Cloudflare تنشئ أداة CryptoLabe داخلية للعثور على التشفير في التعليمات البرمجية

نشرت Cloudflare تفاصيل الأداة الداخلية CryptoLabe. وهي تبحث بواسطة نماذج لغوية كبيرة عن كل استخدامات التشفير في تعليمات الشركة البرمجية، قبل تحقيق الجاهزية لما بعد الكم بحلول 2029. الاسم يأتي من الأسطرلاب البحري.

حجم المشكلة

معظم منتجات Cloudflare موجودة في مستودع كود واحد، لكن الكود موزع على مستودعات كثيرة، والتشفير لا يظهر من تلقاء نفسه: يختبئ في المكتبات المستوردة وإعدادات البروتوكولات الافتراضية، ومستمع TLS 1.3 يختار X25519 الكلاسيكي بدلاً من X25519MLKEM768 الهجين. البحث عن الأنماط لا يكفي: العثور على RSA أو X25519 يعد أكثر من اللازم، ويفوّت أقل، ولا يستطيع إخبارنا كيف يُستخدم المفتاح.

كيف يعمل CryptoLabe

مرحلة «الاكتشاف» تفحص المستودع وتبحث في الكود والإعدادات عن اتفاق المفاتيح، والتوقيعات، وتشفير المفتاح العام، والرموز، وتكاملات وحدة الأمان التقنية، وتنتج «ملاحظات خام». مرحلة التحليل تتحقق من كل نتيجة وتصنفها: تشفير كلاسيكي، توقيع، رمز، اتفاق مفتاح هجين جاهز لـ PQ أو جاهز لـ PQ. وعندما تكون الأدلة قليلة، يجيب النموذج «غير معروف» ولا يفترض. تعمل الأداة على اثنين Worker وقاعدة بيانات D1، ويدير الفحص Cloudflare Workflows.

المتطلبات المسبقة والحالات المعقدة

يجمع CryptoLabe النتائج حسب «المتطلب المسبق»، أي ما لا يستطيع فريق منتج واحد حله بمفرده. وتُعرض ست نتائج تعتمد على SAML لما بعد الكم، بروتوكول الدخول الموحد. ويبحث أمر منفصل عن «الحالات المعقدة»: البروتوكولات المخصصة، والتوقيعات في حقول محدودة الحجم، والجهات التي لا تملك بعد دعمًا لما بعد الكم. أحد الأمثلة شهادة تُنقل في HTTP header: شهادات ما بعد الكم أكبر، وقد ينكسر الكود المعتمد على حجم ثابت.

ما ينبغي أن تفعله الفرق الأخرى

وفقًا لـ Cloudflare، لا تحتاج معظم المؤسسات إلى جرد كل العمليات التشفيرية، وتصف الشركة ذلك حاليًا بأنه إهدار للموارد. وتقترح الشركة البدء بمستودع نظام واحد مهم، والتحقق من النتائج مع الفريق المالك، ثم ترتيب ما يمكن فعله الآن وما يبقى محظورًا. نُشرت الأوامر المختارة على GitHub. وقد طبقت Cloudflare X25519MLKEM768 في 2022، قبل اكتمال المعيار.