البنية التحتية كسيطرة: ما الذي تمثله CDN وDNS والسحابة فعليًا

موقع يتعطل في بلد واحد. الفريق يتحقق. الاستضافة سليمة. DNS يُحلّ في كل مكان آخر. البناء أخضر، ولوحة Cloudflare تقول إن كل شيء سليم، والفحوصات الاصطناعية من فرانكفورت تنجح. الموقع يعمل. إنه فقط غير قابل للوصول إليه، تحديدًا، من داخل جزيرة BGP خاصة ببلد واحد، ولا توجد صفحة حادثة تعرف كيف تقول ذلك.

هذا ما يكون عليه الإنترنت فعليًا حين تنزع عنه طبقة التسويق — كومة من الولايات القضائية المتداخلة ترتدي زي شبكة واحدة. الزي مقنع لمعظم المستخدمين، في معظم الأوقات، ولهذا السبب استطاع من اختاروا استضافتك، وCDN الخاص بك، وDNS الخاص بك، وجهة إصدار الشهادات (CA)، والمنطقة السحابية، أن يتخذوا مجموعة من قرارات الحوكمة نيابة عنك دون أن يُطلب منهم يومًا صياغتها على هذا النحو.

الطبقة التي لا تغطيها مراجعة التصميم

لم تغطِّ أي مراجعة تصميم حضرتها تقريبًا الطبقة التي أنا على وشك وصفها. المراجعة تغطي الهوية، والطباعة، وسهولة الوصول، والأداء، والمحتوى، وأحيانًا الحركة. لكنها تكاد لا تغطي أبدًا الجغرافيا السياسية للبنية التحتية التي يُقدَّم منها الموقع.

الجغرافيا السياسية مهمة. فهي تحدد من يستطيع إسقاط موقعك، ومن يستطيع تقديم نسخة مزورة منه، ومن يستطيع تسجيل كل زيارة له، ومن يستطيع إصدار شهادة تنتحل هويتك، ومن يستطيع سحب نطاقك، ومن يستطيع قراءة بياناتك أثناء انتقالها، ومن يستطيع استدعاء نسخك الاحتياطية قضائيًا، ومن يستطيع فعل أي من هذا دون أن يخبرك أبدًا.

إليك كعكة الطبقات هذه، باختصار، مع السؤال الذي تجيب عنه كل طبقة.

**DNS.** من يقرر إلى أين يُحلّ اسم نطاقك. المسجِّل يحمل المفاتيح. مشغّل TLD يقف فوق المسجِّل. والبلد الذي تسري قوانينه على مشغّل TLD يقف فوق ذلك كله. إذا كان نطاقك على TLD خاص برمز بلد، فالإجابة العملية عن سؤال «من يستطيع انتزاع هذا منك» هي «حكومة ذلك البلد، باتصال هاتفي واحد إلى المكتب المختص». معظم الفرق تختار TLD لأن الرابط يبدو جيدًا على بطاقة عمل، دون أن تدرك أنها اقتنت معه أيضًا السيادة التي تأتي معه.

**جهة إصدار الشهادات.** من يستطيع إصدار شهادة تقول *هذا موقعك*. توجد نحو مئة جهة إصدار شهادات جذرية (CA) في مخازن الثقة التي تُشحن بها المتصفحات الرئيسية، وعدد قليل منها له تاريخ موثّق في إصدار شهادات تحت ضغط حكومي (راجع واقعة DigiNotar، أو ما اكتُشف بشأن Trustwave قبل عقد من الزمن، أو حوادث الجذور Kazakh المختلفة). سلسلة الثقة لا تكون أقوى من أضعف CA يقبله متصفح قرائك، ما يعني أن هجوم الوسيط ضد موقعك، في بلد تملك حكومته نفوذًا على CA المناسبة، يتراوح بين حدث شهري وخط أساس إقليمي بحسب السنة.

**CDN.** أي عُقد طرفية تقدّم محتواك، وأي حكومات تملك نفوذًا على مزوّد CDN. نقاط حضور Cloudflare (PoPs) أجسام سياسية. لها عناوين. تلك العناوين في بلدان. لتلك البلدان قوانين. نقطة الحضور التي تخدم قارئك في البلد س هي أيضًا قطعة ملكية شركة يمكن لحكومة البلد س مصادرتها أو تدقيقها أو استغلالها. حين تقطع Cloudflare خدمتها عن بلد بأكمله — وهو ما حدث، وسيحدث مجددًا — يُظلم كل موقع خلفها من منظور ذلك البلد، بغض النظر عن مكان الخادم الأصلي.

**المنطقة السحابية.** أين تقع بياناتك فعليًا، وبالتالي قانون أي ولاية قضائية يسري عليها. us-east-1 التابعة لـ AWS ليست إحداثيًا محايدًا؛ إنها مجموعة مبانٍ في فرجينيا خاضعة لقوانين فرجينيا، والولايات المتحدة، وأي بلد تشمل معاهداته للمساعدة القانونية المتبادلة تلك المباني. المنطقة السحابية تعمل إلى حد ما كجواز سفر لبياناتك — بياناتك تملك واحدًا سواء تقدمت بطلبه أم لا، وأي جواز ينتهي بك الأمر حاملًا له يؤثر على من يستطيع طرح أسئلة عنه لاحقًا.

**مسار الشبكة.** أي شبكات وسيطة يعبرها طلب قارئك ليصل إليك. القارئ في البلد س لا يتصل بخادمك مباشرة. يتصل بمزوّد خدمة الإنترنت الخاص به، الذي يتصل بنقطة تناظر، التي تتصل بـ IX، الذي يتصل بناقل من الطبقة الأولى، الذي يتصل بـ CDN الخاص بك، الذي يتصل بخادمك الأصلي. كل قفزة في هذا المسار فرصة للفحص أو التعديل أو التأخير أو الاعتراض. طوبولوجيا القفزات تحددها علاقات اقتصادية بين مشغلي الشبكات لا تراها ولا تملك صوتًا فيها.

لماذا يظل هذا خفيًا حتى لا يعود كذلك

الإنترنت يعمل بشكل جيد بما يكفي، في معظم الأوقات، لمعظم الناس، لدرجة أن كعكة الطبقات تصبح غير مرئية. الموقع يُحمَّل. الشهادة صالحة. DNS يُحلّ. فواتير السحابة تصل. والبنية التي تقوم عليها كل هذه الأمور تُعامَل كخلفية محيطة — أشبه بالسباكة — لا كمجموعة القرارات السياسية التي هي عليها فعليًا.

تنتهي هذه اللامرئية في اللحظة التي تُظهر فيها إحدى الطبقات طبيعتها. حكومة تضغط على مسجِّل. CA تصدر شهادة مزورة. مزوّد سحابي ينسحب من سوق. عقدة طرفية تابعة لـ CDN تُصادَر. مسار BGP يُختطف. وفجأة تصبح الطبقة الخفية هي الشيء الوحيد الذي يحدث، ويجد الفريق الذي اختار تلك البنية نفسه يحدّق في عواقب قرارات اتخذها بناءً على السعر والراحة.

الفريق ليس مذنبًا في هذا. لا شيء تقريبًا في تدريبه أعدّه للتفكير في هذا الأمر. صفحات المزودين لا تذكره. مناهج المعسكرات التدريبية لا تغطيه. نظام التصميم ليس فيه رمز مخصص له.

الجماهير التي تدفع الثمن أولًا

المنتج المبني على الافتراضات المتوسطة لطبقة البنية التحتية يعمل جيدًا مع المستخدم المتوسط. المستخدم في بلد مستقر، بشركة اتصالات مستقرة، وهاتف مستقر، وعادة قراءة غير مثيرة للجدل. هذا المستخدم لن يصطدم أبدًا بالطبقة التي تنكسر.

المستخدم الذي ينكسر أولًا هو، تقريبًا دون استثناء، المستخدم الذي كان أحوج ما يكون إلى المنتج. الصحفي في بلد تملك فيه السلطة الحاكمة نفوذًا على جهة إصدار الشهادات. الناشط الذي يملك وزارة الداخلية مزوّد خدمة الإنترنت الخاص به. القارئ على شبكة جوال تستطيع الدولة قطعها بالكامل حين تقرر أن الأمور خرجت عن السيطرة. مستخدم الشتات الذي يمر اتصاله بالوطن عبر ثلاث ولايات قضائية معادية قبل أن يصل إلى خادمك الأصلي في فرانكفورت.

خيارات البنية التحتية الافتراضية تلتف حول كل هؤلاء المستخدمين. ليس بسوء نية. ولا بوعي. بل فقط كنتيجة للتحسين من أجل المتوسط. المتوسط هو المستخدم الذي لا يحتاج منك أن تفكر في هذا. أما المستخدم الذي يحتاج منك التفكير فيه، فهو بحكم التعريف، ليس المتوسط.

ما الذي أفعله بشكل مختلف حين يكون الجمهور في بيئة متنازع عليها

أول شيء أفعله هو تسمية القيد بصوت عالٍ. أين يوجد القراء فعليًا. أي شركات اتصالات يستخدمون. أي بنية رقابية تقف بينهم وبين الإنترنت المفتوح. ما أسوأ سيناريو بالنسبة لهم إذا تسرّب نظامنا. لم يكن لأي مشروع عملت عليه بجمهور «عالمي» تقريبًا إجابة جدية عن هذه الأسئلة حين طرحتها. الأسئلة نفسها هي العمل.

الشيء الثاني هو أنني أختار بنية تحتية تصمد أمام الرقيب ونظام العقوبات معًا. هذا ليس ممكنًا دائمًا. وحين يكون كذلك، فهو يعني عادة: TLD خارج الولاية القضائية المتنازع عليها؛ وCA ذات سجل نظيف؛ وتبديلًا احتياطيًا متعدد المناطق لا كتحسين أداء بل كضمان بقاء؛ وCDN مقره القانوني صامد أمام الضغوط المحددة التي يمكن أن تمارسها حكومة الجمهور؛ وخادمًا أصليًا يمكن الوصول إليه عبر نفق حتى حين يُحجب الباب الأمامي؛ ونطاقات مرآة لحالة مصادرة النطاق الرئيسي.

الشيء الثالث هو أنني أدوّن أنماط الفشل في مستند يُلزَم الفريق بالاطلاع عليه حين يُحدَّد نطاق الميزة التالية. المستند ليس طويلًا. ولا حاجة له أن يكون كذلك. يكفي أن يكون موجودًا، وأن يقاطع النقاش التالي الذي كان سيتجاهله.

ما الذي لا يزال المجال يحتاجه

المصممون عادة ليسوا في الغرفة حين تُتخذ قرارات البنية التحتية، ومهندسو البنية التحتية عادة ليسوا في الغرفة حين تُتخذ قرارات التصميم. الغرفتان تتحدثان عبر التذاكر، وقالب التذكرة ليس فيه حقل للعاقبة السياسية — فتنتقل العاقبة مع العمل، دون تسمية، لتظهر لاحقًا كشيء تصفه مراجعة الحادثة على أنه مشكلة مزوّد.

الحل هنا ليس إجرائيًا. بل أن يتعلم مزيد من المصممين ما يكفي عن كعكة الطبقات هذه ليجادلوا فريق البنية التحتية بمفردات ذلك الفريق نفسه، وأن يتعلم مزيد من مهندسي البنية التحتية ما يكفي عن الجمهور ليعترضوا على قرار تصميم حين سيدفع الجمهور ثمنه بطرق لا تراقبها أي لوحة قياس.

البنية التحتية قرار تصميم. من يتخذونه لا يعتبرون أنفسهم في الغالب مصممين، وهذا أيضًا قرار تصميم، اتخذه المجال عن نفسه، منذ فترة، ولم يُعِد النظر فيه أبدًا. وإلى أن يُعيد المجال النظر فيه، سيظل المستخدم المتوسط هو من يُحسَّن النظام من أجله، وسيظل المستخدم الذي كان أحوج فعليًا إلى المنتج يدفع كلفة الراحة التي اختارها الفريق الذي بناه. لا أظن أن هذا يُصلَح في مقال واحد. أظن أنه يُصلَح خلال خمسة عشر عامًا من التغير البطيء في المفردات، وهذه الفقرة واحدة منها.