الإصدار 5.0 من منصة "بيانات": تحديث أمني بعد تدقيق مستقل أجرته شركة 7ASecurity

أصدر فريق التكنولوجيا وحقوق الإنسان التابع للمركز السوري للعدالة والمساءلة مؤخرًا الإصدار 5.0 من منصة "بيانات"، وهي منصة مفتوحة المصدر طوّرها المركز لحفظ الوثائق المتعلقة بحقوق الإنسان وتنظيمها وتحليلها. وتستخدم منظمات حقوق الإنسان في مختلف أنحاء العالم منصة "بيانات"، بما فيها الهيئة الوطنية للعدالة الانتقالية في سوريا، لحفظ وثائق بالغة الحساسية تتعلق بالانتهاكات، وشهادات الشهود، والمعلومات المتعلقة بمرتكبي الانتهاكات، وملفات القضايا التي تدعم جهود الملاحقة القضائية والمناصرة.

يتضمن الإصدار 5.0 من منصة "بيانات" تحسينات متعددة أوصى بها فريق الأمن السيبراني في شركة 7ASecurity، حيث أمضى ستة من كبار مدققي الأمن السيبراني في الشركة 32 يوم عمل في إجراء اختبار اختراق مستقل لأنظمة المنصة، بهدف الكشف عن الثغرات الأمنية المحتملة. وفي إطار هذا الاختبار،ولأن "بيانات" منصة مفتوحة المصدر، تمكّن المدققون من فحص شيفرتها المصدرية مباشرةً، ووفّر لهم المركز السوري للعدالة والمساءلة بيئة اختبار وحسابات مستخدمين مخصصة للاختبار، إلى جانب الوثائق التقنية للمنصة. وتُعرف هذه المقاربة، التي تجمع بين مراجعة الشيفرة المصدرية واختبار المنصة أثناء تشغيلها، باسم "مراجعة الصندوق الأبيض" (Whitebox Review).

راجع مدققو شركة 7ASecurity تطبيق الويب الخاص بمنصة "بيانات" وواجهة برمجة التطبيقات (API)، فضلًا عن نظام إدارة تسجيل الدخول وصلاحيات المستخدمين. وشملت المراجعة أيضًا آليات استيراد الأدلة ومعالجتها، وإجراءات تثبيت المنصة وتهيئتها، وآليات إعداد الإصدارات الجديدة ونشرها. واختبر المدققون كذلك الشيفرة البرمجية المسؤولة عن قراءة الملفات الواردة بتزويدها بكميات كبيرة من البيانات المشوّهة عمدًا (Fuzzing)، بحثًا عن أي مدخلات قد تؤدي إلى تعطّلها أو إلى سلوك غير آمن. كما راجع المدققون نموذج التهديدات الخاص بمنصة "بيانات" وحدّثوه، وهو النموذج الذي يقيّم الجهات التي قد تستهدف المنصة والأساليب التي قد تستخدمها للوصول إلى أنظمتها.

وثّق التدقيق الأمني الذي أجرته شركة 7ASecurity وجود 22 مشكلة ذات أثر أمني، وقدّم 21 توصية إضافية لتعزيز تحصين أنظمة منصة "بيانات" وحمايتها، وقد جرت معالجة جميع هذه المشكلات والتوصيات في التحديث الخاص بالإصدار 5.0. وأعادت شركة 7ASecurity بعد ذلك اختبار المنصة، وأكدت معالجة جميع البنود الـ43.

ويسهم الإصدار 5.0 أيضًا في جعل تحديث منصة "بيانات" وتشغيلها أكثر أمانًا وسهولة. فإصدارات "بيانات" أصبحت موقّعة رقميًا، بما يتيح للمنظمات التحقق من أن التحديثات صادرة بالفعل عن المركز السوري للعدالة والمساءلة. كما أصبح بالإمكان إجراء التحديثات باستخدام أمر واحد، مع إنشاء نسخة لحظية من حالة النظام (Snapshot) قبل كل تحديث، وإعادة النظام تلقائيًا إلى حالته السابقة إذا فشل التحديث (Automatic Rollback). وأصبحت عملية نشر منصة "بيانات" وإعدادها تعتمد افتراضيًا على مبدأ الحد الأدنى من الامتيازات (Principle of Least Privilege)، الذي يقضي بمنح كل مكوّن من مكونات النظام الحد الأدنى فقط من صلاحيات الوصول اللازمة لأداء وظائفه.

وأشارت شركة 7ASecurity أيضًا إلى عدد من جوانب القوة في منصة "بيانات". فلم يعثر المدققون على أي ثغرات تتيح حقن تعليمات SQL أو تنفيذ تعليمات برمجية عن بُعد، وهما نوعان خطيران من الثغرات الأمنية التي قد تمكّن المهاجم من الاطلاع على البيانات الموجودة على الخادم أو تعديلها أو السيطرة على الخادم. وسلّط المدققون الضوء كذلك على عدد من الميزات المهمة في المنصة، منها ضوابط الوصول القائمة على الأدوار والمجموعات، ومسارات العمل الخاصة بالموافقة والاعتماد، وتتبع التعديلات ومراجعة الأقران، فضلًا عن أداة التثبيت سهلة الاستخدام للمسؤولين عن تشغيل المنصة، والوثائق التقنية المصاحبة لها.

روابط لمعرفة المزيد:

مقال فريق التكنولوجيا وحقوق الإنسان حول التدقيق الأمني

التقرير الكامل للتدقيق الأمني الذي أجرته شركة 7ASecurity

الإعلان الصادر عن شركة 7ASecurity

تعرّفوا على المزيد عن منصة "بيانات"، وبادروا إلى تحديث المنصة إلى أحدث إصدار منشور ومعتمد

 ________________________________

للمزيد من المعلومات أو لتقديم ردود الأفعال والآراء، يرجى إدراج تعليقك في قسم التعليقات أدناه، أو التواصل مع المركز السوري للعدالة والمساءلة على [email protected]. كما يمكنكم متابعتنا على فايسبوك و تويتر. اشترك في نشرتنا الأسبوعية ليصلك تحديثات عن عمل المركز.