يُتحقَّق منه في متصفحك.
ويُختم للجيب الآمن.

باختصار

يشغّل Undergrove نماذج مفتوحة الأوزان داخل جيوب آمنة عتادية تديرها Tinfoil. بعض ما يعنيه ذلك يتحقق منه متصفحك بنفسه؛ وبعضه بيان من Tinfoil؛ وبعضه يعتمد علينا. وإليك ما ينتمي إلى كلٍّ منها.

لم يخضع أيٌّ من هذا لتقييم مستقل بعد.

01 · التصديق

الشريحة تشهد للشيفرة.

الجيب الآمن العتادي جزء من الخادم لا يستطيع مضيفه نفسه النظر داخله: يشفّر المعالج ذاكرة الجيب الآمن ويُبقي برمجيات المضيف خارجها. وهذا وحده لن يكون سوى وعد. ما يجعله قابلًا للتحقق هو التصديق. فعند بدء تشغيل الجيب الآمن، يقيس المعالج الشيفرة التي حمّلها ويوقّع تقريرًا بهذا القياس بمفتاح تضمنه الشركة المصنّعة للشريحة. ويذكر التقرير أيضًا المفتاح العام الذي سيفكّ به الجيب الآمن التشفير.

قبل رسالتك الأولى، تجلب مساحة العمل هذا التقرير للجيب الآمن الموجِّه لدى Tinfoil، عبر خادمنا، وتشغّل عليه أداة التحقق مفتوحة المصدر من Tinfoil في متصفحك. وجلبه عبرنا لا يغيّر شيئًا: لا نستطيع تزوير توقيع الشريحة، والتقرير الذي لا ينجح التحقق منه يوقف كل شيء.

فحوصات أداة التحقق، بالترتيب

1. العثور على الإصدار الذي نشرته Tinfoil لهذه الشيفرة.
2. التحقق من تقرير التصديق العتادي للجيب الآمن مقابل مفاتيح التوقيع لدى الشركة المصنّعة للرقاقة.
3. التحقق من سجل البناء الموقَّع للإصدار (Sigstore، من GitHub).
4. المقارنة: يجب أن تكون الشيفرة المقيسة في الجيب الآمن هي ذلك الإصدار بالضبط.
5. التحقق من أن مفتاح التشفير هو المفتاح الذي يذكره تصديق الجيب الآمن.

لا نستطيع تزوير توقيع الشريحة، والتقرير الذي لا ينجح التحقق منه يوقف كل شيء.

يُعاد استخدام التقرير الذي جرى التحقق منه لمدة تصل إلى عشر دقائق، في علامة التبويب هذه أو في علامة تبويب أخرى من هذا الموقع، وفقط إن كان التقرير نفسه تمامًا، بحسب تجزئة SHA-256 الخاصة به. تعرض مساحة العمل كل فحص ضمن «تم التحقق»، وتعرض صفحة البنية الشيفرة التي تُجريه.

02 · الختم

لا يستطيع فتحه إلا الجيب الآمن.

بعد التحقق من الجيب الآمن، يُختم كل طلب مباشر في علامة التبويب لديك قبل أن يغادرها. يُشفَّر متنه باستخدام EHBP، وهو بروتوكول Tinfoil لتشفير متون HTTP، للمفتاح الذي ذكره التصديق. ويستخدم EHBP معيار HPKE، وهو معيار للتشفير بالمفتاح العام لطرف ما: تُنشئ علامة التبويب لديك زوج مفاتيح جديدًا للطلب، وتجمعه مع مفتاح الجيب الآمن في سرّ مشترك، ثم تشفّر باستخدام AES-256-GCM.

ينتقل النصف العام الجديد بجانب النص المشفَّر، بوصفه المفتاح المُغلَّف. ولا يستطيع تحويله مجددًا إلى السرّ إلا المفتاح الخاص للجيب الآمن، الذي لا يغادر الجيب الآمن أبدًا. وتعود الإجابة بالطريقة نفسها، في إطارات مختومة تفتحها علامة التبويب لديك أثناء بثّها.

03 · المُرحِّل

بايتات لا يستطيع قراءتها.

تذهب الطلبات المختومة إلى المُرحِّل لدينا، وهو وظيفة على Vercel، بدلًا من الذهاب مباشرة إلى Tinfoil. يتحقق من هوية الطالب ومن أنه ضمن حصته، ويضع مفتاح Tinfoil الخاص بـ Undergrove على الطلب، فلا تحتاج إلى حساب لدى Tinfoil. ويرفض أي شيء غير موجَّه إلى أحد خوادم Tinfoil نفسها أو لا يحمل مفتاحًا مُغلَّفًا.

لا يستطيع عدّ كلماتك، لذا يقدّر تكلفة كل طلب من حجم النص المشفَّر، مائلًا إلى المبالغة. ولا يحتفظ بأي نسخة، ولا تحتوي سجلاته إلا على أسماء المسارات ورموز الحالة والتوقيتات.

04 · الإيصالات

جيبان آمنان، وإيصال لكل إجابة.

الجيب الآمن الموجِّه الذي تحقق منه متصفحك لا يشغّل النموذج. إنه يفتح طلبك ويمرّره إلى الجيب الآمن الذي يعمل فيه النموذج مع وحدات GPU الخاصة به، والذي يتحقق منه الموجِّه بنفسه، وفق شيفرته المنشورة، ويذكره في ترويسة الاستجابة.

ثم يتحقق متصفحك من ذلك الجيب الآمن المذكور أيضًا، بأداة التحقق نفسها، مقابل المستودع الذي يثبّته موجِّه Tinfoil لذلك النموذج. وما وجده يُحفَظ مع الإجابة كإيصال: الجيب الآمن، والشيفرة المقيسة فيه، والإصدار الذي طابقته، والمفتاح الذي خُتم له الطلب. الإيصال سجلّ متصفحك نفسه، لا نوقّعه نحن ولا Tinfoil؛ أما التصديق الذي يستند إليه فموقَّع من AMD وGitHub، لذا يمكن لأي شخص التحقق منه مجددًا.

05 · واجهة API للمطوّرين

مسار مختلف، بوضوح.

الشيفرة التي تستدعي واجهة API للمطوّرين ترسل طلبها عبر HTTPS إلى البوابة لدينا، التي تقرؤه: للتحقق منه، وتطبيق الحدود، وتشغيل الأدوات. تقرؤه في الذاكرة ولا تخزّنه ولا تسجّله أبدًا. ثم تفعل البوابة ما يفعله متصفحك في مساحة العمل: تتحقق من الجيب الآمن باستخدام SDK الخاص بـ Tinfoil وتختم الطلب له.

لذا فعلى هذا المسار تثق بنا في الطلب ما دامت البوابة تحمله. أما ما يمكنك التحقق منه فهو الجيب الآمن: كل إجابة من مسار Tinfoil تحمل ترويسات تذكر حزمة التصديق التي تحققت منها البوابة، لتتحقق منها مجددًا. وتوضّح وثائق المطوّرين الطريقة.

06 · هذه الصفحة

التحقق من الشيفرة التي تتحقق.

كل ما سبق يعمل بشيفرة يرسلها هذا الموقع إلى متصفحك، لذا فتلك الشيفرة مهمة أيضًا. يكتب كل بناء بيانًا: تجزئة SHA-256 لكل ملف يقدّمه الموقع، والإيداع الذي بُني منه.

لا تستطيع الصفحة أن تضمن نفسها بالكامل: فالفحص الذي يعمل داخل الصفحة لا يكون أصدق من الصفحة نفسها. أما الفحص الأقوى فلا يتضمّننا إطلاقًا: أعِد بناء الإيداع بنفسك في البيئة المثبَّتة وقارن البيانين.

07 · الحدود

ما لا يُثبته هذا.

• بيانات Tinfoil تبقى بيانات Tinfoil. أنها لا تستطيع الوصول إلى جيوبها الآمنة، وأن لا شيء فيها يبقى بين عمليات إعادة التشغيل، وأن وحدات GPU لديها تعمل في وضع الحوسبة السرّية، هي أمور تقولها Tinfoil. أما متصفحك فيتحقق من أن العتاد حقيقي ويشغّل الشيفرة المنشورة.
• العتاد جزء مما تثق به. الحماية جيدة بقدر جودة المعالجات وبرامجها الثابتة ومفاتيح الشركات المصنّعة للشرائح، وقد سبق أن نُشرت ثغرات في الجيوب الآمنة العتادية.
• قفزة واحدة تعتمد على شيفرة منشورة. أن طلبك انتقل من الموجِّه إلى الجيب الآمن للنموذج أمرٌ يعتمد على الشيفرة المنشورة للموجِّه. ولا يستطيع متصفحك التحقق من الجيب الآمن للنموذج إلا على AMD SEV-SNP؛ أما على Intel TDX فيُسجَّل على أنه لم يُفحَص.
• يرى المُرحِّل الجانب الخارجي. حسابك، وعنوان IP الخاص بك، والأحجام، والأوقات، والنموذج الذي أجاب.
• النشر ليس مراجعة. تُظهر أداة التحقق أيّ شيفرة تعمل، لا أن الشيفرة خالية من الثغرات.
• لا يوجد تقييم مستقل بعد. لم يراجع أي مدقّق هذا التصميم ولا شيفرته حتى الآن.

لمعرفة مَن يمكنه أن يرى ماذا، مراقبًا بعد مراقب، اقرأ نموذج التهديد.

08 · للمزيد

شاهد كل جزء أثناء عمله.

• البنيةالمحطات الأربع التي تمرّ بها الرسالة، وما تراه كلٌّ منها، والشيفرة التي تقوم بذلك.
• اختمه بنفسكاكتب رسالة وشاهدها تُختم للجيب الآمن، خطوة بخطوة.
• حاول فكّ التشفيرطلب مشفَّر واحد، بايتًا ببايت كما رآه المُرحِّل لدينا.
• نموذج التهديداتمَن يمكنه أن يرى ماذا: جهة الاستضافة، ونحن، وTinfoil، والشبكة، وأمر المحكمة.
• تحقّق من هذه الصفحةاحسب تجزئة الشيفرة التي حمّلتها هذه الصفحة وقارنها بالبناء.
• الشفافيةأعداد الطلبات المشفَّرة وعمليات التحقق من الجيب الآمن، والإيداع العامل في بيئة الإنتاج.