THREAT MODEL

نموذج الأمان

جملة واحدة تحمل التصميم كله: المهاجم الذي يستولي على الخادم بأكمله — قاعدة البيانات والأسرار والشيفرة والذاكرة الحية — لا يستطيع قراءة البريد المخزَّن فيه. كل ما يلي هو هذه الجملة، مفحوصةً.

ما الذي يُختَم

النصوص، والمرسِلون، والمستقبِلون، والمواضيع، والمعاينات، وبايتات المرفقات وأسماء ملفاتها، والمسودات، وجهات اتصالك، وكلمات المرور التي تحفظها إلى جانب أسمائك مع ملفاتها ونسخها السابقة المحفوظة للتراجع، وقائمة المرسِلين الذين تحظرهم. كل ذلك مختوم بالمشربية — هجينٌ من مخطط ما بعد الكمّ ومخطط كلاسيكي — إلى هوية خزانة نصفُها السري لا يوجد إلا داخل تبويب متصفحك المفتوح. عاملُ الاستقبال الذي يتلقى بريدك يحمل النصف العام: يستطيع أن يختم الرسائل إليك، ولا يستطيع أن يفتح واحدة أبدًا.

ممّن ندافع

ما لا ندافع ضده

الصدق في الحدود هو الفرق بين نموذج تهديد وإعلان:

• ✦جهازك المفتوح. الخزانة المفتوحة صندوق بريد مفتوح — هذا معنى «مفتوحة». قفلُ الخمول والمسحُ الحثيث للمفاتيح يضيّقان النافذة؛ ولا يغلقانها.
• ✦حقن البرمجيات أثناء الفتح. هجوم XSS ناجح يقرأ ما تقرؤه أنت. سياسة CSP بالرموز، وعرض HTML المرسِلين في صندوق معزول، والتعقيم المزدوج تجعل ذلك صعبًا؛ ولا شيء يجعله مستحيلًا.
• ✦تحليل حركة المرور. يرى الخادم أن بريدًا وصل إليك، ومتى، وبأي حجم تقريبًا. الختم يخفي المحتوى، لا الوجود. لا نضيف حركة تمويه ونقولها صراحة.
• ✦البحث، جهازًا جهازًا. يجري البحث على كل جهاز، في فهرس يبنيه بفتح بريدك: لا نعرف أبدًا عمّ تبحث ولا ماذا وجد. أما ما نراه فعاديّ: كل جهاز ينزّل كل رسالة مرة واحدة ليقرأها، ونقلُ الرسالة إلى البريد المزعج حين يطبّق جهازٌ حظرًا. والجهاز الذي لم يقرأ رسالة بعد لا يجدها، والخزانة المقفلة لا تبحث في شيء.
• ✦تحديث عميل خبيث. الشيفرة التي يشغّلها متصفحك تأتي منا. بناءٌ معادٍ يمكنه خيانة الخزانة عند الفتح. الشيفرة قابلة للفحص، وهذا الحدّ يشترك فيه كل منتج تشفير يُسلَّم عبر المتصفح — نصرّح به بدل أن نجمّله.
• ✦استقبالٌ مُعدَّل. يصل البريد عبر SMTP نصًّا صريحًا، كما يصل كل بريد، ويُختم لحظة وصوله. ومشغّلٌ يعدّل شيفرة الاستقبال يستطيع قراءة البريد الجديد وهو يصل — لا ما خُزّن من قبل. والشيفرة المنشورة وبيان البناء على صفحة الشفافية هما سبيل التحقق من ذلك.
• ✦البريد إلى عناوين خارجية. على البريد العادي أن يصل إلى Gmail أو Outlook بصيغة تقرؤها خوادمهم، فيقرأ هذا الخادم الرسالة المرسَلة إلى عنوان خارجي وهو ينقلها؛ أما النسخة في مجلد المرسَل فمختومة. وبين أعضاء روك ميل يختم متصفحك الرسالة قبل أن تغادر، فلا ينقل الخادم إلا نصًا مشفّرًا — مختومًا بمفتاح طلبه متصفحك من الخادم، ولا يختم به إلا بعد أن يتحقق منه في سجلّ المفاتيح، الذي يراقبه تطبيقك بحثًا عن أي مفتاح ليس لك. وليس للسجلّ شهود من خارجه بعدُ: خادمٌ يُري الناسَ سجلّات مختلفة لا يُكشف إلا حين يقارنون رأسه على صفحة الشفافية. والبريد إلى عضو بلا خزانة يختمه الخادم لحظة وصوله؛ أما الجسر المكتبي فيختم كما يختم متصفحك، متحققًا من السجلّ نفسه.
• ✦أسماؤك جنبًا إلى جنب. لكي يختم الأعضاء رسائلهم بعضهم إلى بعض، يعطي الدليلُ العضوَ المسجَّل دخوله المفتاحَ الذي يُختم به الاسم. لكل اسم من أسمائك مفتاحه الخاص، يُصنع في متصفحك من مفتاح صندوقك، فيجيب اسمان من أسمائك بمفتاحين لا صلة بينهما، ولا يستطيع عضو يعرفهما أن يستدل بهما على أنهما لشخص واحد. يبقى حدّان: الإجابات المسجَّلة قبل 25 تشرين الأول/أكتوبر 2026، حين كانت أسماء الحساب الواحد تشترك في مفتاح واحد، ما زالت تربط تلك الأسماء؛ والاسم الذي يُنشأ خارج التطبيق يجيب بمفتاح حسابك حتى تفتح الخزانة مرة أخرى. أما الخادم نفسه فيعرف دائمًا أيّ الأسماء لك.
• ✦تصدير كلمات مرورك بلا تشفير. تغادر كلمات مرورك بإحدى صيغتين. النسخة الاحتياطية المشفّرة تُختم على جهازك بعبارة مرور تختارها لذلك الملف (Argon2id وXChaCha20-Poly1305)، وتبقى بعد إعادة تعيين الخزانة؛ فإن نسيت تلك العبارة لم يفتح الملفَّ شيءٌ، لا لنا ولا لك. أما التصدير غير المشفّر، المصنوع للانتقال إلى مدير كلمات مرور آخر، فلا تشفير فيه أصلًا: كل من يصل إلى الملف — من مجلد متزامن، أو خدمة نسخ احتياطي، أو حاسوب مُعار — يقرأ كل كلمة مرور فيه، وكل سرّ رموز لمرة واحدة، وكل ملاحظة. ينبّهك التطبيق مرتين قبل أن يكتبه؛ وبعد ذلك، حراسة الملف وحذفه عليك.
• ✦كلمة مرور مُشارَكة برابط. يحمل رابط المشاركة نسخةً مختومة من أجزاء الإدخال التي تختارها، ومفتاحَها بعد علامة `#`، وهي ما لا ترسله المتصفحات إلى أي خادم: نحتفظ بنص مشفّر لا نستطيع فتحه، وبعدد مرات المشاهدة المتبقية وموعد الانتهاء، ونحذفه عند آخر مشاهدة أو عند انتهاء مدته. **كل من يملك الرابط يستطيع فتحه** ما دام قائمًا — من يُعاد إرساله إليه، ومن يقرأ المحادثة التي لُصق فيها، وسجلّ تصفّح متزامن. المشاهدة الواحدة، وهي الافتراضية، تغلقه لحظة يفتحه قارئك؛ وفتح الصفحة لا يستهلك شيئًا، فلا تستطيع معاينة الروابط في تطبيق محادثة أن تستنفده — وحده «اعرض» يفعل. وإن قال رابطٌ ذو مشاهدة واحدة إنه استُنفد حين يفتحه قارئك أول مرة، فقد فتحه أحدٌ قبله: اعتبر ما حمله مكشوفًا. ومشاركة سرّ الرموز لمرة واحدة تسلّم العامل الثاني أيضًا.
• ✦جهاز مُصادَر. من يستولي على الخادم يأخذ ما فيه بلا تشفير: بيانات التوجيه أدناه، والسجلات الأمنية في حدود مدة حفظها، وسجل التسليم القصير الأجل لدى المضيف. المحتوى يبقى مختومًا؛ أما شكل مراسلاتك فلا.

البيانات الوصفية التي يحفظها الخادم

كل صف موجود لأن على الخادم أن يتصرف به وخزانتك مقفلة، ولا شيء منه محتوى. عناوين إعادة التوجيه وأسرار العاملَين ومفاتيح توقيع DKIM وطابور الإرسال المجدول مشفّرة فوق ذلك بمفتاح إعدادات خاص بالخادم؛ والباقي أعمدة عادية في قاعدة البيانات، مخزّنة بلا تشفير على قرص هذا الخادم.

ما الذي قد يسوء نهائيًا

افقد عبارة سر خزانتك وعبارة الاسترداد ذات الأربع والعشرين كلمة معًا، يذهب بريدك — لا إعادة تعيين، ولا وديعة، ولا تجاوز. يُقال هذا عند التسجيل، وعند إنشاء الخزانة، وهنا، لأنه الحقيقة نفسها التي يعلنها عنواننا الرئيسي منظورًا إليها من الجهة الأخرى. مكتبُ الاسترداد مفتاحٌ يحمله شخص آخر.

أسئلة لا تجيب عنها الصفحة؟ نموذج التهديد الهندسي يُشحَن مع الشيفرة — الخدمة بأكملها علنية. أو ابدأ من صفحة الأخلاقيات — التصميم نفسه، محاجًّا عنه من المبادئ بدل الأوّليات.