يوميات NoWayOS

React يدخل، Rust يخرج

2026-11-13T00:00:00Z

تُصمَّم الواجهات الحديثة بـ React. ولذلك يحمل عدد كبير جدًا من الأجهزة المخصصة، من لوحات التحكم إلى آلات التذاكر، محرك متصفح كاملًا، وهو من أكبر البرامج وأكثرها تعرضًا للهجوم، ليرسم بضعة أزرار وعبارة «Touch Start to begin».

أردنا أسلوب التصميم الحديث من دون المتصفح. فبنينا Screen Compiler.

اكتب الشاشة بـ React

يحتفظ مصمموك ومطورو الواجهات لديك بأدواتهم: المكوّنات، والخصائص (props)، ورموز التصميم، ومحررهم. ويكتبون الشاشة بـ TSX (وهذه مختصرة من إحدى شاشات الاختبار في Screen Compiler):

<Column gap={SPACE_SM} padding={SPACE_LG}>
  <Text id="title">Welcome</Text>
  <Text>Touch Start to begin.</Text>
  <Spacer />
  <Button id="start" onPress={onStart}>Start</Button>
</Column>

وسلِّم Rust خالصًا

وقت البناء، على جهازك أو في CI، يحوّل Screen Compiler ذلك إلى Rust لبيئة تشغيل واجهة المستخدم في NoWayOS:

let n1 = b.text("Welcome")?; // welcome.tsx:17:9 <Text>
let n2 = b.text("Touch Start to begin.")?; // welcome.tsx:18:9 <Text>
let n4 = b.spacer(None)?; // welcome.tsx:20:9 <Spacer>
let n5 = b.button("Start", actions::START)?; // welcome.tsx:21:9 <Button>

كل سطر يشير إلى موضعه في TSX الذي جاء منه. ويحصل الجهاز على تلك الشيفرة ولا شيء غيرها: لا محرك JavaScript، ولا متصفح، ولا صفحة ويب تُهاجَم. و Screen Compiler نفسه لا يُحمَّل على الجهاز أبدًا.

دقيق، أو لا شيء

المحوِّل الذي يخمّن محوِّل لا يمكن الوثوق به. يحوّل Screen Compiler مجموعته الجزئية المعلنة من TSX بدقة، ويرفض كل ما عداها مع ذكر الملف والسطر والعمود. ولا يقرّب أبدًا. و Rust الذي يكتبه لا يحوي unsafe ولا unwrap ولا panic.

ثم تُرسم كل شاشة محوَّلة بمحرك الرسم في NoWayOS وتُقارن، بكسلًا ببكسل، بصورتها المعتمدة. وإذا تحرك بكسل واحد، قال البناء ذلك.

أين وصل

Screen Compiler قيد التطوير: مجموعته الجزئية الأولى مبنية والتالية جارية. وهو مفتوح المصدر برخصة MIT، على GitHub إلى جانب NoWayOS. وإذا كان فريقك يصمم بـ React ويبني أجهزة لها شأن، فيسرّنا أن نسمع منك.

الاحتياط الذي لم يكن نسخة

2026-11-13T00:00:00Z

الجميع يعرف أنه ينبغي أن يكون لديك احتياط. لكن قلة تطرح السؤال المحرج التالي: احتياط لماذا بالضبط؟

خمسة إنذارات

في 20 يوليو 1969 كانت المركبة القمرية لأبولو 11 على بعد دقائق من سطح القمر حين أطلق حاسوب التوجيه فيها إنذارًا اضطر الطاقم إلى سؤال مركز التحكم عنه. ثم إنذارًا آخر. خمسة في المجموع، في المرحلة الأخيرة من الهبوط.

كان الحاسوب تحت حمل زائد. وما فعله بعد ذلك من أعظم الأعمال الهندسية في هذه القصة: في كل مرة أعاد التشغيل، وأسقط العمل الذي يحتمل الانتظار، واستعاد فورًا العمل الذي لا يحتمله. واستمر الهبوط.

هذا هو الجزء الذي يرويه الجميع. أما الجزء الذي يستحق أن يُروى بعده فقد حدث في اليوم التالي.

النظام الثاني

كانت المركبة القمرية تحمل نظام توجيه ثانيًا، ولم يكن نسخة احتياطية من الأول. بنته شركة أخرى، على مبدأ آخر. كان النظام الرئيسي يحفظ اتجاهه بمنصة تدور بحرية على حلقات جيمبال. أما الثاني فلم تكن فيه حلقات جيمبال على الإطلاق: كانت مستشعراته مثبتة مباشرة في المركبة، وكان يعرف أين الأعلى بالحساب.

كان موجودًا ليعيد الطاقم إلى المدار إذا توقف النظام الرئيسي يومًا. وأثناء الهبوط لم تدعُ الحاجة إليه.

ثم، في طريق الصعود للالتحام بمركبة القيادة، أوصلت سلسلة من المناورات منصة النظام الرئيسي إلى الوضع الوحيد الذي لا تستطيع المنصة ذات الجيمبال التعامل معه، ففقد مرجع وضعيته. فانتقل الطاقم إلى النظام الثاني لتثبيت المركبة، والتحم.

لم يكن للنظام الثاني أن يتعطل بالطريقة نفسها. فلم تكن فيه تلك القطعة.

اثنان متطابقان

والآن القصة الأخرى. في عام 1996 انطلق أول صاروخ أريان 5 بوحدتَي مرجع قصوري تخبرانه باتجاهه: واحدة عاملة وواحدة في وضع الاستعداد. وكانتا متطابقتين، حتى في البرمجيات.

بعد سبع وثلاثين ثانية، كبر رقم داخل تلك البرمجيات عن الحيّز المخصص له. فتوقفت وحدة الاستعداد. والوحدة العاملة، التي تشغّل الشيفرة نفسها في الرحلة نفسها، توقفت هي الأخرى. وتقرير لجنة التحقيق منشور، وهو صريح: لم يكن هناك ما يُنتقل إليه، لأن الاحتياط كان قد سلك الطريق نفسه.

نسختان. عطل واحد. ولم يبقَ شيء.

ماذا يسميه المهندسون

العطل الذي يُسقط النظام واحتياطه معًا هو عطل السبب المشترك. والوقاية منه هي التكرارية المتنوعة: نظام ثانٍ مبني بطريقة مختلفة بما يكفي كي لا يكون ما يوقف الأول موجودًا في الثاني.

هكذا كان مكوك الفضاء يطير. أربعة من حواسيب الطيران فيه كانت تشغّل برمجيات شركة واحدة؛ والخامس كان يشغّل برمجيات كتبتها شركة أخرى على نحو مستقل. أربع نسخ تحميك من حاسوب يتعطل. لكنها لا تحميك من برنامج خاطئ، لأن الأربعة كلها تشغّله.

وليس ذلك بلا ثمن. فقد أُلغي الإطلاق الأول للمكوك حين لم يتفق الحاسوب الخامس والأربعة الأخرى على الوقت. تصميمان يتطلبان عملًا أكثر من تصميم واحد، ولا بد من جعلهما يلتقيان.

أين يأتي دور NoWayOS

معظم الأجهزة المخصصة تعمل اليوم بواحد من عدد قليل جدًا من أنظمة التشغيل عامة الأغراض. وكذلك احتياطاتها. فحين يظهر عيب في محرك متصفح أو سطح مكتب أو نواة من عشرات ملايين الأسطر، أو حين يصدر تحديث معيب، يظهر في كل مكان تعمل فيه تلك البرمجيات، في اليوم نفسه.

جهاز NoWayOS مختلف في أعماقه. نواته seL4، نحو 10,000 سطر. وكل ما كتبناه فوقها مكتوب بلغة Rust. وليس فيه محرك متصفح ولا سطح مكتب ولا صدفة أوامر، فالعيب في أحدها ليس موجودًا فيه.

ومعنى ذلك أن NoWayOS لا يحتاج إلى أن يستبدل ما تشغّله ليكون نافعًا. يستطيع أن يقف إلى جانبه: طريقة ثانية لأداء مهمة أساسية واحدة، مبنية على مبدأ آخر.

ما لا يفعله

للتنوع حدود، ونفضّل أن تسمعها منا.

يمنح جهاز NoWayOS أعطالًا مختلفة، لا انعدام الأعطال. ولا يفعل شيئًا حيال ما يتشاركه النظامان: الطاقة، والشبكة، والخدمات التي خلفهما، أو خطأ في تحديد ما كان يجب أن تكونه المهمة. وبعض أجزاء NoWayOS مفتوحة المصدر تُستخدم في برمجيات أخرى أيضًا، ولهذا تسرد كل صورة كل مكوّن تحويه، لتقرأ ما تشترك فيه مع النظام المجاور لها.

NoWayOS قيد التطوير، ولذلك فهذا دور صُمِّم له، لا دور أدّاه بعد. وصفحة الأمان تقول على ماذا يقوم.

لم يحمل مهندسو أبولو نظامًا ثانيًا لأنهم توقعوا أن يتعطل الأول. بل حملوه لأنهم لم يستطيعوا أن يبرهنوا على أنه لن يتعطل، وحرصوا على ألا يجد ما يوقف الأول شيئًا مألوفًا في الثاني.

نهاجم بناءنا نحن عند كل تغيير

2026-11-13T00:00:00Z

هذا سؤال مزعج لأي اختبار أمان: هل فشل يومًا؟ الاختبار الذي لم يفشل قط ربما ينجح لأن النظام سليم، أو لأن الاختبار لا يرى شيئًا على الإطلاق. ومن الخارج، يبدو الأمران متطابقين تمامًا.

لذلك لا يكتفي NoWayOS باختبار أمانه. بل يهاجمه، عند كل تغيير، ويتحقق من أن الهجمات تُصَدّ.

مدّ اليد إلى ما ليس لك

كل جزء من نظام NoWayOS يعمل في حجرته الخاصة على seL4، ولا يملك إلا ما مُنح له. واختبارات العزل ترسل مجسّات عبر تلك الحدود عمدًا. أحدها يقرأ عنوانًا لم يُعطَ له قط. وآخر يكتب في صفحة لا يحق له إلا قراءتها. وآخر، يملك ما تملكه واجهة المستخدم بالضبط، يحاول الكتابة في صفحة التحكم الخاصة بالعرض، التي لا يحق للواجهة إلا قراءتها. وآخر، يملك ما يملكه عميل الشبكة بالضبط، يحاول الكتابة في ذاكرة مشغل الشبكة.

وعلى seL4 أن توقفها كلها، وعلى جزء لا علاقة له بالأمر أن يواصل العمل من دون أن يُمَسّ.

اختبار بُني ليفشل

ثم تأتي المفاجأة. إلى جانب اختبار العزل الخاص بواجهة المستخدم توجد نسخة وُسِّع فيها إذن واحد عمدًا: يُعطى بديل الواجهة الصفحة الخاصة بالعرض. واختبار تلك النسخة يجب أن يفشل. ولو نجح يومًا لكان اختبار العزل أعمى، ولقال البناء ذلك.

والفكرة نفسها تسري في بقية الفحوص. لكل مفكك للرسائل بين الأجزاء براهين محدودة، من مدقق النماذج Kani، على أنه لا ينهار ولا يفيض ولا يقرأ خارج الحدود أبدًا. ثم تُفسد فحوص الطفرات المفككات عمدًا، لتبيّن أن البراهين تنتبه. وكل محلل لمدخلات خارجية يخضع لاختبار التشويش ببيانات معادية.

وكل ذلك جزء من make ci، البوابة التي يجب أن يمر بها كل تغيير. اختبارات العزل تعمل في كل مرة؛ أما البرهان أو جولة التشويش فيُعادان كلما تغيرت الشيفرة التي يغطيانها.

بوابات بعيدة عن المتناول

البوابة قوية بقدر قوة اليد التي تستطيع تغييرها. لذلك فإن الفحوص التي يجب أن تجتازها كل مساهمة في NoWayOS معرَّفة في Defence Agent، وهو مستودع عام مستقل. وطلب السحب الذي يمس بوابة يُعلَّم لينظر فيه المشرف على المشروع.

ويختبر Defence Agent نفسه بالطريقة ذاتها: عشرون طلب سحب مدسوسًا، يخفي كل منها شيئًا قد يفوت المراجع. فيها نص مخفي من اليمين إلى اليسار داخل تعليق، وحرف استُبدل به شبيهه السيريلي، واعتمادية تُجلب مباشرة من مستودع git، ومسار عمل كان سيشغّل شيفرة غير موثوقة. ويجب أن يُكشف كل واحد منها، بينما يجب أن تمر ثلاثة تغييرات حقيقية سابقة.

أدلة، لا نعوت

لا شيء من هذا يجعل الجهاز “غير قابل للاختراق”. لا شيء يفعل ذلك، ولن نقوله أبدًا. ما يعطيك إياه هو الأدلة: سجل بما جُرِّب، وما أُوقف، والأمر الذي يُظهر ذلك. اقرأ الأدلة الخاصة بصورة حقيقية واحدة، أو البوابات نفسها.

ما الذي يستطيع البرهان أن يعد به

2026-11-13T00:00:00Z

نثق بالبرمجيات في العادة لأنها اختُبرت. فكّر أحدهم في الطرق التي قد تتعطل بها، وجرّبها، ورآها تتجاوزها. وهذا ينجح جيدًا، إلى أن تأتي الحالة التي لم تخطر لأحد.

أما البرهان فيبدأ من الطرف الآخر. إنه لا يجرّب حالات. بل يبيّن، بالرياضيات، أن عبارةً ما تصح فيها كلها.

كل الحالات، لا التي جرّبناها فقط

خذ وعدًا صغيرًا: هذه الشيفرة لا تقرأ أبدًا ما بعد نهاية مخزنها المؤقت. يستطيع الاختبار أن يعطيها ألف مدخل، أو مليار مدخل، ثم يفيد بأن أيًّا منها لم يُفشلها. أما البرهان فيقول شيئًا من نوع آخر: لا يوجد مدخل يُفشلها. لم يُعثر على واحد، ولا وجود لواحد.

والثمن هو الصرامة. يحتاج البرهان إلى عبارة دقيقة لما ينبغي أن تفعله الشيفرة، تسمى المواصفات، وإلى حجة تربط كل سطر من الشيفرة بها. وفي البرمجيات الحقيقية تكون هذه الحجة أطول كثيرًا من أن يراجعها إنسان بعينه. لذلك يتحقق منها حاسوب.

متحقق منه آليًا

هذا معنى «متحقق منه آليًا». يُكتب البرهان كاملًا، بلغة يستطيع قراءتها برنامج يسمى مساعد البراهين، ويتحقق البرنامج من كل خطوة وفق قواعد المنطق. لا يتعب عند الصفحة التسعمئة، ولا يأخذ بكلام أحد.

وهكذا يُتحقق من براهين seL4، في مساعد براهين اسمه Isabelle/HOL. وهي منشورة للعموم، ويستطيع أي أحد أن يعيد تشغيلها.

ما تقوله براهين seL4

seL4 هي النواة التي يعمل عليها كل نظام من أنظمة NoWayOS: نحو 10,000 سطر من الشيفرة، وهي الشيفرة الوحيدة التي تتحكم بالجهاز تحكمًا كاملًا. وحجمها هو بيت القصيد. فالحجة حول عشرة آلاف سطر يمكن إتمامها. أما الحجة حول عشرات الملايين فلا يمكن إتمامها بعد.

تعرض seL4 Foundation هذه البراهين في طبقات:

الشيفرة تفعل ما تنص عليه المواصفات، ولا شيء غيره. ويترتب على ذلك قائمة بأشياء لا تستطيع النواة فعلها: تجاوز حدود مخزن مؤقت، أو تتبّع مؤشر فارغ، أو تسريب الذاكرة، أو القسمة على صفر.
البرنامج الذي يعمل يطابق الشيفرة التي بُرهن عليها. فبينهما مصرِّف، ولذلك يتحقق برهان إضافي من مخرجاته.
النواة تستطيع أن تُبقي أجزاء النظام منفصلة. فلا يستطيع جزء أن يغيّر بيانات جزء آخر، ولا أن يقرأها، ولا أن يأخذ الموارد التي يحتاج إليها، إلا إذا مُنح الحق في ذلك.
النظام يستطيع أن يبدأ في الحالة التي صُمم ليكون عليها، بالصلاحيات المذكورة في وصفه بالضبط.

وليست كل طبقة مكتملة لكل معالج ولكل إعداد. وهذا مهم، وسنعود إليه.

ما يسلّم به البرهان

البرهان واسع بقدر عبارته تمامًا، وهو يقوم على افتراضاته. وتدوّن seL4 افتراضاتها: أن العتاد يتصرف كما يقول نموذجه، وأن بضع مئات من أسطر الشيفرة في أدنى مستوى صحيحة، وأن الشيفرة التي تعمل قبل بدء النواة قد أدّت عملها. وبرهان السرية لا يغطي التوقيت.

وهو لا يقول شيئًا عمّا إذا كانت المواصفات تطلب الشيء الصحيح، ولا شيئًا عن البرمجيات التي فوق النواة. فالنواة المبرهَن عليها ستعزل بأمانة برنامجًا فيه خلل. والخلل ما زال هناك. لكنه لا يستطيع الوصول إلى أي شيء آخر.

وليس هذا ضعفًا في البراهين. بل هو ما يجعلها جديرة بالاقتناء: إنها تقول بدقة ما تغطيه، فتعرف بدقة ما الذي بقي.

أين يقف NoWayOS

هذا هو الموقف بوضوح. يعمل NoWayOS على seL4، لكن لا توجد اليوم صورة من صور NoWayOS داخل براهين seL4 المكتملة. يستخدم NoWayOS إعداد الحرجية المختلطة في seL4، وبراهينه لمعالجاتنا ما زالت جارية. وبراهين seL4 لم تغطِّ قط شيفرة NoWayOS نفسه. لذلك لا نصف NoWayOS بأنه “متحقق منه رسميًا”، ولن نفعل.

وكل صورة تقول أين تقف. فإلى جانبها ملف يسرد إعداد نواتها، خيارًا خيارًا، مقابل الإعداد الذي برهنت عليه seL4. وصفحة الأمان تعرض ملفًا حقيقيًا.

براهين أصغر من صنعنا

تحصل شيفرة NoWayOS على ضمانها بطريق آخر: Rust، والعزل، والمراجعة، والاختبار، وبراهين من نوع أكثر تواضعًا.

لكل مفكك للرسائل التي تنتقل بين أجزاء النظام براهين محدودة، مصنوعة بمدقق نماذج اسمه Kani. والبرهان المحدود يغطي كل مدخل حتى حجم مُعلن، وهو هنا أطول سجل يقبله المفكك. وداخل ذلك الحد هو برهان حقيقي: لا يوجد مدخل يجعل المفكك ينهار أو يفيض أو يقرأ خارج الحدود. وخارج الحد لا يقول شيئًا، ولهذا جعلنا الحد أطول مدخل ممكن.

ثم نُفسد المفككات عمدًا، لنتأكد من أن البراهين تنتبه. فالبرهان الذي لا يمكن أن يفشل ليس أفضل من اختبار لا يمكن أن يفشل.

حجمه الصادق

البرهان لا يجعل شيئًا “غير قابل للاختراق”. إنه يجعل عبارة واحدة صحيحة، في كل الحالات، وفق افتراضات تستطيع قراءتها. اعرف العبارة والافتراضات، تعرف ما لديك.

ولهذا بُني NoWayOS على النواة التي تملك هذه البراهين، ولهذا يخبرك، صورةً صورة، إلى أين تصل.

لماذا لا توجد صدفة أوامر في أجهزة NoWayOS

2026-11-13T00:00:00Z

معظم الهجمات على الأجهزة المخصصة لا تستهدف المهمة التي يؤديها الجهاز. بل تستهدف بقية الحاسوب الذي يعمل عليه: صدفة الأوامر المتروكة للصيانة، وخدمة الوصول عن بعد التي لم يوقفها أحد، والمتصفح الذي خلف التطبيق، وسطح المكتب الذي لا يفصلك عنه إلا تعطل واحد.

و«بقية الحاسوب» هذه في كل مكان. البوابة التي تنقل القراءات من محطة مياه، والطرفية في غرفة التحكم بشبكة كهرباء، والأجهزة التي يعتمد عليها مستشفى، واللوحة على جانب آلة، والشاشة في بهو محطة: كثير منها يعمل بنظام تشغيل للأغراض العامة، فوقه مهمة واحدة، وتحته كل ما عداها ما زال موجودًا، معطَّلًا بالإعدادات. ووضع الكشك أبسط صور ذلك. وكل اختراق هو أن يجد أحدهم الإعداد الوحيد الذي فات.

اتركه خارجًا بدلًا من ذلك

يبدأ NoWayOS من الطرف الآخر. صورة NoWayOS تضم تطبيق الجهاز، والمشغلات التي يستخدمها ذلك التطبيق، والنواة المصغرة seL4. وهذه هي القائمة كلها.

لا توجد صدفة أوامر يُنفَذ إليها، لأن أي صدفة لم تُبنَ فيه أصلًا. ولا تسجيل دخول عن بعد تُخمَّن كلمة مروره. ولا سطح مكتب يُهرَب إليه. ولا محرك متصفح ينتظر صفحة خبيثة. ولا يمكن أن يُخطأ في إعداد برنامج غير موجود.

كل ذلك يخص نظام التشغيل. أما التطبيق الذي يعمل فوقه فشأن آخر: يستطيع أن يسجّل دخول مستخدميه، وأن يسجّل الدخول إلى أنظمة أخرى، كلما اقتضت مهمته ذلك. لكنه لا يقوم على نظام تشغيل يستطيع أحد أن يسجّل الدخول إليه.

نسمي ذلك Single Purpose OS: حاسوب لا يشغله شيء آخر.

وما هو موجود معزول

ترك الأشياء خارجًا هو نصف الأمر. فكل جزء يبقى (الشبكة، والشاشة، والإدخال، والتطبيق) يعمل في حجرة خاصة به، أي نطاق حماية بمصطلح seL4، ولا يصل إلا إلى ما مُنح له. مشغل الشبكة ينقل الحزم. ومشغل العرض يرسم. والتطبيق يخاطب كلًّا منهما برسائل ثابتة الحجم.

وكل إذن مدوَّن في ملف، حقيقةً واحدة في كل سطر، ويفشل البناء إذا اختلف النظام والملف. وهو مبني بحيث يبقى العطل في جزء ما داخل ذلك الجزء.

«لكن كيف تصلحه بلا صدفة أوامر؟»

هذا أول ما يسأله المهندسون، وهو سؤال في محله. لا يُسجَّل الدخول إلى نظام التشغيل في جهاز NoWayOS: فليس فيه حسابات، ولا يوجد مستخدم يُسجَّل الدخول باسمه. بل تبني صورة جديدة وتستبدل بها القديمة. واليوم يعني ذلك بناءها وتحميلها على اللوحة؛ أما التحديثات الموقعة، التي يتحقق منها الجهاز وتستطيع التراجع بأمان، فهي مصممة وفي الطريق.

وما تحصل عليه في المقابل جهاز يبدأ مباشرة في مهمته الواحدة، وفيه أقل بكثير مما يحتاج إلى ترقيع وأقل بكثير مما يمكن مهاجمته. وللأنظمة التي تقوم عليها البلاد، هذه المبادلة هي الغاية كلها.

انظر بنفسك

الأدلة الخاصة بصورة حقيقية واحدة من NoWayOS، أي ملف أذوناتها وقائمة مكوناتها وسجل إعداد seL4 الخاص بها، موجودة في صفحة الأمان. لا تسجيل، ولا سكربت. الملفات فقط.