أمان Gooroom: ما يفعله التمهيد الموثوق والعزل فعليًا

يُفهم نموذج أمان Gooroom على أفضل وجه على أنه طبقات: يُرسّخ التمهيد الموثوق الثقة في البرامج المُحمّلة عند بدء التشغيل، بينما تعالج حماية نظام التشغيل والمتصفح التهديدات بعد بدء التشغيل. تعامل مع هذه الضوابط كضوابط تكميلية، وليس كضمانة لتشغيل كل برنامج في بيئة معزولة. تصف مواد Gooroom العامة التمهيد الموثوق، وحماية نظام التشغيل، وحماية الملفات التنفيذية، وحماية المتصفح، لكنها لا توثّق بيئة معزولة شاملة لكل تطبيق، ولا تُثبت أن جميع الأجهزة تأتي بإعدادات متطابقة.

ماذا تعني عبارة "برنامج تشغيل موثوق" في Gooroom؟

يشير مصطلح "التمهيد الموثوق" إلى عملية تتحقق من سلامة مكونات بدء التشغيل وصلاحيتها أثناء انتقال التحكم من مرحلة إلى أخرى. في سلسلة نموذجية، يبدأ برنامج النظام الأساسي تشغيل مُحمِّل التمهيد، الذي بدوره يقوم بتحميل النواة والمكونات ذات الصلة. إذا رفضت إحدى خطوات التحقق أحد المكونات، يمكن للنظام منع بدء التشغيل أو الإبلاغ عن مشكلة، وذلك بحسب الإعدادات. يختلف هذا عن فحص ملف تم تنزيله بعد تشغيل نظام التشغيل.

يُقدّم عرض الأمان الرسمي لـ Gooroom التمهيد الموثوق كجزء من إطار عمله الأمني، ويأتي في المرتبة الثانية بعد حماية نظام التشغيل والتطبيقات. وبشكل منفصل، تُشير ملاحظات إصدار مشروع Gooroom GRUB إلى دعم التمهيد الآمن UEFI الأصلي في سجل التعليمات البرمجية الخاص به. وهذا دليل على أن كود مُحمّل التمهيد يدعم التمهيد الآمن، ولكنه ليس دليلاً على أن صورة Gooroom أو البرامج الثابتة للحاسوب أو التثبيت مُفعّل فيه التمهيد الآمن، أو أن المفاتيح مُسجّلة، أو أن جميع مكونات التمهيد قد تم التحقق منها. ولا تُحدّد المواد العامة التي تمت مراجعتها جذر ثقة واحد حالي للأجهزة، أو ترتيب مفتاح التوقيع، أو تكوينًا إلزاميًا لجميع عمليات النشر.

كيف تتلاءم حماية نظام التشغيل وعزله مع ذلك؟

تُعنى فحوصات بدء التشغيل بتحديد مسار الوصول إلى نظام التشغيل. وتهدف الحماية أثناء التشغيل إلى الحد من قدرة البرامج الضارة أو غير المصرح بها على العمل بعد تسجيل الدخول. وتُشير مواد إطار عمل الأمان الخاص بـ Gooroom إلى حماية نظام التشغيل، وحماية الملفات التنفيذية، وحماية المتصفح كوظائف منفصلة. كما يُظهر عرض المنتج مُشرفًا خفيفًا للأجهزة الافتراضية. يُمكن للمُشرف إنشاء حدود بين البيئات، ولكن وجوده وحده لا يُحدد العملية المعزولة، أو الموارد التي يُمكنها الوصول إليها، أو ما إذا كان العزل مُفعلاً في الإصدار المُثبت لديك.

"بيئة الحماية المعزولة" مفهوم أمني عام: يعمل البرنامج بصلاحيات محدودة للوصول إلى الملفات والأجهزة والعمليات الأخرى، مما يقلل من فرص انتشار الاختراق. تدعم مواد Gooroom العامة مناقشة حماية المتصفح ونظام التشغيل كمكونات أساسية، لكنها لا توفر تفاصيل كافية وحديثة للادعاء بأن كل تطبيق سطح مكتب عادي يعمل في بيئة حماية معزولة خاصة به. لا تستنتج عزل كل علامة تبويب على حدة، أو عزل الجهاز الظاهري، أو التراجع التلقائي، أو الاحتواء الكامل إلا إذا أكدت وثائق إصدارك ذلك صراحةً.

يصف مستودع حماية نظام التشغيل العام للمشروع أيضًا Shadow-box، وهو إطار عمل لمراقبة نواة النظام قائم على المحاكاة الافتراضية، مزود ببرنامج مراقبة افتراضية خفيف الوزن وجهاز مراقبة أمني. يناقش ملف README الخاص به مراقبة سلامة النواة، ويشير إلى القيود التشغيلية، بما في ذلك تعطيل بعض ميزات النواة وإدارة الطاقة في هذا التطبيق. يساعد المستودع في شرح التوجه التقني للمشروع، ولكنه لا يؤكد تفعيل هذه الميزة في جميع إصدارات Gooroom الحالية أو ملاءمتها لجميع تكوينات محطات العمل.

ما يمكن لهذا النموذج حمايته وما لا يمكنه حمايته

• عند بدء التشغيل: يمكن لسلسلة التمهيد الموثوقة المُهيأة بشكل صحيح أن تجعل تحميل التغييرات غير المصرح بها على مكونات التمهيد دون اكتشافها أكثر صعوبة. وتعتمد قيمتها على البرامج الثابتة، ومفاتيح الثقة المسجلة، والمكونات الموقعة، ومسار التمهيد الفعلي.
• بعد بدء التشغيل: قد تحدّ إجراءات الحماية الخاصة بنظام التشغيل والملفات التنفيذية والمتصفح من بعض التهديدات أو مسارات الوصول. ويعتمد نطاقها على التنفيذ والسياسة والإصدار.
• خارج هذه الحدود: لا تمنع هذه الضوابط تلقائيًا عمليات التصيد الاحتيالي، أو سرقة بيانات الاعتماد، أو قرارات المستخدم غير الآمنة، أو التطبيقات المعرضة للخطر، أو الهجمات عبر الخدمات غير المحمية. كما أنها لا تغني عن التحديثات، أو النسخ الاحتياطية، أو ضوابط الحساب، أو دفاعات الشبكة.

التشفير عملية منفصلة. قد يُساعد التمهيد الموثوق على تعزيز الثقة في برامج بدء التشغيل، لكنه لا يعني تشفير الملفات الموجودة على جهاز مُطفأ. تأكد من حالة تشفير القرص بشكل مستقل إذا كانت الحماية من فقدان الجهاز جزءًا من متطلباتك.

ما يجب التحقق منه على جهاز Gooroom

نظرًا لعدم وجود إعدادات موحدة عامة في المواصفات العامة، يُرجى التحقق من عناصر التحكم على جهاز الكمبيوتر والإصدار الذي تستخدمه. اطلب من المسؤول أو المورّد دليل الأمان وسياسة الأمان الخاصة بالإصدار. تأكد من إمكانية تشغيل الجهاز في وضع UEFI، ومن تفعيل ميزة التمهيد الآمن في البرامج الثابتة، ومن قبول مفاتيح الثقة المُكوّنة لبرنامج الإقلاع ونواة النظام المُثبّتين. تجنّب تغيير مفاتيح البرامج الثابتة أو تعطيل ميزة التمهيد الآمن على جهاز مُدار دون موافقة؛ إذ قد يؤثر أيٌّ من هذين التغييرين على بدء التشغيل وسياسة المؤسسة.

تحقق من إجراءات الحماية أثناء التشغيل بشكل منفصل. ابحث عن مؤشرات الحالة الموثقة أو سياسة الإدارة لحماية نظام التشغيل والملفات التنفيذية والمتصفح. استفسر عن العناصر المعزولة، والبيانات والأجهزة التي لا تزال قابلة للوصول من تلك البيئة، وكيف تؤثر التحديثات على السياسة، وما هي السجلات التي تظهر عند فشل الفحص. كتيب المنتج هو نظرة عامة على البنية، وليس تقرير حالة لنقطة النهاية الخاصة بك.

كيفية قراءة الأدلة

المراجع الأساسية هي ملاحظات إصدار Gooroom GRUB ، ومستودع Gooroom OS-protector ، ونظرة عامة على أمان Hancom Gooroom (المنشورة في 19 أغسطس 2022). يصف الكتيب مكونات الإطار، بينما تصف وثائق المستودع التعليمات البرمجية والقيود، لكن لا يُثبت أيٌّ منهما ما هو مُفعَّل على نظامك. لم أجد أي إعلان حديث مُوثَّق في هذه المصادر يُغيِّر التمييز الأساسي بين التمهيد الموثوق وحماية وقت التشغيل. راجع الوثائق الخاصة بكل إصدار قبل اتخاذ أي قرار أمني.