OneTimeSecret مقابل PrivateNote: لماذا يهم مكان التشفير

طريقتان لبناء الرابط نفسه

في التشفير من جانب الخادم، يرسل المُرسِل السر إلى الخدمة عبر TLS. تتلقى الخدمة النص الواضح، وتشفّره، وتخزّن النص المشفّر. ويمكنها بعد ذلك تخزين الحمولة وتسليمها وإنهاءها وحذفها. خادم التطبيق جزء من عملية التشفير لأن النص الواضح يعبر إلى الخدمة قبل أن يصبح نصًا مشفّرًا.

في التشفير من جانب العميل، يشفّر جهاز المُرسِل أولًا. تتلقى الخدمة النص المشفّر وتخزّنه. وينتقل ذلك الرفع عبر TLS. ولا تتلقى الخدمة المفتاح اللازم لفك تشفير حمولة عادية. ويفك جهاز المستلم التشفير محليًا. ويمكن للخدمة أن تخزّن الحمولة وتسلّمها وتنهيها وتحذفها من دون أن تحتاج إلى الوصول إلى نصها الواضح.

يمكن أن يوفّر التصميمان روابط مؤقتة ووصولًا محدودًا وانتهاء صلاحية. ويمكن وصفهما بدقة بأنهما مشفّران. يستخدم OneTimeSecret البنية الأولى؛ ويستخدم PrivateNote الثانية. السؤال المناسب إذن ليس ببساطة ما إذا كان الرابط لمرة واحدة مشفّرًا، بل أي الأنظمة يجب أن تصل إلى النص الواضح حتى يعمل ذلك الرابط.

OneTimeSecret: تشفير من جانب الخادم

في المسار العادي لـ OneTimeSecret، يرسل المُرسِل السر عبر TLS. يتلقى التطبيق النص الواضح، ويشفّره على الخادم، ويخزّن الحمولة المشفّرة.

يوفّر ذلك حماية ذات معنى للبيانات المخزّنة. فالحصول على التخزين المشفّر وحده لا يكشف محتوياته بالضرورة عندما تكون المادة اللازمة لفك التشفير غير متاحة للمهاجم.

تحدث المقايضة المعمارية قبل التخزين. يحمي TLS السر أثناء انتقاله بين المتصفح وOneTimeSecret، لكن يجب على التطبيق معالجة النص الواضح حتى يشفّره. ولذلك يقع خادم التطبيق داخل حد الثقة التشفيري.

يمكن لعملية تطبيق خبيثة أو مخترَقة في تلك اللحظة أن تصل إلى السر قبل تشفيره للتخزين. يزيل التشفير من جانب العميل هذا الاعتماد بعينه عبر تشفير السر قبل وصوله إلى الخدمة.

عبارة المرور في OneTimeSecret لا تغيّر حد التشفير

تصف وثائق OneTimeSecret عبارة مرور اختيارية. عند استخدام عبارة المرور، يقول OneTimeSecret إن السر يُشفَّر على خوادمه باستخدام عبارة المرور التي يقدّمها المُرسِل. ويقول إنه لا يخزّن عبارة المرور نفسها؛ بل يحتفظ بتجزئة bcrypt تُستخدم للتحقق من عبارة المرور أثناء الاسترجاع. وبحسب وثائقه، لا تستطيع تلك التجزئة وحدها فك تشفير السر، ولا يمكن فك تشفير السر المخزّن المحمي بعبارة المرور من دون عبارة المرور الأصلية.

يستخدم الاسترجاع حد الخادم نفسه. يقدّم المستلم عبارة المرور إلى OneTimeSecret عبر TLS. تتحقق الخدمة منها وتنفّذ فك التشفير على الخادم قبل إعادة النص الواضح.

يعني هذا أن عملية التطبيق تصل إلى السر وعبارة المرور عند حدوث التشفير، وتعالج مرة أخرى عبارة المرور والنص الواضح الناتج أثناء الاسترجاع. ويمكن لعملية تطبيق خبيثة أو مخترَقة تعمل عند أي من النقطتين أن تلتقط تلك المعلومات. هذه نتيجة لمكان تنفيذ التشفير وفك التشفير، لا ادّعاء بأن OneTimeSecret يسجّل تلك القيم أو يسيء استخدامها.

لا تُثبت وثائق OneTimeSecret العامة وحدها كل تفصيل في تسلسل مفاتيحه الداخلي—مثلًا كيف تُدمَج بدقة مادة المفاتيح من جانب الخادم، ومفاتيح كل سر، واشتقاق المفاتيح، وعبارة المرور المقدَّمة. لا حاجة إلى التخمين في تفاصيل التنفيذ هذه لهذه المقارنة. الخاصية الموثّقة ذات الصلة هي أن التشفير وفك التشفير يحدثان على جانب الخدمة.

الاستضافة الذاتية يمكن أن تجعل الثقة بذلك الخادم معقولة

OneTimeSecret مفتوح المصدر. يمكن لمؤسسة أن تشغّل نسختها الخاصة داخل محيط أمني للمؤسسة، بدل إرسال الأسرار إلى الخدمة العامة.

في ذلك النشر، الثقة بخادم التطبيق هي ثقة ببنية تحتية تشغّلها المؤسسة أصلًا. ويظل النص الواضح يصل إلى ذلك الخادم، لأن التشفير يحدث هناك. الطرف على الجانب الآخر من الحد هو مضيفو المؤسسة ومشغّلوها ونسخها الاحتياطية. لفريق يقبل أصلًا تلك الأنظمة جزءًا من المسار الذي يسلكه السر، يمكن أن يكون التشفير من جانب الخادم خيارًا معقولًا. وهو يضيّق الفجوة بين نموذجي التهديد من جانب الخادم ومن جانب العميل، لأن المشغّل لم يعد خدمة خارجية.

يشفّر PrivateNote قبل الرفع

تُشفَّر ملاحظة PrivateNote العادية قبل الرفع. يولّد متصفح المُرسِل، أو عملية CLI محلية، أو إضافة Chrome، أو إضافة المحرّر، أو MCP، مفتاحًا عشوائيًا ويشفّر الحمولة باستخدام AES-256-GCM. ولا يُرفَع إلا النص المشفّر. يحمل TLS ذلك النص المشفّر من المتصفح إلى Cloudflare Worker لدى PrivateNote. يوضع مفتاح فك التشفير في جزء URL، أي الجزء بعد #، مثل https://privatenote.ai/note/abc123#…. يُعالَج الجزء من جانب العميل ولا يُدرَج في طلب HTTPS (RFC 3986، القسم 3.5؛ معيار URL). يتلقى Cloudflare Worker معرّف الملاحظة ويعيد النص المشفّر عبر اتصال TLS نفسه. يحتفظ المتصفح بالجزء ويفك التشفير محليًا.

تحمي عبارة المرور المفتاح إذا اختُرقت قناة الرابط

تؤدي عبارة المرور في PrivateNote عملًا مختلفًا عن عبارة المرور في OneTimeSecret. الملاحظة نص مشفّر أصلًا قبل أن تغادر الجهاز. إذا أضفت عبارة المرور، يشتق المتصفح مفتاح تغليف منها باستخدام Argon2id ويستخدم مفتاح التغليف ذلك لتشفير مفتاح الملاحظة. ثم يحمل جزء URL المفتاح المغلَّف. يحتاج المستلم إلى الرابط وعبارة المرور. يفك المتصفح تغليف المفتاح محليًا وعندئذ فقط يفك تشفير الملاحظة.

لا يتلقى PrivateNote عبارة المرور. يحمل طلب الإنشاء النص المشفّر والملح والمعاملات التي يحتاج إليها متصفح المستلم لتجربة عبارة المرور محليًا. لا توجد تجزئة من جانب الخادم مهمتها التحقق من عبارة المرور. تفشل عبارة المرور الخاطئة في فك التشفير على الجهاز.

تحمي عبارة المرور إضافةً إلى ذلك المفتاح من جانب العميل محليًا إذا اختُرقت القناة التي تحمل الرابط. ترى تلك القناة عندئذ مفتاحًا مغلَّفًا، لا مفتاحًا يستطيع فتح الملاحظة وحده. وهي ليست الآلية التي تُبقي PrivateNote خارج مسار النص الواضح. ذلك الفصل موجود أصلًا في الملاحظة العادية، بعبارة مرور أو من دونها. شارك عبارة المرور عبر قناة مختلفة عن الرابط. الرسالة نفسها تدمج الطبقتين في واحدة — والقاعدة نفسها في مشاركة كلمة المرور بأمان.

تُوصَف معالجة المفاتيح في PrivateNote في كيف يعمل: يُغلَّف مفتاح المحتوى باستخدام Argon2id، وينتقل المفتاح المغلَّف في الرابط.

افتراض الثقة المتبقي في عميل الويب

التشفير من جانب العميل في المتصفح ليس تطبيق ويب بلا ثقة. يمكن أن يعمل التشفير محليًا بينما يسلّم الموقع شيفرة JavaScript التي تنفّذه. يثق المتصفح بالشيفرة التي يتلقاها لتلك الجلسة.

من يستطيع تغيير شيفرة JavaScript تلك — عبر التطبيق أو شبكة CDN أو مسار النشر — يمكنه تغيير العميل والتقاط المفاتيح في جلسة متصفح لاحقة. ذلك فشل مختلف عن سرقة قاعدة بيانات. يكشف اختراق التخزين النص المشفّر. وتهاجم الشيفرة الخبيثة المسلَّمة الطرف النهائي بينما يكون المفتاح حاضرًا فعلًا.

لا يستطيع تفريغ لاحق لقاعدة البيانات أن يصنع مفاتيح من جانب العميل لم تُخزَّن هناك قط. ويمكن لعميل مخترَق بنشاط أن يهاجم الأسرار التي تُعالَج خلال تلك الجلسة. الافتراض نفسه مكتوب في نموذج التهديد لدى PrivateNote: لم تُعدَّل شيفرة التطبيق المسلَّمة بشكل خبيث، وجهازا المُرسِل والمستلم موثوقان في لحظة التشفير وفك التشفير.

يضيّق البرنامج المثبَّت ذلك الاعتماد على صفحة تُنزَّل من جديد. يعمل CLI أو إضافة المحرّر أو التطبيق الأصلي بشيفرة ثبّتها أنت. وتظل تلك العملاء معتمدة على نظام التشغيل والتوقيع والتبعيات وقناة التحديث. تستخدم أدوات المطوّرين التقسيم نفسه كما في المتصفح: التشفير محليًا، ورفع النص المشفّر، وترك المفتاح في الجزء.

العمر والسرية

يجيب الرابط لمرة واحدة عن سؤالين منفصلين. كم ينبغي أن تبقى الحمولة المشفّرة؟ ومن يستطيع فك تشفيرها ما دامت موجودة؟ تدميرها بعد الاسترجاع أو الانتهاء يقصّر النافذة. وهو لا يقرر من كان يستطيع قراءتها خلال تلك النافذة. يدعم العمر والسرية أحدهما الآخر. ولا يقوم أحدهما مقام الآخر.

يظهر التمييز بأوضح صوره عندما تكون الحمولة سلطة: مفاتيح API، وبيانات اعتماد قواعد البيانات، ورموز سحابية، ورموز استرداد، وكلمات مرور البنية التحتية. توجد خدمة مشاركة الأسرار لأن المُرسِل يريد أنظمة أقل مؤتمنة على تلك المعلومات. إذا كان على الوسيط فقط أن يحمل جسمًا مشفّرًا معتمًا، ويفرض الانتهاء، ويحذفه، فيمكن للخادم أن يؤدي ذلك العمل من دون أن يتلقى السر أو المفتاح الذي يفتحه.

أين يقع الحد

«مشفّر» لا يخبرك أين يقع حد الثقة. المعيار الجدير بالاستخدام هو حد ثقة أدنى: مبدأ أقل صلاحية مطبّقًا على من يجب أن يرى النص الواضح. في هندسة التشفير الحديثة، الهدف ليس مجرد الثقة بأن الخادم يتصرف كما ينبغي، بل تقليل الضرورة الرياضية للثقة من الأصل.

يصف OneTimeSecret نظامًا مشفّرًا من جانب الخادم. ومع الحماية بعبارة المرور، يقول إن السر المخزّن لا يمكن فك تشفيره لاحقًا من دون عبارة المرور، وإن اختراق الخادم يترك السر آمنًا ما دامت عبارة المرور مجهولة. يمكن كسر عبارة المرور الضعيفة بالقوة. وإذا كانت ضعيفة، يمكن أن يظل ذلك الاختراق قادرًا على استعادة السر. يصل النص الواضح وعبارة المرور إلى OneTimeSecret عند الإنشاء، لأن التشفير يحدث على خوادمه، وتُرسَل عبارة المرور مرة أخرى عند الاسترجاع حتى تستطيع تلك الخوادم فك التشفير.

يتخذ PrivateNote خيارًا معماريًا مختلفًا. تُشفَّر الحمولة قبل أن تصل إلى الخدمة، ويبقى مفتاح الحمولة العادي من جانب العميل. وتحمي عبارة المرور، عندما تضبط واحدة، ذلك المفتاح من جانب العميل محليًا إذا اختُرقت القناة التي تحمل الرابط. وهي لا تُرسَل إلى PrivateNote.

يشفّر OneTimeSecret سرّك. ويشفّره العميل الذي يستخدم خدمة PrivateNote قبل أن تتلقاه الخدمة. لا يعتمد هذا التمييز على افتراض أن أيًا من المزوّدين خبيث. وهو يختزل السؤال في البنية: كم نظامًا يحتاج إلى الوصول إلى النص الواضح حتى تعمل الخدمة؟

أسئلة شائعة

المصادر الأولية

رُوجعت معلومات البنية عن OneTimeSecret مقابل وثائقه العامة في 23 سبتمبر 2026. قد تتغير تنفيذات المنتجات والوثائق.

• وثائق OneTimeSecret
• OneTimeSecret عن الأمان وعبارات المرور
• الشيفرة المصدرية لـ OneTimeSecret
• كيف يعمل تشفير PrivateNote
• PrivateNote للمطوّرين، بما في ذلك CLI
• RFC 3986، القسم 3.5، الذي يفصل الجزء عن URI قبل الإحالة
• معيار URL، الجزء، عن المعالجة من جانب العميل للجزء