إغلاق حساب Microsoft يمنع تحديثات WireGuard على Windows
لا يستطيع WireGuard، أحد أكثر تقنيات VPN مفتوحة المصدر استخدامًا في العالم، شحن تحديثات Windows بعد أن تم إغلاق وصول مطوّره إلى حساب مهم لدى Microsoft. ووفقًا لـ TechCrunch، قال جيسون دونينفيلد، مبتكر WireGuard، إن هذا التقييد يمنعه من توقيع برامج التشغيل وتسليم تحديثات البرمجيات المطلوبة لكي يعمل إصدار Windows من البرنامج.
المشكلة المباشرة تشغيلية، لكن تداعياتها أوسع. WireGuard ليس أداة متخصصة. فشفرته تندرج تحت تطبيقات VPN وخدمات تجارية يستخدمها المستهلكون والشركات والمؤسسات المهتمة بالخصوصية. وأفادت TechCrunch بأن خدمات مثل Mullvad وProton وTailscale تعتمد على تقنية WireGuard. وعندما يفقد القائم على صيانة مشروع أساسي كهذا الوصول إلى ضوابط المنصة اللازمة لتوزيع التحديثات، يمكن أن يمتد التعطيل إلى ما هو أبعد بكثير من صفحة تنزيل واحدة.
قال دونينفيلد إن المشكلة ظهرت بمجرد أن أنهى تحديث كود WireGuard الخاص بـ Windows وكان يستعد لإرسال تحديث إلى Microsoft لإجراء الفحوصات قبل الإطلاق. لكن بدلًا من ذلك، واجه خطأ “access restricted” عند تسجيل الدخول إلى القسم الخاص بالمطورين في حسابه. كما قال إنه رغم إكمال التحقق من الهوية عبر عملية الطرف الثالث التابعة لـ Microsoft، ظل وصوله معلقًا.
لماذا يهم الإغلاق من ناحية الأمن
بالنسبة إلى برمجيات الأمن، فإن عدم القدرة على شحن التحديثات ليس مجرد إزعاج. بل قد يتحول إلى خطر. وقال دونينفيلد لـ TechCrunch إنه لم تكن هناك ثغرة حرجة تتطلب إصلاحًا فوريًا في ذلك الوقت، لكنه أضاف أنه لو ظهرت واحدة، فسيكون المستخدمون مكشوفين لأن المشروع لن يتمكن من إرسال التصحيح اللازم.
تسلط هذه الملاحظة الضوء على مشكلة أساسية في توزيع البرمجيات الحديثة. فكثير من المطورين، خصوصًا أولئك الذين يبنون برامج تشغيل أو برمجيات نظام منخفضة المستوى، يعتمدون على عدد محدود من جهات الحراسة لتوقيع الشيفرة والموافقة على الإرساليات والحفاظ على قنوات تسليم موثوقة. توجد هذه الضوابط لأسباب أمنية مشروعة، لكنها تخلق أيضًا نقاط فشل منفردة. وإذا انقطع الوصول فجأة، فقد تُهمَّش حتى المشاريع الموثوقة والواسعة الاستخدام.
في حالة WireGuard، يعد Windows Hardware Program جزءًا حاسمًا من تلك السلسلة. وأفادت TechCrunch بأن دونينفيلد وجد صفحة على Microsoft تشير إلى أن الشركة كانت تجري تحققًا إلزاميًا من الحسابات للشركاء في البرنامج الذين لم يكملوا التحقق منذ أبريل 2024. كما قال إن برنامج التحقق قد أُغلق منذ ذلك الحين، ما وضعه في موقف صعب رغم أنه كان مصنفًا كمتحقق منه من قبل المزود الخارجي الذي يدير فحوصات الهوية.
والنتيجة هي عدم تطابق بين الامتثال والاستمرارية. قد يُطلب من المطور أن يتحقق، ويكمل العملية، ومع ذلك يظل غير قادر على الوصول إلى الأدوات اللازمة لتسليم التحديثات. وبالنسبة إلى مشاريع مفتوحة المصدر ذات الطاقم الإداري المحدود، فإن هذا النوع من التعليق يسبب اضطرابًا كبيرًا بشكل خاص.
WireGuard ليس المشروع الوحيد المتأثر
يبدو أن الحادثة تنسجم مع نمط أوسع. فقد ذكرت TechCrunch أن مشروع التشفير VeraCrypt يواجه مشكلة مشابهة بعد أن تم أيضًا إغلاق وصول مطوره، Mounir Idrassi، إلى حساب Microsoft دون إنذار مسبق. وفي حالة VeraCrypt، قال Idrassi إن فقدان الوصول يمنع المشروع من تحديث البرمجيات في الوقت المناسب قبل انتهاء صلاحية مهمة لهيئة إصدار الشهادات، وهي مشكلة حذر من أنها قد تمنع بعض المستخدمين من تشغيل أنظمتهم.
ذلك يرفع المخاطر بشكل كبير. فكل من WireGuard وVeraCrypt من أدوات الأمان البارزة ذات القاعدة الكبيرة من المستخدمين. وإذا كان كلا المشروعين قد أُغلقا دون إشعار مسبق، فالأمر يبدو أقل كحادثة دعم معزولة وأكثر كأنه ضعف هيكلي في كيفية إدارة التحقق من المنصة ووصول المطورين.
كما أن كونها مشاريع مفتوحة المصدر أمر مهم أيضًا. فهذه المشاريع غالبًا ما تدعم أجزاءً حيوية من منظومة البرمجيات بينما تعمل بموارد إدارية أقل بكثير من الشركات الكبرى. وقد تمتلك شركة كبيرة مديري شركاء مباشرين، وفرق امتثال، وجهات اتصال قانونية لحل تعليق مفاجئ للحساب. أما المساهم المستقل في مشروع مفتوح المصدر فقد لا يملك سوى نموذج ويب، وبوابة تحقق، وصف متزايد من المستخدمين الذين ينتظرون التحديثات.
أصبحت الاعتمادية على المنصات مسألة تتعلق بسلسلة الإمداد
توضح معضلة WireGuard جانبًا أقل ظهورًا من أمن سلسلة إمداد البرمجيات: حقوق التوزيع. فكثير من الاهتمام يتركز على الثغرات في الشيفرة، أو الحزم الخبيثة، أو الاعتماديات المخترقة. لكن البرمجيات الآمنة تعتمد أيضًا على مسارات إصدار موثوقة وتعمل كما ينبغي. وإذا لم يتمكن المشروع من توقيع برنامج تشغيل أو نشر تحديث، فلن يستطيع الحفاظ على الوضع الأمني الذي يتوقعه المستخدمون.
هذا يجعل إدارة الحسابات في المنصات الكبرى أكثر أهمية مما قد يبدو للوهلة الأولى. فعملية تعليق غامضة يمكن أن تتحول إلى نقطة اختناق في سلسلة الإمداد. وعندما تكون البرمجيات المعنية بنية أساسية للشبكات أو التشفير، فإن التأثيرات اللاحقة قد تشمل تأخر الإصلاحات، ومشكلات التوافق، وعدم اليقين لدى المستخدم بشأن ما إذا كان المشروع لا يزال يُصان بشكل صحيح.
كما تبرز الحادثة عدم تكافؤ مزعج. فشركات المنصات تفرض ضوابط صارمة باسم سلامة المنظومة، لكن المطورين قد يظلون مع القليل من الرؤية حول سبب تقييد الحساب، أو ما الأدلة التي دفعت إلى الإجراء، أو مدى سرعة الإصلاح. ومن منظور أمني، فإن هذا الغموض الإجرائي نفسه يمثل خطرًا.
لا يعني ذلك أن برامج التحقق غير ضرورية. فالتوقيع على برامج التشغيل وفحوصات الهوية من الضمانات المهمة. لكن حالة WireGuard تشير إلى أن تصميم هذه الضمانات يجب أن يتضمن آليات لاستمرارية المطورين الشرعيين، خاصة عندما تعتمد عليهم أدوات مستخدمة على نطاق واسع. ففترات الإنذار، ومسارات الاستئناف الأكثر وضوحًا، والتعامل المخصص مع مشاريع البنية التحتية الحيوية، كلها ستقلل من احتمال أن يؤدي الإنفاذ الإداري إلى تعرض يمكن تجنبه لاحقًا.
ما الذي ينبغي أن يراقبه المستخدمون لاحقًا
ذكرت TechCrunch أن دونينفيلد أمضى أسابيع في العمل على جهود تحديث Windows التي توقفت الآن. والسؤال الرئيسي التالي هو مدى سرعة استعادة Microsoft للوصول أو تمكين WireGuard من متابعة عملية الإصدار المعتادة بأي وسيلة أخرى. وستكون الإجابة مهمة ليس فقط لمستخدمي WireGuard، بل أيضًا للمطورين في مختلف المنظومة الذين يعتمدون على مسارات التوقيع والتوزيع التي تتحكم بها Microsoft.
ومن المرجح أن تزيد هذه القضية من التدقيق في كيفية تعامل المنصات الكبرى مع القائمين على صيانة المشاريع مفتوحة المصدر التي تؤدي وظائف أمنية أساسية. فعندما تفشل أنظمة الحسابات بصمت، غالبًا لا يلاحظ المستخدمون ذلك إلا عندما تتوقف التحديثات عن الوصول. وبحلول ذلك الوقت يكون الضرر قد أصبح كبيرًا من الناحية التشغيلية بالفعل.
في الوقت الحالي، الحقيقة الأهم واضحة: جزء حاسم من خط إصدار WireGuard على Windows متوقف لأن مطوره لا يستطيع الوصول إلى الحساب المطلوب لتوقيع التحديثات وشحنها. وفي أمن البرمجيات، هذه ليست مشكلة إدارية خلف الكواليس. إنها مشكلة موثوقية في الخط الأمامي يمكن أن تتحول سريعًا إلى قضية سلامة عامة للبنية التحتية الرقمية التي يعتمد عليها الناس كل يوم.
هذه المقالة تستند إلى تقرير TechCrunch. اقرأ المقال الأصلي.
