درجة ثقة المجتمعموثّق
تشارلز جيلميت مستاء. مدير التكنولوجيا في Ledger خرج مؤخرًا بانتقاد حاد موجه مباشرة إلى الباحثين الأمنيين الذين يسرعون في نشر نتائج الثغرات قبل أن يحصل البائعون على فرصة حقيقية لإصلاحها. وصف ذلك بأنه “زراعة الانتباه بمخاطر شخص آخر” — وليس مخطئًا في شعوره بالاستياء.
التوقيت مهم. لقد جعل الذكاء الاصطناعي من السهل بشكل كبير اكتشاف أخطاء البرمجيات، مما يعني أن الفجوة بين الاكتشاف والاستغلال المحتمل تتقلص بسرعة. نقطة جيلميت واضحة: إذا كان بإمكان الباحث العثور على خلل في غضون ساعات باستخدام أدوات الذكاء الاصطناعي، فمن المحتمل أن يتمكن الفاعل السيئ من ذلك أيضًا. النشر قبل وجود تصحيح لا يحرج البائع فقط — بل يقدم للمجرمين خارطة طريق.
جدل نافذة الـ90 يومًا
أشار جيلميت إلى نافذة إفصاح مدتها 90 يومًا كنوع من المعايير الصناعية — الفترة التي يجب أن يحصل عليها البائعون لمعالجة ثغرة مبلغة قبل أن يعلن الباحثون عنها. لكنه كان حريصًا على عدم اعتبار هذا الرقم مقدسًا. الخطورة مهمة. التعقيد مهم. لا يمكن معالجة خلل حرج في البرامج الثابتة يتطلب تحديثًا كاملاً للمنتج في نفس الإطار الزمني لخلل بسيط في البرمجيات، وقد قال جيلميت ذلك بشكل أساسي.
دعم جان كوماريك من Trezor موقفه. يرى كوماريك أن فترة الـ90 يومًا ليست مجرد فترة سماح تُمنح للبائعين — إنها التزام متبادل. يوافق الباحثون على البقاء صامتين. يوافق البائعون على التحرك بسرعة. إذا لم يصلح الخلل في الإطار الزمني المتفق عليه، يمكن للباحث النشر. هذا هو الاتفاق. حث كوماريك الباحثين على التواصل مع الشركات أولاً، ووضع جدول زمني معًا، وعدم الإعلان إلا إذا فشل البائع في التنفيذ.
إنها إطار عمل معقول. وليست جديدة — الإفصاح المنسق كان ممارسة معيارية في أمن المؤسسات لسنوات. لكن مجال محافظ الأجهزة للعملات الرقمية لا يزال يلحق بالركب، والرهانات عالية بما يكفي ليظهر التأخير.
خسائر حقيقية، اختراقات حقيقية
يتحدث كل من جيلميت وكوماريك في ظل خلفية قاتمة. شهدت محافظ Coldcard سرقات تجاوزت 100 مليون دولار. هذا ليس خطأ في التقريب — إنها خسارة بمئات الملايين مرتبطة بفشل أمان محافظ الأجهزة. وتعرضت Trezor نفسها لضربة عندما كشف اختراق في مزود الشحن الخاص بها عن المعلومات الشخصية لعشرات الآلاف من العملاء. ليست أموال المحافظ، بل الأسماء والعناوين وتفاصيل الاتصال — النوع من البيانات الذي يجعل هجمات التصيد أكثر استهدافًا وخطورة.
تلك الحوادث وحدها توضح لماذا تكون ممارسات الإفصاح المتسرعة مكلفة حقًا. ليست نظرية. المال ذهب. البيانات موجودة هناك.
من المفترض أن تكون محافظ الأجهزة هي الطريقة الأكثر أمانًا لتخزين العملات الرقمية. إنها تبقى غير متصلة بالإنترنت، بعيدة عن اختراقات المنصات واستغلالات المتصفحات. لكنها ليست محصنة ضد ثغرات البرمجيات، أو اختراقات سلسلة التوريد، أو نوع الهندسة الاجتماعية التي تصبح أسهل بكثير عندما يعرف المهاجم بالفعل اسمك وعنوان الشحن الخاص بك. اختراق Trezor هو مثال جيد على كيف يمكن أن يفشل الأمان في طبقة لا علاقة لها بالتشفير.
ما يُطلب من الباحثين فعله
الطلب من Ledger وTrezor واضح. وجدت خطأ؟ لا تغرد عنه. لا تنشر مقالاً. اتصل بالبائع بشكل خاص، اتفق على جدول زمني، وأعطهم فرصة حقيقية لإصلاحه. إذا تأخروا أو اختفوا، انشر. هذا عادل.
ما يدفع جيلميت ضده هو الباحث الذي يجد شيئًا، ويحتفظ به فقط لفترة كافية لكتابة منشور مدونة درامي، ثم ينشره علنًا بدون أي تنسيق. هذا النهج يجذب الانتباه. ربما يجلب عروض عمل. لكنه أيضًا يترك المستخدمين معرضين للخطر خلال الفجوة بين الإفصاح ونشر التصحيح — وهذه الفجوة يمكن أن تكون أسابيع أو أشهر اعتمادًا على مدى تعقيد الإصلاح.
زاوية الذكاء الاصطناعي تجعل الأمر أكثر إلحاحًا. لدى الباحثين الأمنيين الآن أدوات يمكنها فحص قواعد البيانات والإشارة إلى الثغرات المحتملة بسرعة لم تكن ممكنة قبل بضع سنوات. هذا مفيد حقًا. لكنه يعني أيضًا أن حجم الثغرات المكتشفة في ازدياد، وليس كل باحث يجد ثغرات بمساعدة الذكاء الاصطناعي لديه نفس التدريب الأخلاقي مثل شخص قضى سنوات في العمل في أمن المؤسسات. بعضهم ربما لا يفكر كثيرًا في الإفصاح المنسق على الإطلاق.
إطار كوماريك يستحق التأمل. يريد من الباحثين أن يروا نافذة الـ90 يومًا كشراكة، وليس كتكتيك تأخير. البائعون لا يطلبون الصمت إلى الأبد — إنهم يطلبون وقتًا كافيًا لحماية مستخدميهم بالفعل. هذا شيء مختلف.
كان للصناعة الأوسع للعملات الرقمية علاقة معقدة مع شفافية الأمان. تم استخدام الإفصاح الكامل أحيانًا للضغط على الشركات علنًا عندما فشلت القنوات الخاصة. هذا مفهوم. لكن جيلميت وكوماريك يجادلان من أجل التنسيق أولاً، والنشر ثانيًا — ومع وجود خسائر Coldcard البالغة 100 مليون دولار في خلفية هذا النقاش، من الصعب تجاهل هذا الجدال.
لم تُعطَ تفاصيل حول ما إذا كانت Ledger أو Trezor تخطط لتشكيل سياسات إفصاحها بما يتجاوز ما قاله جيلميت وكوماريك علنًا. من غير الواضح إذا كان هناك إطار عمل مشترك قادم. في الوقت الحالي، إنها دعوة عامة للسلوك الأفضل — موجهة إلى مجتمع بحثي يتحرك أسرع من أي وقت مضى، بفضل جزء من نفس أدوات الذكاء الاصطناعي التي تجعل عمل الجميع أصعب.
كشف اختراق مزود الشحن الخاص بـTrezor عن البيانات الشخصية لعشرات الآلاف من العملاء.
الأسئلة الشائعة
ماذا قال مدير التكنولوجيا في Ledger عن الذكاء الاصطناعي والإبلاغ عن الأخطاء؟
قال تشارلز جيلميت إن الذكاء الاصطناعي يسهل العثور على أخطاء البرمجيات واستغلالها، وانتقد الباحثين الذين ينشرون النتائج قبل أن يتمكن البائعون من إصلاحها، واصفًا ذلك بأنه “زراعة الانتباه بمخاطر شخص آخر”.
ما هي نافذة الإفصاح الـ90 يومًا التي تشير إليها Ledger وTrezor؟
وصف كل من جيلميت وجان كوماريك من Trezor فترة الـ90 يومًا بأنها التزام متبادل — يحصل البائعون على هذه الفترة لإصلاح الأخطاء المبلغ عنها قبل أن ينشر الباحثون، مع مرونة تعتمد على الخطورة والتعقيد.
ما هي الحوادث الأمنية التي دفعت إلى هذا النقاش؟
شهدت محافظ Coldcard سرقات تجاوزت 100 مليون دولار، وكشف اختراق في مزود الشحن الخاص بـTrezor عن المعلومات الشخصية لعشرات الآلاف من العملاء.
