الأمان

يقوم موقف الأمان لـApothem على خمس ركائز: تقوية سلسلة التوريد، والاستجابة للثغرات، وحماية الفروع، وتوقيع الإصدارات، والتحليل الأمني المستمر. يوثّق هذا القسم كل سطح.

نموذج التهديد

Apothem هو مُجسِّد إعدادات. يقرأ ملف تعريف مشتركًا ويكتب ملفات إعداد أصيلة للهارنس في الأدلة التي يقرأها كل هارنس. تلك الوظيفة المفردة تحدّد ما يثق به وما لا يثق به.

• بماذا يثق Apothem. ملف التعريف المشترك الذي تكتبه أنت وشجرة المصدر المُرفَقة التي يضعها المُثبِّت. ملف التعريف هو نيّتك المُعلَنة؛ ويتعامل المحرّك معه كمدخل موثوق بعد التحقّق من المخطّط.
• بماذا لا يثق Apothem. لا يصل محتوى ملف التعريف إلى نظام الملفات إلا بعد التحقّق: فإخفاقات المخطّط، ومعرّفات الهارنس غير المعروفة، ومسارات المشروع غير الآمنة، ومصادر البيان المفقودة، واجتياز الهدف، وعبور الروابط الرمزية، كلّها تتوقّف قبل أي كتابة وتُعيد تشخيصات مُنظَّمة بـfiles_written: [].
• ما لا يحمله المُخرَج المُجسَّد أبدًا. لا أسرار. تُنقّح تشخيصات ملف التعريف المفاتيح الشبيهة بالأسرار والقيم بهيئة الرمز المميّز قبل أن تصل إلى المُخرَج العادي أو JSON أو السجلات أو مقاطع التوثيق أو الاختبارات، وتستخدم الأمثلة العامة هويات ونطاقات نائبة زائفة. الإعداد المُجسَّد مُعدٌّ لكي يُلتزَم ويُشارَك؛ وهو لا يحمل أي بيانات اعتماد.
• أرضية الرفض الشاملة. تحمل القواعد التي يُجسِّدها Apothem أرضية رفض غير قابلة للتفاوض بصرف النظر عن أي قائمة سماح خاصة بكل هارنس — مسارات الأسرار (.env*، و~/.ssh/**، ومخازن بيانات الاعتماد)، وعمليات الصدفة التدميرية (rm -rf، وsudo، والدفع القسري إلى الفروع المحمية)، وتنفيذ المدخلات غير الموثوقة. ولا توسّع أي قائمة سماح هذه الأرضية بصمت.
• نطاق الأثر. تُحصَر عمليات الكتابة في أدلة الهارنس والأشجار الفرعية الداعمة المملوكة لـApothem. وتُنسَخ احتياطيًّا الأهداف المُدارة الموجودة قبل الاستبدال، وتُدمَج أدلة الاكتشاف المشتركة طفلًا بطفل، فتبقى الملفات غير ذات الصلة التي كتبها المُشغِّل في أماكنها.

موقف الأمان في وقت التشغيل

تتحقّق أوامر دورة حياة الهارنس وكتابة ملف التعريف قبل الكتابة. وتتوقّف إخفاقات مخطّط ملف التعريف، ومعرّفات الهارنس غير المعروفة، ومسارات المشروع غير الآمنة، ومصادر البيان المفقودة، واجتياز الهدف، وعبور الروابط الرمزية، قبل عمليات الكتابة إلى نظام الملفات، وتُعيد تشخيصات مُنظَّمة بـfiles_written: [].

تحافظ عمليات التثبيت والتحديث على الأهداف المُدارة الموجودة بنسخها احتياطيًّا قبل الاستبدال. وتُدمَج أدلة الاكتشاف المشتركة طفلًا بطفل، فتبقى الملفات غير ذات الصلة التي كتبها المُشغِّل في أماكنها. ويُجري --dry-run التحقّق ذاته ويُبلِغ عن النتائج المُخطَّطة دون إنشاء أدلة أو ملفات.

تُنقّح تشخيصات ملف التعريف المفاتيح الشبيهة بالأسرار والقيم بهيئة الرمز المميّز قبل أن تصل إلى المُخرَج العادي أو مُخرَج JSON أو السجلات أو مقاطع التوثيق أو الاختبارات. وتستخدم الأمثلة العامة هويات ونطاقات نائبة زائفة.

روابط سريعة

• موقف OpenSSF Scorecard — أدلة لكل فحص والحدود المعروفة للمنصّة
• تدقيق Webhooks — أدلة نظافة سرّ الـwebhook
• حماية الفروع — بوّابة المراجعة، وفحوص الحالة، وقيود الدفع
• مسح القِطَع الثنائية — إثبات إصدار خالٍ من الثنائيات في المصدر
• سياسة الأمان — الإبلاغ عن الثغرات والإصدارات المدعومة
• شارة OpenSSF Scorecard — الدرجة الحيّة

الإبلاغ عن ثغرة

استخدم الإبلاغ الخاص عن الثغرات في علامة تبويب Security بالمستودع. تجد السياسة الكاملة ومصفوفة الإصدارات المدعومة والجداول الزمنية للاستجابة في SECURITY.md.

إثباتات إصدار سلسلة التوريد

تُشحَن كل قطعة إصدار مع:

• مَنشأ بناء SLSA-3 عبر slsa-framework/slsa-github-generator
• تواقيع Sigstore عبر sigstore/cosign-installer
• CycloneDX SBOM عبر anchore/sbom-action
• بيانات مَنشأ npm عبر Trusted Publishing OIDC على @ahmed-g-gad/apothem
• وسوم git موقَّعة بـGPG (مفتاح EDDSA 70396FED9C634163)

وصفات التحقّق موثَّقة بشكل مُضمَّن في دورة الإصدار واسترداد الإصدار؛ وهناك دليل تشغيل مخصّص للتحقّق من إصدار قيد الإعداد.