الخصوصية والأمان بعمق

نموذج التهديد (3 دقائق)

ماذا تحمي نفسك منه؟

نصائح الأمان لا معنى لها قبل أن تعرف ممّن تختبئ. رسّامة تفضّل ألا يعثر عملها النهاري على حسابها الفني لديها مشكلة مختلفة تماماً عن صحفي يكتب عن حكومة تسجن الصحفيين، والاحتياطات التي يحتاجها الصحفي ستجعل حياة الرسّامة بائسة بلا سبب. لذا ابدأ من هنا.

في أخفّ المستويات، أنت ببساطة لا تريد أن يتصفح صاحب عمل أو قريب أو عميل مستقبلي كل ما نشرته يوماً. الانكشاف عادي: منشوراتك عامة، وملفك الشخصي يربطها معاً في قصة واحدة قابلة للقراءة. الاحتفاظ بهوية ثانية للعمل الذي تفضّل ألا يُنسب إلى اسمك يعالج معظم ذلك.

درجة أعلى، وأنت تتجنب أشخاصاً بعينهم. شخص كشف هويتك من قبل، شريك سابق، حملة مضايقة تلاحقك من منصة إلى أخرى. هنا يجب أن يكون الحساب مجهولاً من أول منشور فيه، وأن يبقى كذلك بحكم العادة. يسمّي أهل الأمن هذه العادات OPSEC، أي الأمن العملياتي: الروتين اليومي الصغير الذي يمنع تسرّب هوية إلى أخرى.

في القمة يقف المبلغون عن المخالفات، والناشطون تحت دولة معادية، وكل من تتوقف سلامته الجسدية على ألا يُعرف أبداً. الخصم هنا يملك المال والصبر. وهذا يعني OPSEC جاداً، ومفاتيح تُولَّد على جهاز لا يتصل بالإنترنت أبداً (معزول عن الشبكة)، وقراءة أكثر بكثير مما يقدمه دليل واحد.

ما يحميه Nostr

✅ مقاومة الرقابة. لا شركة تستطيع حظرك، لأن لا شركة تحتفظ بالحساب. هويتك زوج مفاتيح تتحكم به، فلا يمكن تعليقه ولا مصادرته، ومنشوراتك تجلس على أي relays اختارت الاحتفاظ بنسخة، لا في قاعدة بيانات شركة واحدة.

✅ ملكية عملك. المفتاح لك. ملفك الشخصي ومنشوراتك وقائمة متابعيك تنتقل معك إلى أي عميل يتحدث البروتوكول، ولا منصة تملك شبكة من تتحدث إليهم.

ما لا يحميه Nostr

❌ كل شيء عام افتراضياً. ما لم يكن رسالة مباشرة مشفّرة، يستطيع أي أحد قراءته، ويشمل ذلك كل ما يحيط بالمنشور: أي relays تستخدم، ومتى نشرت، ومن أي عميل. كل ذلك يمكن جمعه وتحليله من قِبل أي شخص يهتم.

❌ الاسم المستعار ليس إخفاءً للهوية. الـ npub يخفي اسمك، لا يخفيك أنت. الأنماط تفضح أصحابها، وكل relay تتصل به يرى عنوان IP الخاص بك.

---

فصل الهوية (3 دقائق)

لماذا هويات متعددة؟

معظم المبدعين ينتهون إلى الرغبة في هويتين على الأقل، والبدء بهويتين أسهل بكثير من محاولة شقّ هوية واحدة لاحقاً.

الأولى هي هويتك العامة. اسمك الحقيقي أو اسمك المهني، ذاك الذي يوضع على غلاف كتاب أو جدار معرض. تراكم سمعتها ببطء على مدى سنوات، فتتعامل معها بحذر.

الثانية باسم مستعار. لا شيء فيها يشير إلى اسمك القانوني. هناك تعيش الآراء نصف المكتملة، وحساب الشغف بعمل ما، والسجال السياسي الذي تفضّل ألا يقرأه عميل، والحساب المؤقت الذي تجرّب به تطبيقاً غير مألوف قبل أن تأتمنه على شيء ذي قيمة.

متى تفصل الهويات

أبقِ هويتين منفصلتين كلما كان أحد شقّي حياتك يُحرج الآخر: الشخصي مقابل المهني، الهوايات مقابل العمل، السياسة مقابل العملاء. افصل أيضاً حين تجرّب برمجيات لم تفحصها. وافصل حين يدخل المال في الأمر، لأن عنوان Lightning مربوطاً بحساب باسم مستعار قد يصله بهدوء باسمك الحقيقي.

يمكنك أن تعيش بحساب واحد إذا كان من حولك يعرفون كل شيء أصلاً، أو إذا كانت المخاطر منخفضة فعلاً، أو إذا كنت شخصية عامة وظيفتها كلها أن تُعرف.

إدارة مفاتيح متعددة

أبسط ترتيب هو عميل لكل هوية. Damus للحساب العام، Amethyst للخاص. لا يكلف شيئاً، ويتوقف عن العمل لحظة أن تريد الاثنين على الهاتف نفسه.

الأفضل تطبيق توقيع (signer)، وهو موضوع القسم التالي. Amber على Android يحمل عدة مفاتيح في آن واحد ويعطي كل عميل التوقيع الذي طلبه فقط.

أصرم النسخ هو أجهزة منفصلة: هاتف لهوية، وجهاز لوحي قديم أو حاسوب محمول للأخرى، بلا تداخل أبداً. مرهق في المداومة عليه، وهو الترتيب الوحيد الذي يصمد حين يُسرق جهاز.

---

تطبيقات التوقيع Signer (3 دقائق)

ما هي تطبيقات التوقيع؟

تطبيق التوقيع (signer) تطبيق صغير مهمته الوحيدة أن يحتفظ بالـ nsec ويوقّع نيابةً عنه. العميل الذي تنشر منه لا يستلم المفتاح أبداً. يسلّم العميلُ التطبيقَ مسودةً، فيعرض عليك ما يوشك أن يُوقَّع، فتوافق، ثم يعود الحدث الموقّع إلى العميل.

الفوائد

✅ عزل المفاتيح. الـ nsec يبقى داخل تطبيق واحد اخترته عن قصد. العميل الذي ثبّتّه بنزوة لا يراه أبداً، والعميل الذي يتبيّن أنه خبيث، أو الذي يُخترق لاحقاً، لا يستطيع تسليم شيء لم يحمله قط.

✅ لحظة تنظر فيها أولاً. كل طلب توقيع يظهر على الشاشة قبل أن يُنشر أي شيء. هذا يمسك المنشور الذي أُرسل بالخطأ، ويمسك عميلاً يحاول فعل شيء باسمك بهدوء.

✅ هوية واحدة، تطبيقات كثيرة. لأن المفتاح يعيش خارج العملاء، يمكنك استخدام الحساب نفسه في خمسة تطبيقات مختلفة دون نسخ الـ nsec في خمسة أماكن مختلفة.

تطبيقات التوقيع الشائعة

Amber (Android) هو ما تستخدمه إن كنت على Android. مفتوح المصدر، تطويره نشط، يحمل ما شئت من المفاتيح، وهو أقرب ما لدى Nostr إلى تطبيق توقيع معياري.

Primal (iOS) يعمل بطريقة مختلفة، والفرق مهم. لا يوجد Amber على iOS، لذا يحفظ Primal مفتاحك في سلسلة مفاتيح الجهاز، داخل العميل نفسه. ترتيب معقول على iOS، لكنه يمنحك عزلاً أضعف مما يمنحه تطبيق توقيع مخصص، لأن العميل وحامل المفتاح هما التطبيق نفسه. ما يمنح Primal مكاناً في هذا القسم هو ميزة Remote Login: يستطيع Primal أن يصرّح بنشاطك في تطبيقات Nostr المتوافقة الأخرى دون أن يعطيها المفتاح، فتحصل تلك التطبيقات على معاملة تطبيق التوقيع وإن لم يكن Primal نفسه كذلك.

خيارات أخرى:

• التوقيع عن بُعد عبر NIP-46، ويُسمى أحياناً Nostr Connect. هذه قدرة لا منتج. خدمات مثل nsec.app تنفّذها، وكذلك ميزة Remote Login في Primal.
• إضافات المتصفح. Alby وnos2x يوقّعان لعملاء الويب على الحاسوب.
• المحافظ المادية (متقدمة، ونادراً ما تُحتاج).

إعداد Amber

1. ثبّته من المكان الصحيح. يُوزَّع Amber عبر zap.store وF-Droid وصفحة إصدارات GitHub (وObtainium يبقيه محدَّثاً من هناك). وهو غير موجود على Google Play. أي شيء تجده هناك بهذا الاسم هو تطبيق شخص آخر، وإعطاء ذلك التطبيق الـ nsec الخاص بك هو الطريقة التي ينتهي بها حساب.
2. أنشئ أو استورد مفاتيحك داخل Amber، وانسخ كلمات الاسترداد احتياطياً قبل أن تمضي أبعد من ذلك.
3. افتح عميل Nostr واختر “Login with Amber” أو “external signer”، بدلاً من لصق مفتاح في أي مكان.
4. وافق على الطلب حين يظهر Amber. قد يسألك Android مرة واحدة عن التطبيق الذي يتولى هذه الطلبات. اختر Amber.

متى تستخدم تطبيقات التوقيع

احصل على تطبيق توقيع حالما يصبح الحساب مهماً لك: تنشر بانتظام، أو يتابعك الناس لأجله، أو صارت الـ zaps تصلك. والأمر نفسه إن كنت تتنقل بين عدة عملاء، لأن تطبيق التوقيع هو ما يجعل ذلك آمناً بدل أن يكون متهوراً.

يمكنك تأجيله ما دمت تستكشف فحسب. حساب مؤقت على عميل واحد لا يحتاج الخطوة الإضافية، والمبتدئ أمامه ما يكفي ليتعلمه. أضفه لاحقاً، حين يكبر الحساب ليصير شيئاً تكره فقدانه.

---

تدوير المفاتيح (2 دقيقة)

ما هو تدوير المفاتيح؟

الكلمة تعني هنا شيئاً غير ما تعنيه في مكان العمل. لا يوجد في Nostr تدوير داخل البروتوكول: لا سبيل إلى إحالة مفتاح إلى التقاعد ونقل هويتك إلى مفتاح جديد. زوج مفاتيحك هو هويتك. فـ”التدوير” يعني في الحقيقة بدء حساب جديد وإقناع الجميع بالانتقال معك، متابعاً بعد متابع.

متى تُدوّر

دوّر إذا ظننت أن الـ nsec قد أفلت منك. لصقته في موقع تبيّن أنه صفحة تصيّد، أو سُرق جهاز عليه المفتاح، أو صار شخص آخر ينشر باسمك. دوّر أيضاً حين تغادر خدمة وصائية، أي خدمة ولّدت مفتاحك واحتفظت به نيابةً عنك بدل أن تدعك تحمله بنفسك، لأنك لا تستطيع أن تعرف من عنده نسخة أخرى.

لا تُدوّر وفق جدول زمني. التدوير السنوي نصيحة جيدة لكلمة مرور في العمل وسيئة لمفتاح Nostr، لأنه لا يوجد مسار هجرة تحته. كل تدوير يكلفك تاريخ منشوراتك، ويبعثر متابعيك، ويكسر رابط NIP-05 الذي حفظه الآخرون. دوّر حين يقع خطب فعلي.

كيف تُدوّر

الخطوة 1: التحضير

1. أنشئ مفاتيح جديدة بأمان
2. انسخها احتياطياً بشكل صحيح
3. اختبر الحساب الجديد

الخطوة 2: الإعلان

1. انشر من الحساب القديم: “أنتقل إلى [npub الجديد]”
2. ثبّت المنشور
3. حدّث السيرة الذاتية بـ npub الجديد
4. انتظر بضعة أيام

الخطوة 3: النقل

1. تابع متابَعيك القدامى من الحساب الجديد
2. حدّث NIP-05 إذا كان لديك واحد
3. أخبر جهات الاتصال المقربة مباشرة، فهذه هي الخطوة التي تنقل الناس فعلاً

الخطوة 4: الإنهاء التدريجي

1. انشر من الحساب القديم دورياً: “انتقلت إلى [الجديد]”
2. احتفظ بالحساب القديم كإعادة توجيه
3. اهجر الحساب القديم في النهاية

---

تسرب البيانات الوصفية (5 دقائق)

ما البيانات الوصفية التي تتسرب؟

الناس يُعرفون. لا بأسمائهم، بل بكل شيء آخر.

أسلوب الكتابة يأتي أولاً، والمبدعون يستهينون به أكثر من غيرهم. مفرداتك، وعاداتك في الفواصل، وطريقتك في بدء الجملة، والرموز التعبيرية الثلاثة التي تستعملها فعلاً من بين الألف المتاح: من قرأ ما يكفي من عملك العلني سيشعر بالشبه في منشور مجهول، والبرمجيات ستجده أسرع مما يجده إنسان. هذا هو التسرب الذي لا تعالجه الحسابات المنفصلة وحدها.

ثم يأتي ما تقوله. شارع ذكرته عرضاً. حفلة ذهبت إليها. نكتة داخلية تخص محادثة جماعية واحدة. معلومة عن حرفتك لا يعرفها ربما إلا أربعون شخصاً في العالم. لا شيء منها يحدد هويتك وحده. لكن ثلاثة منها معاً قد تفعل.

التوقيت يدل الناس على مكان سكنك. انشر شهراً، فترسم ساعات نشاطك منطقة زمنية، ثم جدول عمل، وأحياناً موعد اصطحاب الأطفال من المدرسة.

الطبقة التقنية تتسرب بهدوء، دون أن تفعل شيئاً. كل relay تتصل به يرى عنوان IP الخاص بك. بعض العملاء يختمون أحداثهم بالبرنامج والإصدار اللذين أنتجاها. وعملاء الويب يكشفون أيضاً بصمة جهاز، أي ذلك المزيج الخاص من حجم الشاشة والخطوط واللغة والإعدادات الذي يجعل متصفحاً واحداً مميزاً عن غيره حتى دون تسجيل دخول.

الشبكة الاجتماعية أعلى الإشارات صوتاً. من تتابع، ومن يتابعك بالمقابل، ومن ترد على منشوراته خلال دقيقة. حسابان لهما الأصدقاء أنفسهم هما عادةً الشخص نفسه، ولا يلزم من التداخل إلا القليل حتى يكفّ ذلك عن كونه تخميناً.

الاستراتيجيات الوقائية

• اكتب بطريقة مختلفة في كل حساب. مفردات مختلفة، وإيقاع جمل مختلف، وعادات ترقيم مختلفة. يبدو ذلك مصطنعاً لأسبوع أو اثنين ثم يكفّ عن أن يبدو شيئاً.
• ابقَ غامضاً. لا تواريخ دقيقة، ولا تفاصيل فريدة، وعمّم الأماكن. “هذا الأسبوع” بدل الثلاثاء، و”مدينة في الشمال” بدل اسم الحي.
• أخفِ عنوان IP. شبكة VPN تمنع الـ relays من رؤية المكان الذي تتصل منه، وTor هو النسخة الأقوى حين تحتاجها. استخدم اتصالاً مختلفاً لكل هوية بدل الاتصال نفسه للاثنتين.
• تحقق مما يرسله عميلك. بعضهم يضيف معلومات الإصدار إلى الأحداث. والعملاء الذين يركزون على الخصوصية يقولون عنك أقل.
• أبقِ شبكتي المتابعة متباعدتين. أشخاص مختلفون، ودوائر مختلفة، وأقل ما تستطيعه من التواصل بين هويتيك أنت.

التلوث بين الهويات

معظم من تُكشف هوياتهم لا يهزمهم تحليل ذكي. هم من يربط الحسابين بنفسه، مرة واحدة، بالخطأ.

ما لا يجب فعله:

• ❌ ذكر حسابك الآخر
• ❌ نشر نفس المحتوى في وقت واحد
• ❌ متابعة نفس الأشخاص بالضبط
• ❌ استخدام نفس العبارات/المصطلحات العامية
• ❌ الرد على نفس المحادثات
• ❌ النشر من كلا الحسابين في نفس المحادثة

الممارسات الآمنة:

• ✅ محتوى منفصل تماماً
• ✅ مواضيع/اهتمامات مختلفة
• ✅ أوقات نشاط مختلفة
• ✅ لا إشارات متبادلة
• ✅ افترض أنهم يراقبون

---

قائمة مراجعة OPSEC (2 دقيقة)

أمان أساسي (الجميع)

• نسخ احتياطي للمفاتيح في 3+ أماكن
• استخدم مدير كلمات مرور
• لا تلتقط لقطة شاشة للمفاتيح أبداً
• لا تشارك nsec أبداً
• حافظ على تحديث برنامج العميل
• استخدم مفاتيح فريدة لكل هوية

أمان محسّن (المستخدمون النشطون)

• استخدم تطبيق توقيع (signer)
• أجهزة/حسابات منفصلة
• VPN/Tor للمنشورات الحساسة
• لا تدوّر المفاتيح إلا إذا اشتبهت في انكشافها، لا وفق التقويم أبداً
• راقب المنتحلين
• وثّق إجراءات الاسترداد

أمان أقصى (مخاطر عالية)

• توليد مفاتيح على جهاز معزول عن الشبكة (جهاز لا يتصل بالإنترنت أبداً)
• وحدات أمان مادية (شريحة أو جهاز مخصص يحمل المفتاح ولا يكشفه أبداً)
• خادم relay مستضاف ذاتياً
• اتصالات عبر Tor فقط
• طبقات هوية متعددة
• تدقيقات OPSEC منتظمة
• استشارة قانونية

دقّق نفسك

أسئلة تطرحها على نفسك:

1. إذا أراد شخص كشف هويتي، ماذا سيجد؟
2. هل هوياتي المتعددة منفصلة فعلاً؟
3. ماذا يحدث إذا سُرق هاتفي؟
4. من سأخبر إذا تعرضت للاختراق؟
5. ما خطة الاسترداد الخاصة بي؟

---

التخطيط للاسترداد (2 دقيقة)

إذا اشتبهت في اختراق

إجراءات فورية:

1. توقف عن النشر من الحساب المخترق
2. وثّق ما حدث
3. أنشئ مفاتيح جديدة على جهاز آمن
4. أعلن عن الاختراق (إذا كان الحساب عاماً)
5. دوّر إلى المفاتيح الجديدة
6. حقّق في كيفية حدوثه

بناء خطة استرداد

قبل أن تحتاجها:

1. جهات اتصال موثوقة - من يمكنه التحقق من هويتك الجديدة؟
2. إثبات الهوية - كيف ستثبت أنك أنت؟
3. تواصل خارج الشبكة - كيف تصل إلى المتابعين إذا اختُرق Nostr؟
4. التحكم في NIP-05 - هل يمكنك تحديث معرّفك؟
5. استراتيجية النسخ الاحتياطي - كيف يتم نسخ المفاتيح احتياطياً؟

قالب التواصل

انشر هذا من الحساب الجديد:

⚠️ تنبيه أمني ⚠️

حسابي القديم [npub القديم] تعرض للاختراق. أي شيء
يُنشر منه من اليوم فصاعداً ليس مني.

هذا حسابي الجديد: [npub الجديد]

يرجى إلغاء متابعة القديم ومتابعة هذا.

يمكنكم التأكد أنه أنا فعلاً من هنا: [موقعك، أو
حساباتك على منصات أخرى، أو اسألوني في مكان آخر].

ثم انشر المقابل من الحساب القديم، ذاكراً الـ npub الجديد، ما دمت تستطيع ذلك. وأعد توجيه معرّف NIP-05 على نطاق تملكه، فهذا هو الادعاء الوحيد الذي لا يستطيع مهاجم تزويره نيابةً عنك. وأخبر من يهمّك أمرهم عبر قناة خارج Nostr، فهذا ما يقنع الناس فعلاً.

شيء واحد لا تفعله: لا تحاول توقيع الإعلان “بكلا المفتاحين”. حدث Nostr يحمل توقيعاً واحداً بالضبط، ولن يسمح لك أي عميل بإرفاق ثانٍ، وبمجرد اختراق المفتاح القديم يستطيع المهاجم التوقيع به هو أيضاً، فلن يثبت ذلك شيئاً حتى لو كان ممكناً.

---

اختبر معرفتك

اختبار الخصوصية والأمان

فصل الهويات

السؤال 1 من 6

0/6 تمت الإجابة

لماذا تستخدم هويات Nostr منفصلة (شخصيات)؟

للحصول على متابعين أكثر

لفصل جوانب حياتك المختلفة وتقليل الربط بينها

لأن بروتوكول Nostr يتطلب ذلك

---

مرجع سريع

الحد الأدنى من الأمان:

• 3 نسخ احتياطية من المفاتيح
• مدير كلمات مرور
• لا تشارك nsec أبداً

أمان محسّن:

• استخدم تطبيق توقيع (signer)
• هويات منفصلة
• VPN للخصوصية
• تدقيقات منتظمة

أمان أقصى:

• مفاتيح معزولة عن الشبكة
• محافظ مادية
• Tor فقط
• OPSEC احترافي

تذكر: الأمان عادة تُبنى مع الوقت. ابدأ بالأساسيات وحسّنها لاحقًا.

---

تابع القراءة

• مفاتيحك، هويتك. الأساس الذي يقوم عليه كل قرار خصوصية على Nostr.
• NIP-17: الرسائل الخاصة المباشرة - دليل شامل. كيف تعمل الرسائل المشفرة فعلاً، وما الذي يظل يتسرب.