عزل ملفات تعريف المتصفح: ما الذي يُفصل فعلاً؟

تبدو عبارة «ملف منفصل» دقيقة إلى أن يعتمد سير العمل عليها. قد يقصد منتج ما مجلداً مختلفاً، بينما يضيف منتج آخر إشرافاً على العمليات وسياسة شبكة لكل ملف وتشفيراً وأقفالاً ونسخاً احتياطية وأذونات للفريق. لا يضمن الاسم وحده أي تركيبة معينة من هذه الحدود.

لذلك فالسؤال العملي هو: منفصل عن ماذا، وأمام أي إخفاق أو طرف، وبأي دليل؟

أربعة حدود يسهل الخلط بينها

الحد	ما الذي يفصله	ما الذي لا يثبته
مصدر الويب	التخزين الذي يستطيع برنامج مصدر قراءته عن مصدر آخر	الفصل بين تسجيلي دخول إلى الموقع نفسه داخل ملف واحد
ملف تعريف المتصفح	مجموعة حالة المتصفح المرتبطة بملف واحد	الحماية من شخص آخر يستطيع الوصول إلى حساب نظام التشغيل نفسه
عزل المواقع ووضع الحماية	محتوى الويب من مواقع مختلفة داخل عمليات تصيير مقيدة	تثبيت متصفح مخصص أو مكدس شبكة مستقل لكل ملف
حساب نظام التشغيل أو الحاوية أو الآلة الافتراضية	الملفات والعمليات وبيانات الاعتماد وأحياناً سياسة الشبكة عند حد النظام	الفصل التلقائي للحسابات داخل المتصفح ما لم يُضبط

تحل هذه الطبقات مشاكل مختلفة. تمنع قواعد المصدر نفسه في الويب البرنامج العادي في مصدر من قراءة تخزين مصدر آخر. ويضيف نموذج Chromium الأمني لعزل المواقع حدود عمليات تصيير محمية بين المواقع. ويجمع ملف تعريف المتصفح حالة متصفح شخص أو سير عمل. أما حساب نظام التشغيل أو الآلة الافتراضية فيعالج مشكلة مهاجم محلي أقوى أو عزل مضيف.

لا ينبغي استخدام ادعاء متعلق بطبقة واحدة دليلاً على طبقة أخرى.

ما الذي يفصله ملف تعريف المتصفح الدائم عادةً

توثق Chromium أن دليل بيانات المستخدم يحتوي على بيانات ملف مثل السجل والإشارات المرجعية وملفات تعريف الارتباط، وأن كل ملف هو مجلد فرعي داخل دليل بيانات المستخدم. وتقول إرشادات ملفات Chrome بصورة مماثلة إن الملفات تفصل الإشارات المرجعية والسجل وكلمات المرور والإعدادات.

بالنسبة إلى ملف عمل دائم، يشمل حد الحالة المتوقع عادةً:

الحالة	الأثر العملي للفصل
ملفات تعريف الارتباط وحالة المصادقة	ينبغي ألا يؤدي تسجيل الدخول إلى خدمة في الملف أ إلى تسجيل الملف ب من خلال مخزن ملفات الارتباط نفسه
التخزين المحلي وقواعد بيانات المواقع	تنتمي الحالة التي يحتفظ بها تطبيق الويب محلياً إلى الملف الذي أنشأها
ذاكرة HTTP المؤقتة وCache Storage	لا تعبر الاستجابات القابلة لإعادة الاستخدام وبيانات التطبيق غير المتصل عادةً إلى ملف آخر
السجل والإشارات المرجعية وحالة الجلسة المفتوحة	تبقى سجلات التنقل والوجهات المحفوظة مرتبطة بسير العمل المقصود
أذونات المواقع	يمكن أن تختلف قرارات الكاميرا والميكروفون والإشعارات والموقع وما شابهها حسب الملف
الإضافات وحالة الإضافات	يمكن إدارة الإضافات المثبتة وإعداداتها ووصولها الممنوح لكل ملف
كلمات المرور وبيانات الملء التلقائي	تبقى بيانات الاعتماد وبيانات النماذج المحفوظة محلياً في الملف المحدد، وفق أي مزامنة مفعلة

يختلف الموضع الفعلي حسب المنصة. تذكر وثائق Chromium أن مسار ذاكرة التخزين المؤقت قد يُشتق من مسار الملف ويُخزَّن في موقع ذاكرة مؤقتة لنظام التشغيل بدلاً من وضعه بجوار بقية الملف. كما تميز بيانات الملف عن الحالة المحلية الأخرى الخاصة بكل تثبيت والموجودة في دليل بيانات المستخدم. لذلك يتتبع تصميم العزل الموثوق كل مسار مملوك ويوثق حالة التثبيت المشتركة، بدلاً من التعامل مع مجلد ملف ظاهر واحد على أنه الحد الكامل.

يحتاج حد الدليل أيضاً إلى ضوابط دورة الحياة

يمنع مسار بيانات فريد إعادة استخدام الحالة عرضياً فقط عندما يتلقى كل تشغيل المسار الصحيح. وتذكر Chromium أيضاً أن مثيلَي Chrome قيد التشغيل لا يستطيعان مشاركة دليل بيانات مستخدم واحد بأمان. وينبغي لنظام الملفات المُدار أن يجعل قواعد دورة الحياة صريحة:

• عيّن جذر تخزين فريداً لكل ملف؛
• امنع كاتبين من فتح الحالة الدائمة نفسها؛
• حدّد العمليات التي تنتمي إلى التشغيل؛
• أوقف تلك العمليات أو استردها كدورة حياة واحدة؛
• أكمل الكتابات قبل النسخ الاحتياطي أو النقل؛ و
• اكتشف الإغلاق غير المكتمل قبل التشغيل التالي.

دون هذه الضوابط، قد تنتج «المجلدات المنفصلة» تشغيل ملفات خاطئة أو أقفالاً قديمة أو نسخاً جزئية أو تلفاً بعد انقطاع.

ما الذي لا يفصله ملف تعريف المتصفح تلقائياً

الوصول المحلي

تحذر Chrome من أن أي شخص يملك وصولاً إلى الجهاز يستطيع الانتقال إلى ملف Chrome آخر ورؤية معلومات مثل المواقع التي زارها المستخدم. وتوجّه إلى مشاركة الجهاز مع أشخاص تثق بهم فقط. ينظم منتقي الملفات المستخدمين الموثوقين؛ لكنه لا يتحكم في وصول مستخدم آخر لحساب نظام التشغيل نفسه.

إذا شمل الخطر شخصاً محلياً فضولياً أو خبيثاً، فاستخدم حسابات نظام تشغيل منفصلة أو ضوابط للجهاز أو حد تنفيذ أقوى. يمكن لتشفير الملف وسياسة فتحه أن يقللا التعرض في حالة السكون، لكن تصميمهما وتخزين المفاتيح ومسار الاسترداد وسلوك الحالة المفتوحة تحتاج إلى مراجعة.

ثنائي المتصفح ومسار التحديث

يمكن أن تعيش عدة ملفات تحت دليل بيانات مستخدم واحد في Chromium. وهي تعتمد عادةً على المتصفح المثبت نفسه ومحدّثه. لا ينشئ فصل حالة الملفات سلوكاً منفصلاً لتصحيحات الأمان.

قد يكون هذا المكوّن المشترك مرغوباً لأن متصفحاً واحداً مصاناً أسهل في التحديث المتسق. ويعني أيضاً أن بنية متصفح قديمة أو مخترقة تؤثر في كل ملف يستخدمها. تنتمي حداثة المتصفح والتحقق من التوقيع وسلامة الرجوع إلى إصدار سابق إلى تقييم العزل.

هوية الشبكة

لا يغير إنشاء ملف جديد بحد ذاته عنوان IP العام أو مسار DNS أو الشبكة المحلية أو الوكيل الأعلى. ستستخدم الملفات على جهاز واحد عادةً مسار الشبكة نفسه، ما لم يضبط المتصفح أو الإضافة أو سياسة نظام التشغيل أو مدير الملفات شيئاً مختلفاً.

إذا تطلب سير العمل وكيلاً لكل ملف، فتحقق من أكثر من العنوان المضبوط. اختبر المصادقة ومعالجة DNS وسلوك WebSocket والبروتوكولات الأخرى والعودة بعد الفشل وما يحدث قبل جاهزية الوكيل. قد يؤدي اتصال يعمل بطريقة الفتح عند الفشل إلى هزيمة حد الشبكة المقصود حتى عندما يكون إعداد الوكيل المخزن في الملف صحيحاً.

خصائص الجهاز والبيئة

قد يملك الملف ملفات تعريف ارتباط وإعدادات مختلفة، لكنه يظل يكشف خصائص المتصفح ونظام التشغيل والعتاد والشاشة وإعداد اللغة والشبكة نفسها. يصف W3C البصمات بأنها إعادة تعريف عبر خصائص قابلة للملاحظة، ويضمّن رؤوس الطلبات وعنوان IP وحجم النافذة والخطوط والأجهزة المتصلة والأداء والمستشعرات والتصيير الرسومي ضمن المدخلات المحتملة في إرشادات البصمات.

يمكن لفصل الملفات منع إعادة استخدام الحالة. لكنه لا يجعل الجهاز غير قابل للتعرف، ولا يضمن بصمة مختلفة، ولا يضمن الوصول إلى خدمة خارجية.

الملفات خارج الملف

غالباً ما تغادر التنزيلات التخزين المملوك لملف تعريف المتصفح وتدخل مجلداً عادياً للمستخدم. توضح وثائق حذف البيانات في Chrome الفرق بشكل ملموس: مسح سجل التنزيلات لا يحذف الملفات المنزلة.

تنشئ عمليات الرفع الخطر المعاكس. قد يعرض منتقي الملفات نظام ملفات المضيف نفسه لعدة ملفات. ويمكن أيضاً لمحتوى الحافظة وبيانات السحب والإفلات ومخرجات الطباعة ولقطات الشاشة وإشعارات نظام التشغيل أن تعبر حد ملف تعريف المتصفح ما لم يحتوها المنتج المحيط أو نظام التشغيل.

اختر سياسة تنزيل ووثقها. تشمل الخيارات مجلداً مخصصاً لكل ملف أو دليل عمل مؤقتاً أو تصديراً صريحاً أو حداً أقوى للحاوية. يعتمد الاختيار الصحيح على ما إذا كان الهدف تجنب الأخطاء أو حماية الأسرار أو عزل العمل غير الموثوق المتبادل.

الحسابات السحابية والمزامنة

يمكن أن تُنسخ حالة المتصفح المنفصلة على القرص عبر خدمة مزامنة مفعلة. وقد تظهر كلمة مرور أو إشارة مرجعية أو إعداد أو عنصر من السجل في مكان آخر لأن الملف متصل بحساب يزامن تلك الفئة. يتيح Chrome، مثلاً، للشخص المسجل الدخول اختيار معلومات الملف التي تُحفظ في حساب Google.

تعامل مع المزامنة كحد ثقة آخر. سجّل ما يُرفع وكيف يُشفّر ومن يستطيع تفويض جهاز جديد وكيف ينتشر الحذف وهل يمكن للاستعادة دمج حالة من الملف الخطأ.

عزل المواقع ضابط أمني مختلف

يضع عزل المواقع في Chromium الصفحات من مواقع مختلفة في عمليات تصيير مختلفة ومحمية على المنصات المدعومة. ويقلل ذلك احتمال أن يحصل مصيّر مخترق لموقع على بيانات حساسة تخص موقعاً آخر.

تعمل هذه الحماية داخل جلسة المتصفح. ولا تجيب عن وجود جذور بيانات منفصلة لملفي عمل أو ملكية دورة حياة مخصصة أو وكلاء مختلفين أو نسخ احتياطية مستقلة أو أذونات فريق مختلفة. وبالعكس، قد ينشئ منتج أدلة بيانات منفصلة مع اعتماده في الوقت نفسه على وضع حماية المواقع العادي في المتصفح لمحتوى الويب العدائي.

كلا الضابطين مهم. وينبغي اختباره ووصفه منفصلاً.

ملف دائم أم جلسة متخفية أم ملف مؤقت؟

يحتفظ وضع التصفح المتخفي في Chrome مؤقتاً بملفات تعريف الارتباط وبيانات المواقع ما دامت الجلسة الخاصة مفتوحة، ثم لا يحتفظ ببيانات الموقع أو سجل المواقع التي زارها المستخدم بعد انتهائها. وتذكر Google أيضاً أن التصفح المتخفي لا يغير طريقة جمع المواقع التي زرتها وخدماتها للبيانات.

لذلك يفيد التصفح المتخفي جلسة قصيرة على جهاز موثوق. لكنه بديل ضعيف عن ملف عمل دائم عندما تحتاج إلى إضافات قابلة للتكرار أو حالة قابلة للاسترداد أو مالك معين أو تسليم منضبط.

يمكن لملف مُدار مؤقت أن يجمع سياسة حالة مؤقتة مع ضوابط صريحة للتشغيل والشبكة والتنظيف. ولا يزال حذفه يحتاج إلى دليل. ينبغي للمدير التحقق من إزالة المسارات وبيانات الاعتماد المملوكة للملف، مع تحديد الملفات أو السجلات المحتفظ بها خارج الملف بوضوح لأسباب تدقيق أو قانونية.

الاسترداد جزء من العزل

قد يفشل العزل عبر الاستعادة بسهولة كما يفشل عبر التشغيل. وقد يؤدي نسخ ملف أثناء تشغيله إلى التقاط مزيج من حالة قاعدة بيانات قديمة وجديدة. وقد تدمج الاستعادة إلى المعرّف الخطأ سيرَي عمل. وقد يسبب فتح بيانات كتبها متصفح أحدث بإصدار أقدم مشاكل توافق؛ إذ تحتفظ Chromium بقواعد صريحة لتخفيض بيانات المستخدم وتوافقها.

ينبغي لتصميم الاسترداد أن يثبت ما يلي:

1. تنتمي النسخة الاحتياطية إلى هوية ملف واحدة غير قابلة للتغيير؛
2. أُخذت اللقطة عند نقطة متسقة في دورة الحياة؛
3. تظل الأسرار محمية في الأرشيف وأثناء الاستعادة؛
4. إصدار المتصفح متوافق مع الحالة المستعادة؛
5. لا تدمج الاستعادة ضمنياً مع ملف موجود؛ و
6. يستطيع الانقطاع العودة إلى آخر حالة معروفة بسلامتها.

تكون ذاكرة التخزين المؤقت عادةً قابلة للاستبدال. أما الإشارات المرجعية والبيانات المحلية التي أنشأها المستخدم وبيانات الاعتماد وحالة الإضافات وبيانات التدقيق فقد لا تكون كذلك. وينبغي لسياسة الاسترداد التمييز بينها.

اختبار عزل عملي

لنفترض فريق ضمان جودة مصرحاً له يختبر مستأجرين من تطبيق ويب واحد. يجب أن يظل المستأجر أ والمستأجر ب مستقلين.

لكل ملف، يستطيع الفريق تسجيل مصفوفة اختبار صغيرة:

1. سجّل الدخول، واضبط تفضيلاً، وامنح إذن موقع، وسجّل أي حالة تطبيق غير متصل في الملف أ.
2. افتح المصدر نفسه في الملف ب وتحقق من غياب الحالة الموثقة والمحلية للملف أ.
3. اضبط مسار الشبكة المقصود للملف ب، ثم تحقق من الطلبات العادية وسلوك الفشل قبل إدخال بيانات الاعتماد.
4. نزّل ملف علامة غير ضار من كل ملف، وتحقق من مكان ظهوره ومن يستطيع قراءته.
5. أوقف أحد التشغيلين، وأعد فتحه، وتحقق من عدم انتقال حالة إلى الملف الآخر.
6. انسخ الملف أ احتياطياً واستعده تحت معرّف اختبار جديد، ثم تأكد من بقاء الملف ب دون تغيير.

يختبر هذا السلوك القابل للملاحظة. أما لقطة شاشة لنافذتين بلونين مختلفين فلا تفعل.

أسئلة قبل الاعتماد على العزل

• ما فئات البيانات الدقيقة التي يملكها الملف؟
• هل توجد مسارات للحالة أو ذاكرة التخزين المؤقت خارج دليل الملف الرئيسي؟
• هل يستطيع تشغيلان الكتابة إلى الملف نفسه، وكيف يُمنع ذلك؟
• ما عمليات المتصفح أو الخدمات المشتركة؟
• هل تُربط سياسة الشبكة قبل الطلب الأول، وهل يُمنع الطلب عند تعذّر تطبيقها؟
• أين تعبر التنزيلات والرفوعات وبيانات الحافظة والإشعارات الحد؟
• من يستطيع فتح الملف أو تصديره أو نسخه أو استعادته أو حذفه؟
• كيف تُخزّن مفاتيح التشفير وتُستعاد؟
• هل تستطيع المزامنة دمج الحالة عبر الملفات أو الأجهزة؟
• ما أدلة الأعطال والترقية والنسخ الاحتياطي والرجوع إلى إصدار سابق؟

خلاصة موجهة بالقرار

استخدم ملف متصفح عادي عندما يكون الهدف الأساسي التنظيم وفصل الحسابات على جهاز يسيطر عليه أشخاص تثق بهم. واطلب نظام ملفات معزول مُداراً عندما تنشئ عمليات التشغيل الخاطئة للملفات أو الكتابات المتزامنة أو أخطاء الشبكة أو إخفاقات الاسترداد أو تسليمات الفريق خطراً مادياً. وانتقل إلى حساب نظام تشغيل أو حاوية أو آلة افتراضية عندما يشمل التهديد مستخدماً محلياً آخر أو كوداً أصلياً غير موثوق أو حاجة إلى حد أقوى للمضيف.

كلمة «معزول» ليست إلا نقطة بداية. المنتج الحقيقي هو الحد الموثق وسلوك فشله والأدلة على أن الحد يصمد أمام الاستخدام اليومي.

القيود

يتغير سلوك المتصفح ونظام التشغيل بمرور الوقت ويختلف حسب المنصة والسياسة والإضافات وتنفيذ المنتج. الفئات أعلاه إطار تقييم، وليست ادعاءً بأن كل مدير ملفات يفصل البيانات نفسها. اختبر إصدار المتصفح والجهاز والشبكة والإضافات وموفر الهوية وسير عمل الاسترداد المحددة التي تنوي استخدامها.