نحو جهة ترقيم عربية
تضم قائمة برنامج CVE 559 جهة مرقّمة من 43 دولة وليس بينها جهة عربية واحدة، لذا يحتاج الباحث العربي إلى جهة في الخارج كي يحصل على رقم لثغرة اكتشفها في منتج عربي، وتشرح هذه الصفحة كيف تتغير هذه الحال.
لماذا تهم جهة عربية
حين تكون الجهة المرقّمة قريبة من المنتج ومن لغته تصل البلاغات أسرع ويُكتب السجل بدقة أكبر، وتبقى معرفة الثغرات المحلية في المنطقة بدل أن تتوزع على جهات لا تعرف السوق، علاوة على ذلك فإن وجود جهة مرقّمة يمنح الباحثين العرب طريقاً معترفاً به لنسبة اكتشافاتهم إليهم.
من يحق له التقدم
لا يشترط البرنامج حجماً معيناً ولا رسوماً، فيتقدم المورّد ليرقّم ثغرات منتجاته، ويتقدم فريق الاستجابة الوطني أو القطاعي ليرقّم ما يُبلّغ به، ويتقدم المشروع مفتوح المصدر أو فريق البحث ليرقّم ما يكتشفه أو ينسقه، والمهم أن يملك المتقدم نطاقاً واضحاً وأشخاصاً قادرين على العمل وفق القواعد بانتظام.
ما تشترطه القواعد
تحكم عمل الجهات المرقّمة قواعد التشغيل في إصدارها 4.2.0 النافذة منذ 25 أغسطس 2026، وأهم ما فيها لمن يتقدم ما يلي.
- نطاق مكتوب يحدد الثغرات التي ترقّمها الجهة، كمنتجاتها أو الثغرات التي تبحثها أو تنسقها، لأن الجهة صاحبة النطاق الأنسب تُمنح أولوية الترقيم.
- سياسة إفصاح منشورة في عنوان ثابت تشرح طريقة استقبال البلاغات ومدد الرد وفترة الحظر قبل النشر، ولا يجوز أن تمنع السياسة الجهة من اتباع القواعد.
- موضع نشر للنشرات الأمنية إن كانت الجهة مورّداً، ويجب أن يذكر أرقام الثغرات التي رقّمتها.
- نشر السجل في موعده، فالقواعد توصي بنشره خلال 24 ساعة من إعلان الرقم وتلزم بألا يتجاوز ذلك 72 ساعة، ويحتوي كل سجل على مرجع عام واحد على الأقل لا يتطلب تسجيل الدخول.
- نقطتا اتصال على الأقل بأسماء أشخاص وعناوين بريد فردية، ورقم هاتف للحالات الطارئة.
- الاستمرار، فالجهة التي لا تعمل مدة طويلة تتلقى رسائل متابعة ثم قد تُزال من القائمة.
الخطوات
تجهيز الوثائق
تُكتب سياسة الإفصاح وبيان النطاق ويُحدد موضع النشرات وأسماء نقاط الاتصال، والحزمة أدناه تختصر هذا العمل.
طلب الانضمام
يُرسل نموذج الطلب باختيار طلب معلومات عن برنامج الجهات المرقّمة، ثم يُملأ النموذج التفصيلي الذي يصل بعده ببيانات الجهة ونطاقها وجهتها الجذرية.
اختيار الجهة الجذرية
لا توجد اليوم جهة جذرية مخصصة للمنطقة العربية، لذا تتبع الجهة الجديدة في الغالب الجهة الجذرية العليا التي تديرها MITRE، أو جهة جذرية تخصصية إن كان نطاقها صناعياً أو مفتوح المصدر.
جلسة التعريف والتدريب
تُحدد جلسة تعريف مدتها ساعة يحضرها كل أفراد الجهة، وتُشاهد مقاطع التدريب، ثم تُنجز تمارين لإنشاء سجلات تجريبية وتُرسل للاعتماد.
الإعلان والبدء
تُفتح للجهة حسابات خدمات CVE لحجز الأرقام ونشر السجلات، ثم يعلن البرنامج انضمامها، ويستغرق الطريق كله عادة أربعة أسابيع على الأقل من أول تواصل.
حزمة الطلب الجاهزة
في مستودع «رائد» مجلد cna-kit يضم ما تحتاجه أي جهة عربية لتبدأ، وكل ملف فيه بالعربية والإنجليزية لأن البرنامج يعمل بالإنجليزية بينما يقرأ المبلّغون العرب بلغتهم.
- سياسة إفصاح عن الثغرات بمدد رد محددة وفترة حظر تسعين يوماً قابلة للتعديل.
- بيان نطاق بثلاث صيغ للمورّد وفريق الاستجابة ومشروع البحث.
- نموذج نشرة أمنية يحقق متطلبات السجل في القواعد.
- ملف security.txt وفق المعيار RFC 9116.
- نموذج استقبال البلاغات بالحقول التي يحتاجها السجل.
- قائمة تحقق للتقديم تتبع النموذج التفصيلي حقلاً بحقل.
والحزمة نفسها هي التي يعمل بها «رائد» في استقبال البلاغات، فسياسته منشورة في صفحة الإفصاح وملفه في security.txt، ويمكن لأي باحث أن يبلّغ عن ثغرة من بوابة البلاغات.