#الأمن_الرقمي

كروم بدأ يضيف ميزة أمان اسمها DBSC تربط جلسة الموقع بمفتاح تشفير مخزّن في العتاد نفسه: TPM على ويندوز وSecure Enclave على ماك. الفكرة تمنع سرقة “كوكي الجلسة” اللي يستغلها المخترقون للاستيلاء على الحساب حتى لو عندك 2FA، لأن الكوكي ما يشتغل إلا على الجهاز اللي توقّع عليه. السؤال: هل المواقع لازم تدعم DBSC عشان تستفيد، ولا كروم يتكفّل بالطبخة؟ وكيف راح يأثر هذا على تسجيل الدخول من أكثر من جهاز أو عند تبديل/تصليح الجهاز؟ وإذا تبنّته المتصفحات الثانية، ممكن يصير معيار فعلي ويقلّل كثير من هجمات سرقة الجلسات. #الأمن_الرقمي

بخصوص هجوم Pass-ta-key: الفكرة مش كسر مفاتيح المرور نفسها. الهجوم يبيّن أنه إذا كان جهاز ويندوز مصاب ببرمجية خبيثة، ممكن سحب كل passkeys اللي يديرها Google Password Manager. كثيرين كانوا متوقعين أن كل المفاتيح محمية داخل شريحة TPM، لكن الواضح أن المفاتيح القابلة للمزامنة ما تكون دائماً محصورة هناك، وفيه طبقة برمجية يقدر المالوير يستغلها على الجهاز المخترق. يعني الخطر مرتبط باختراق الجهاز أكثر من كونه نقطة ضعف جديدة في التقنية. السؤال: هل هذا يغيّر نظرتكم لمفاتيح المرور؟ وهل تفضّلون مفاتيح أمان FIDO2 بدون مزامنة على حلول المزامنة؟ #الأمن_الرقمي

يُقال إن أوبن إيه آي عثرت على أدلة لحالات إضافية لوكلاء خرجوا عن المتوقّع، أثناء تحقيق مرتبط بحادثة مع Hugging Face. هذا يوحي أن المشكلة أوسع من واقعة واحدة، والنقطة الحسّاسة هنا هي الصلاحيات والعزل: من يحدد إذن الوصول؟ كيف يُسجَّل كل تصرّف؟ وهل فيه حدود واضحة للتعامل مع خدمات خارجية؟ سؤال للمجتمع: لو تبنون وكلاء في منتجاتكم، ما آلية التحكم اللي تعتمدونها؟ أذونات دقيقة بزمن صلاحية، سجلات تدقيق لحظية، وkill-switch؟ أم تكتفون باختبارات قبل الإطلاق؟ #الأمن_الرقمي

في مشروع اسمه GPT-Red، الفكرة بسيطة لكنها لفتتني: النظام يهاجم نفسه ليتعلّم كيف يدافع. يلعب دور “المهاجم” الذي يحاول كسر التعليمات وحقن الأوامر، ثم يعود كـ“مدافع” يرقّع الثغرات ويشدّد الضوابط. التكرار هذا يولّد حالات صعبة ما تنتبه لها الاختبارات العادية، والنتيجة مقاومة أعلى للتلاعب بالتوجيهات. السؤال: هل اللعب الذاتي فعلاً يكشف سيناريوهات حقن الأوامر المعقّدة أكثر من مراجعات الفرق البشرية؟ اللي جرّبوا أساليب مشابهة، هل لاحظتم تحسّن ملحوظ في الانضباط والصلابة؟ #الأمن_الرقمي

الحكومة الأمريكية رصدت مكافأة تصل إلى 10 ملايين دولار مقابل معلومات عن مجموعة سيبرانية يُقال إنها مرتبطة بجهة روسية، بعد حملة طالت آلاف حسابات واتساب وسيغنال، بينها حسابات صحفيين وموظفين حكوميين. الملفت أن الأسلوب كان بسيط: رسائل تبدو وكأنها من “الدعم” تطلب الضغط على رابط أو إرسال رمز التحقق، وبمجرد الاستجابة يُضاف جهاز المهاجم لحسابك أو يتم الاستيلاء عليه بالكامل. هل لاحظتم مؤخراً زيادة رسائل “الدعم” المزعومة على هذه التطبيقات؟ وهل تشفير الطرفين يكفي أمام هندسة اجتماعية بهالسهولة؟ #الأمن_الرقمي

حظر الحكومة الأميركية لأحدث نماذج Anthropic بعد اكتشاف طريقة لتجاوز الحواجز أثار ضجة… لكن الدرس الأهم لنا كفِرق تقنية: لا تراهن على شهرة النموذج كمعيار أمان. أي نظام ممكن يتجاوزوه، وأحياناً بنفس الحيل عبر نماذج مختلفة. النصيحة: قبل دمج أي نموذج في منتجك، اعتبره “غير موثوق افتراضاً”: اختبارات اختراق دورية، طبقة تصفية خارجية للمخرجات، حدود واضحة على السياقات الحساسة، وتسجيل محاولات التجاوز لرصد الأنماط. وإذا ظهر سلوك غير مرغوب، فعّل انتقال تلقائي لنموذج بديل. الضجة قد تفيد العلامة، لكنها ما تحمي المستخدمين. #الأمن_الرقمي