الأمان وحدود الثقة

نموذج تهديدات قبل ألفا. لم يكتمل أي تدقيق أمني. لا تعتمد على الوثائق أو الأمثلة الحالية لحماية أموال ذات قيمة معتبرة.

تغطية التهديدات

السجلات المزورة أو المعدلة، وربط المُصدِر بالمفتاح بصورة خاطئة، وإعادة الاستخدام، والالتباس بين السلاسل أو الأصول، والملاحظات القديمة، وإعادة تنظيم السلسلة، والأدلة الناقصة، وردود RPC أو المفهرس المخترقة، وسلوك التوكن غير المدعوم، وإصدارات السياسات المتضاربة.

قد تتضمن عناوين السجلات وردود API والنقوش ورسائل الوكلاء تعليمات خبيثة أو تسبب SSRF. يجب تقييد مخططات العناوين وحماية الشبكات الخاصة وعناوين البيانات الوصفية وتحديد إعادة التوجيه والمهلات والبايتات، دون استخدام بيانات اعتماد محيطة. ويجب ضبط استهلاك موارد المحلل والتعابير النمطية.

تهديدات لا يحلها السجل

التوقيع الصحيح لا يثبت الحقيقة. قد يعطي حساب أمين فوق مدخلات كاذبة نتيجة خاطئة عن الواقع. وقد يحذف المشغّل أعمالاً قبل الالتزام بالدفعة. التعيين العشوائي للمقيّمين لا يزيل التواطؤ. والطابع الزمني لا يثبت ترتيباً حصرياً أو سرية أو توافر البيانات. وقد تكون السياسة سيئة التصميم رغم نجاح شروطها.

فصل المفاتيح والوكلاء

التوقيع الإنتاجي والخزانة وبيانات اعتماد النشر ووكلاء البحث مجالات ثقة منفصلة. لا تملك عمليات البحث صلاحية المحفظة. تمر تغييرات التطوير بالمراجعة قبل تعديل المفاتيح المقبولة أو الإصدارات. تستبعد GitHub والوثائق العامة عبارات الاسترداد والمفاتيح الخاصة وأسرار API وأدلة العملاء الحساسة.

متطلبات التشغيل

ثبّت التبعيات وراجع تغييرات سلسلة التوريد وطبّق أقل الصلاحيات واحجب البيانات الحساسة من السجلات وحدد مدة الاحتفاظ ووثّق الانقطاعات. غياب الأدلة يعيد INDETERMINATE. لا تغير سلوك الفشل لإنجاح العرض.

يحدد SECURITY.md في المستودع مسار الإبلاغ. إلى أن تُضبط جهة اتصال أمنية عامة موثقة، استخدم قناة تعاون خاصة قائمة ولا تنشر تفاصيل استغلال أو بيانات عملاء حقيقية في القضايا العامة.

إعادة الحساب ليست عشوائية خالية من الانحياز

قيمة nonce العامة ليست مصدراً سرياً أو منتظم التوزيع للعشوائية. تجزئة nonce أو إضافة تجزئة الكتلة لا تزيل تأثير المعدّنين ولا تُنشئ إنتروبيا مستقلة. اختلاف سياق الطلب ينتج مخرجات حتمية مختلفة، لا عشوائية مستقلة جديدة. [7]

للانتقاء المعتمد على مصدر مستقبلي، تُربط مجموعة المؤهلين وترتيبها وأوزانها ومعرّف الطلب وسياقه والخوارزمية وملف المصدر وقاعدة الكتلة المستقبلية الدقيقة وسياسة التأكيد قبل معرفة المصدر. يُحفظ دليل توقيت الالتزام القابل للتحقق خارجياً؛ فالتجزئة المنشأة لاحقاً لا تثبت الالتزام المسبق. تُحدد هوية طلب مقبول واحد، والمحاولات والإلغاء وحجب النتائج والنشر المتأخر والتعافي من إعادة تنظيم السلسلة، لمنع انتقاء نتيجة من محاولات متعددة. تُقيّم القيمة الإجمالية للمهام التي تشترك في المصدر. ولا تُمنح إعادة الحساب التاريخية والاختيار من مصدر مستقبلي تسمية ضمان واحدة.

أدلة الدفع والقيد المحاسبي مرة واحدة

تربط الفاتورة المستدعي وملخص الطلب ومفتاح منع التكرار وهوية الشبكة والأصل الدقيقة ومستلم التاجر والمبلغ الصحيح بوحدات ذرية واستحقاق رصيد الخدمة والانتهاء وسياسة التسوية. يتحقق المحول من حدث تحويل منفذ ووجهته ومقداره وهوية النشر والكتلة المعتمدة والتأكيدات وتغطية المفهرس وإصدار القواعد. معرّف المعاملة أو مشاهدتها في mempool أو إنشاء نقش أو صورة رصيد المحفظة ليست تسوية للدفع.

تُحفظ فرادة الحدث باستخدام الشبكة ونشر الأصل والمعاملة وهوية العملية أو النقش. تُربط ملكية الفاتورة بالمستدعي وفق عقد الفاتورة، بدلاً من قبول أي تجزئة معاملة مقدمة. تستخدم إضافة الرصيد وحجز المهمة والاستهلاك والتحرير معاملات دفتر ذرية وقيود فرادة. لا تؤدي إعادة المحاولة أو تكرار webhook إلى رصيد أو خصم مكرر. تظل الأدلة الناقصة أو الفهارس المتأخرة أو المتعارضة أو إعادة التنظيم معلقة أو قيد المراجعة. يُحدد قيد تعويضي وسياسة لتحمل المشغل خسائر إعادة التنظيم العميقة؛ ولا تُخصم دفعة عميل أخرى خفيةً.

[1] https://digital-matter-theory.gitbook.io/digital-matter-theory/introduction/digital-elements/.element-registry

[2] https://github.com/Trac-Systems/ord-tap/blob/b8f6ea35cf6b9d405d4db7c58555e3c8ab33e8cd/src/index/updater/inscription_updater/tap/ops/dmt_element.rs

[3] https://digital-matter-theory.gitbook.io/digital-matter-theory/introduction/nat-use-cases/usdnat-method-1-live

[4] https://digital-matter-theory.gitbook.io/digital-matter-theory/introduction/non-arbitrary-tokens-nats/nat-token-transfer

[5] https://docs.x402.org/core-concepts/network-and-token-support

[6] https://github.com/Trac-Systems/ord-tap/blob/b8f6ea35cf6b9d405d4db7c58555e3c8ab33e8cd/README.md

[7] https://arxiv.org/abs/1605.04559

نموذج تهديد الوكيل الخبيث والرفض الكاذب

لا يمكن للتقرير إجبار وكيل يملك مفتاحاً غير مقيّد. يتطلب الإنفاذ عالي الضمان فصل الصلاحيات: يقترح النموذج الفعل فقط، بينما لا يصل إلى الموقّع أو سلطة API المحمية إلا عبر بوابة تتحقق من تفويض P21 حديث. إذا احتفظ النموذج بمفتاح آخر أو اعتماد RPC غير مقيّد أو مسار إنفاق بديل فلا يجوز الادعاء بأن البوابة غير قابلة للتجاوز.

يجب ربط التفويض بالفعل المعياري الدقيق والطلب والسياسة والشبكة والأصل/المستلم/المبلغ عند الصلة وnonce والانتهاء، ثم إعادة حساب action digest مباشرة قبل التوقيع لمنع الاستبدال وTOCTOU.

لا يستطيع المستقبِل الخبيث تغيير الحقائق بقول DENIED. قراره ACCEPT / REJECT / REVIEW أثر موقّع منفصل. لا تُسجّل CONTRADICTORY إلا عند وجود سياسة حتمية ملتزم بها مسبقاً وأدلة كافية؛ وإلا فـ UNRESOLVED. وتُحفظ القرارات الموقعة المتعارضة كدليل equivocation بدلاً من استبدال التاريخ.