إعادة تصنيع الـ Colossus يقف بجانب الجهاز الجديد، و كان قد سبق له العمل على الجهاز إبان الحرب العالمية الثانية..

و قد كان التحدي، الذي خسره جهاز Colossus بعد أن سبقه جهاز الحاسب المحمول بفك شفرات الألمان..
شخصيا لا أدري لماذا تعاطفت مع جهاز Colossus و وددت لو يكسب التحدي!
لكن ألا تتفقون معي بأنه من “المذهل” أن جهازا تم تصنيعه قبل أكثر من ستين سنه، ينافس جهازا تم تصنيعه قبل عدة سنوات و في عمليات رياضية معقدة!
خبر التحدي من الـ BBC هـنـا، و هـنـا خبر الهزيمة.

لم يمض على حديثي السابق عن شركة جوجل العملاقة و خدماتها المتعددة شهر واحد، حتى صعقت بما قرأته مؤخرا عما قامت به شركة Hushmail الكندية والشهيرة جدا، و التي تقدم خدمة البريد الإلكتروني المشفر لعشرات الالاف من مستخدمي الانترنت.
Hushmail كانت في السابق تقدم الخدمة عن طريق تشفير الرسائل الالكترونية داخل أجهزة المستخدمين بإستخدام اكواد جافا، لضمان أنه لن يتمكن من قراءة الرسالة الإلكترونية أحد سوى الشخص الذي شفرت الرسالة من أجله، إلا انه في العام 2006م قررت الشركة تقديم الخدمة بتشفير الرسائل في سيرفرات الشركة بدعوى ان أكواد الجافا تسبب ضيقا لدى المستخدمين و تثقل كاهل المعالجات في الحواسب الشخصية. و هذا التحول يعني بطبيعة الحال انه لم يعد الوضع كما كانت تَعدُ الشركة عملائها بأن لن يتمكن أحد من قراءة الرسالة الإلكترونية سوى الشخص المرسل اليه، و ان كانت الشركة ترفض توضيح ذلك.
مؤخرا، تداولت وسائل الإعلام وثيقة صادرة قبل ثلاثة أشهر تقريبا من محكمة المقاطعه في شرق ولاية كالفورنيا الأمريكية، توضح الوثيقة أن شركة Hushmail قامت بتسليم الحكومة الأمريكية رسائل إلكترونية تكفي لملىء 12 اسطوانة مدمجة و تخص ثلاثة حسابات في الـ Hushmail!!
كما أكدت الوثيقة أن هذا الأمر كان قانونيا تحت بنود معاهدة التعاون المشترك بين كندا و الولايات المتحدة الأمريكية.
الحسابات الإلكترونية كما تدعي الوثقية تخص صينيين يعملون في بيع مواد كيميائية محظورة بطرق غير شرعية و أن الرسائل المفضوحة أسهمت في معرفة الكثير عنهم و عن مختبراتهم في أماكن مختلفة تحت الأرض.

هنا يبقى السؤال، لما لا تفعل جوجل نفس الشيء؟
ان كانت شركة “كندية” و خدمتها الأساسية هي توفير “الخصوصية” لعملائها، قامت بفضح معلومات هائلة عن عملائها!
أرجو ان يكون في هذا الخبر تدعيم لكلامي السابق، و نفي لتهمة التفكير بنظرية المؤامرة عني.
 للإطلاع على وثيقة المحكمة، إضغط هـنـا.
و للمزيد حول الموضوع، إضغط هـنـا.