ماسح MOAD كممارسة للزراعة المستدامة
المبدأ الأول للزراعة المستدامة: راقب قبل أن تتصرف. اقضِ وقتاً في النظام الذي تريد تغييره. افهم تدفقاته وتراكماته ومسارات نفاياته قبل تصميم تدخلك. البستاني الذي يراقب أماكن تجمع المياه ووصول ضوء الشمس وتركيز المغذيات يضع النباتات بشكل أفضل من الذي يتبع خطة عامة.
يطبق ماسح MOAD هذا المبدأ على النظم البيئية للبرمجيات. قبل تقديم أي مشكلة، امسح المشاريع واللغات. ارسم توزيع العيب: كم مشروعاً يحمل CWE-407؟ أيها يحمله في مسارات عالية الحركة؟ أي الحزم الأساسية، إذا تم تصحيحها، ستنشر الإصلاح إلى أكبر عدد من المعتمدين؟ راقب النظام البيئي قبل التصرف على أي عقدة واحدة.
قارن هذا بالممارسة الاستخراجية: اكتشف ثغرة، بِعْها لوسيط ثغرات، احصل على الدفع، وانتقل. استخرج الباحث رأس المال المالي من المعرفة وغادر. لم تنتشر المعرفة. لم يتحسن النظام. بقي مستخدمو كل مشروع متأثر عرضة للخطر. يحتفظ الوسيط بالمعرفة التي تفقد قيمتها مع تقادم الثغرة دون إفصاح.
ممارسة الحاسوب الدائم: اكتشف عيبًا، أصلحه، أفصح عنه، أرسله إلى المصدر، وأطلق التصحيح كملكية عامة. تنتشر المعرفة دون أن تتلاشى — بل تتراكم: يصبح CVE المُفصح عنه مرجعًا، ومنشور MOAD يُعلّم النمط، ويجد الباحثون المستقبليون حالات جديدة باستخدام نفس النمط. حلقة مغلقة بدلًا من استخراج نهائي.
يسبق الرصد في الزراعة المستدامة الفعل فيها. يولّد المسح بيانات حول درجات الارتفاع، ورسوم الاعتماد، وعدد العقد المتأثرة قبل أن يتحرك أي تصحيح. تشكّل هذه البيانات أي التصحيحات تُرسل أولًا: العقد ذات الارتباط العالي قبل العقد الطرفية، لأن إصلاح مكتبة يعتمد عليها الكثير ينتشر أبعد لكل وحدة جهد.
أنتج بلا نفايات: ثلاث مسارات للإفصاح
ثلاث مسارات يمكن للباحث اتخاذها بعد اكتشاف ثغرة حرجة في مكتبة مفتوحة المصدر شائعة:
أ. بيعها إلى وسيط ثغرات مقابل 10,000 دولار.
ب. الإبلاغ عنها بشكل خاص للمشرف مع جدول زمني للإفصاح مدته 90 يومًا، ثم النشر بغض النظر عن حالة التصحيح.
ج. إرسال تصحيح كطلب سحب فورًا مع إفصاح عام متزامن.
التراكم في الأنظمة المفتوحة
المبدأ الثاني في الزراعة المستدامة: التقاط وتخزين الطاقة عندما تتدفق بوفرة حتى تتوفر احتياطيات عندما لا تتوفر. يخزن نظام تجميع مياه الأمطار الماء أثناء العواصف لاستخدامه في الأشهر الجافة. وتخزن الغابة الغذائية الطاقة الشمسية على شكل فواكه وكتلة حيوية عبر الفصول. الهدف: مطابقة توقيت التخزين مع توقيت الوفرة.
معرفة هامينغ المتراكمة: كل تقنية جديدة تتصل بقائمة مشكلاتك المهمة، مما يضاعف الإنتاجية. فتحت رؤية واحدة حول إنتروبيا المعلومات، لشانون، عقدًا من العمل النظري لأنها ارتبطت بكل سؤال مفتوح في قائمته في آنٍ واحد. ودفعت المعرفة المخزنة فائدة مركبة.
يعمل التراكم مفتوح المصدر بشكل مختلف عن التراكم الفردي. يخزن الإصلاح المدمج في مستودع أساسي الطاقة في مكان يستمد منه كل فرع لاحق تلقائيًا. انتشرت رقعة أُرسلت إلى مكتبة asyncio في بايثون عام 2022 إلى كل مشروع يستخدم تلك المكتبة دون أي إجراء إضافي من الباحث الأصلي. تُخزن الطاقة في المصدر وتتراكم عبر رسم التبعيات.
تخزن مقالات MOAD الطاقة بشكل مختلف: كل منشور يعلّم نمط المسح بدلًا من مجرد الكشف عن الحالة المحددة. يتعلم الباحث الذي يقرأ مقال MOAD عن CWE-407 ليس فقط أن المشروع X كان لديه ثغرة تدفق، بل كيف يبدو نمط التدفق في أي لغة، وكيف يبحث عنه، وكيف يميزه عن كود مشابه غير ضار. يجد الباحثون المستقبليون حالات جديدة باستخدام النمط المخزن بدلًا من إعادة اكتشافه من المبادئ الأولى.
تُعد آلية تخزين الطاقة بنفس أهمية الطاقة نفسها. المعرفة المخزنة في دفتر ملاحظات خاص تتراكم فقط لمالك الدفتر. المعرفة المخزنة في مستودع عام تتراكم لكل من يقرأها. المعرفة المخزنة في قاعدة بيانات CVE تتراكم لكل من يشغّل ماسح أمان. لكل موقع تخزين خصائص تراكم مختلفة.
متتبعات المشكلات وقوائم المشكلات الشخصية
احتفظ هامينج بقائمة تضم 10 مشكلات مهمة يعود إليها مرارًا. جهّزت القائمة عقله للتعرف على متى يعالج تقنية جديدة إحداها. عملت قائمته كطاقة مخزنة شخصيًا: استثمار دائم في مطابقة الأنماط يؤتي ثماره كلما ظهرت تقنية جديدة.
حلقة MOAD كنظام مغلق
الزراعة المستدامة: في نظام مصمم جيدًا، يغذي ناتج عملية ما مدخل عملية أخرى. لا يخرج أي ناتج من النظام كفضلات. الدجاجة في غابة غذائية تنتج بيضًا (طعامًا)، وسمادًا (مخصبًا)، ومكافحة للآفات (خدمة)، وخدشًا (تهوية للتربة). يُوجَّه كل ناتج إلى عملية لاحقة بدلًا من مغادرته النظام.
يبني نموذج مصنع MOAD حلقة مغلقة مشابهة. تنتج كل مرحلة مخرجات تغذي المرحلة التالية:
المسح ينتج: نسخة مؤكدة من العيب، خريطة موقع العقد المتأثرة، تقديرًا للشدة بناءً على المركزية والحركة.
التصحيح ينتج: تصحيحًا برمجيًا، اختبار وحدة يؤكد الإصلاح، فرقًا قابلًا للمراجعة من قبل المشرفين.
منشور MOAD يُنتج: مقالة في المجال العام تشرح فئة العيب، ونمط المسح، ونهج الإصلاح. رأس مال فكري يستمر بعد أي حالة فردية.
الإفصاح عن CVE يُنتج: سجلاً موحداً في NVD، مما يُفعّل الماسحات الأمنية الآلية عبر جميع التثبيتات المتأثرة. رأس مال اجتماعي لمجتمع الأمان.
طلب السحب Upstream يُنتج: الإصلاح في المصدر الرسمي، مما ينتشر تلقائياً إلى جميع النسخ الفرعية عند تحديث التبعية التالي.
كل مخرج يغذي الدورة: منشور MOAD يُعلّم الباحثين اكتشاف حالات جديدة، مما يولّد مسوحات جديدة. يصبح اختبار الوحدة حارساً للانحدار. يدفع سجل CVE فرق العمليات إلى تبني التصحيح الذين كانوا سيتجاهلونه. تغلق الحلقة.
شرط التوقف: إفصاح عن تصحيح دون التأكد من قدرة المصب يغرق قائمة الانتظار. MOAD-0001 و MOAD-0005 يرتبطان: إصلاح O(N²) عند عقدة ذات بينية عالية يؤدي إلى غمر جميع المعالجات اللاحقة في وقت واحد. ينطبق مبدأ التصميم للنظام الكامل في الزراعة المستدامة هنا أيضاً: تحسين المكون قد يخلق عنق زجاجة جديداً في المصب.
تعيين المخرجات إلى رأس المال
ينتج خط أنابيب MOAD خمسة مخرجات: نتيجة مسح، وتصحيح، ومنشور MOAD، وإفصاح CVE، وطلب سحب upstream.