عزل بروفايل المتصفح أم حساب نظام التشغيل؟ مقارنة حدود الحماية والبيانات

سؤال العزل يبدأ بتحديد ما تريد فصله

يستخدم فريق واحد عشرات البروفايلات داخل متصفح متعدد الحسابات، ثم يفترض أن كل بروفايل يعادل مستخدمًا مستقلًا في نظام التشغيل. هذا غير صحيح بصورة عامة. قد يفصل البروفايل الكوكيز والتخزين وتفضيلات الموقع، لكنه يعمل غالبًا ضمن صلاحيات حساب النظام الذي شغّل التطبيق. أما إنشاء حساب مستخدم منفصل في Windows أو Linux فيغيّر حدود الوصول إلى الملفات والإعدادات والعمليات وفق سياسات النظام. قبل اختيار الأسلوب، اكتب ما تريد عزله: جلسات المواقع أم ملفات العمل أم صلاحيات البرامج أم أثر انهيار التطبيق. كل هدف يحتاج اختبارًا مختلفًا.

ثلاث طبقات لا ينبغي خلطها

الطبقة الأولى هي هوية الموقع: كوكيز و Local Storage و IndexedDB وبيانات المصادقة. الطبقة الثانية هي عملية المتصفح وموارده: تبويبات وعمليات فرعية وإضافات واتصالات. الطبقة الثالثة هي هوية نظام التشغيل وحقوق الوصول إلى الملفات والأجهزة. قد يفصل التطبيق الطبقة الأولى دون أن يفصل الثانية أو الثالثة بالكامل. والعكس صحيح أيضًا: مستخدمان مختلفان في النظام قد يمران عبر عنوان IP واحد. لا تستخدم عبارة «عزل كامل» دون تحديد الطبقات التي جرى اختبارها، وإصدار المتصفح ونظام التشغيل وطريقة تشغيله.

ما الذي يقدمه بروفايل متصفح مستقل؟

يمكن للبروفايل المصمم جيدًا أن يحتفظ بمخزن كوكيز مستقل وبيانات موقع منفصلة وإعدادات شبكة مخصصة، فيقل احتمال أن يرى موقع بيانات جلسة موقع آخر. لكن تفاصيل التنفيذ تختلف بين المتصفحات؛ بعض الإضافات أو خدمات المزامنة أو مسارات التنزيل قد تتشارك إعدادات على مستوى التطبيق. لا تفترض أن مجرد اختلاف الاسم الظاهر للبروفايل يضمن اختلاف قسم التخزين. افحص Partition أو User Data Directory الفعلي، وراجع ما إذا كانت البيانات تُكتب على القرص أو تُمسح عند الإغلاق. التوثيق أهم من شكل الواجهة.

ماذا يضيف حساب نظام تشغيل آخر؟

قد يوفر حساب Windows أو Linux مجلدًا منزليًا مستقلًا وأذونات ملفات مختلفة ومخزن إعدادات خاصًا، ويمنع الوصول العادي إلى ملفات مستخدم آخر إذا ضُبطت الأذونات بصورة صحيحة. لكنه لا يعني تلقائيًا عزل الشبكة أو النواة أو الأجهزة أو كل الخدمات المشتركة. قد يملك مسؤول النظام القدرة على الوصول إلى بيانات المستخدمين، وقد تتشارك الحسابات خدمات النظام أو إعدادات الشبكة. لا تعادل بين حساب مستخدم عادي وحاوية أو آلة افتراضية؛ لكل تقنية حدود ثقة ومخاطر مختلفة.

الكوكيز ليست المقياس الوحيد

اختبر Local Storage و Session Storage و IndexedDB و Cache Storage و Service Workers، ثم أضف اختبارًا لإشعارات الموقع والأذونات وتاريخ التنزيلات إن كان ذلك جزءًا من المنتج. استخدم قيمًا تجريبية فريدة لكل بروفايل، ثم حاول قراءتها من البروفايل الآخر. لا تستخدم بيانات دخول حقيقية لاختبار التسرب. بعد إعادة تشغيل المتصفح أعد الفحص؛ فقد تكون العزلة صحيحة أثناء الجلسة لكنها تفشل عند استعادة حالة محفوظة. سجّل النتائج لكل واجهة تخزين بدل الاكتفاء بعبارة «لا توجد كوكيز مشتركة».

الملفات ومسارات التنزيل

يمكن أن يكون لكل بروفايل مجلد بيانات مستقل، بينما تُحفظ التنزيلات افتراضيًا في مجلد Downloads واحد لحساب النظام. هذا ليس بالضرورة خطأ، لكنه يغير توقعات المستخدم. اختبر مسار تنزيل ملف تجريبي وحقوق قراءته وتعديله من البروفايلات الأخرى ومن حساب نظام ثانٍ. إذا كنت تحتاج فصل ملفات العملاء، فحدد مجلدات مخصصة وأذونات مناسبة، ثم اختبرها. لا تعتمد على إخفاء زر في الواجهة كوسيلة لحماية ملف موجود في مسار مشترك يمكن الوصول إليه من النظام.

الإضافات والعمليات المشتركة

قد تعمل إضافة متصفح في عدة بروفايلات، وقد تختلف طريقة فصل بياناتها تبعًا لبنية المتصفح وتنفيذ الإضافة. اختبر الأذونات و chrome.storage والرسائل الخلفية والعمليات المرتبطة، ولا تفترض أن كل الإضافات تتصرف بالطريقة نفسها. إذا تعطل Renderer في بروفايل، راقب أثره على الآخرين؛ وإذا تعطل التطبيق الرئيسي فقد تتأثر جميع البروفايلات رغم استقلال التخزين. حساب نظام منفصل قد يحد بعض التأثيرات لكنه لا يمنع الأعطال المشتركة في مكونات النظام. افصل اختبار سلامة البيانات عن اختبار تحمل الأعطال.

الشبكة وعنوان الخروج

لا يجعل حساب النظام المنفصل عنوان IP مختلفًا تلقائيًا، ولا يضمن بروفايل المتصفح بروكسيًا مختلفًا ما لم يضبطه التطبيق ويطبقه على جميع أنواع الطلبات المقصودة. افحص HTTP و HTTPS و DNS و WebSockets وحركة الإضافات وفق الحاجة، مع فهم أن بعض البروتوكولات قد تتبع مسارات خاصة. لا تستنتج خصوصية الشبكة من نتيجة صفحة واحدة تعرض IP. وثق نطاق الاختبار وحدود دعم البروكسي في التطبيق، وتحقق من سلوك الاتصال عند فشل البروكسي حتى لا يتبدل المسار دون أن يلاحظ المشغل.

أذونات نظام التشغيل وحدود المسؤول

إذا كان البرنامج يعمل بامتيازات مرتفعة، فقد يتجاوز الفصل المتوقع بين حسابات عادية. وإذا كانت المجلدات تمنح Everyone أو مجموعة واسعة صلاحية الكتابة، فلن ينقذك مجرد اختلاف أسماء المستخدمين. افحص ACL على Windows أو مالك الملف وبتات الأذونات و ACL على Linux، لكن تجنب تعديلها عشوائيًا في بيئة الإنتاج. اختبر بحسابين غير إداريين على بيانات تجريبية، ثم وثق ما يمكن قراءته وكتابته. لا تعرض أسرار العملاء ضمن تقرير الأذونات؛ يكفي مسار اختبار مصطنع ومعرّف نتيجة.

المقارنة لا تعني اختيارًا واحدًا دائمًا

قد يكون بروفايل مستقل كافيًا لإدارة جلسات متعددة لمستخدم واحد، بينما تتطلب بيانات فريقين أو عميلين منفصلين حسابات نظام أو أجهزة أو بيئات تنفيذ مختلفة. وقد يحتاج فريق إلى الجمع بين بروفايلات متعددة داخل حساب نظام مخصص لكل مشروع. القرار يعتمد على نموذج التهديد والموارد وسهولة الإدارة وضرورة الفصل القانوني أو التعاقدي. لا تعد المستخدم بعزل لا يمكن إثباته. إذا كان المطلوب مقاومة اختراق للنظام نفسه، فإن حساب مستخدم آخر لا يمثل ضمانًا مطلقًا.

مصفوفة اختبارات قبول صغيرة

أنشئ بروفايلين A و B وحسابي نظام U1 و U2 في بيئة اختبار. خزّن قيمة تجريبية في موقع داخل A، ونزّل ملفًا في مجلد مخصص، وثبت إضافة اختبار ذات أذونات معلومة. تحقق من عدم ظهور قيمة التخزين في B، ثم افحص الملف من U2 وفق سياسة الأذونات. أعد تشغيل التطبيق والجهاز وكرر. اختبر فشل عملية Renderer وإعادة الفتح، ثم راجع السجلات. لا تحكم على كل أنواع العزل من اختبار واحد، ولا تستخدم ملفات أو جلسات إنتاجية في سيناريو فشل متعمد.

كيف تقرأ النتائج دون مبالغة؟

إذا لم يظهر Local Storage بين A و B، فهذا دليل على فصل هذا المخزن في النسخة المختبرة، وليس برهانًا على فصل كل واجهات المتصفح أو نظام التشغيل. وإذا استطاع U2 قراءة ملف من مجلد مشترك، فقد يكون ذلك سلوكًا مقصودًا لا ثغرة. يجب مقارنة النتيجة بالسياسة المكتوبة. سجّل «متوقع/فعلي/دليل/خطورة/إجراء» لكل حالة. عند العثور على اختلاف، تحقق من طريقة إعداد الاختبار قبل اتهام المنتج. نتائج العزل مرتبطة بالإصدار والإعدادات وقد تتغير بعد تحديث المتصفح.

التكلفة التشغيلية جزء من القرار

تتطلب الحسابات المنفصلة إدارة ملفات وتحديثات وأذونات وربما جلسات سطح مكتب متعددة، بينما تسهل البروفايلات التبديل السريع وإدارة العمل من نافذة واحدة. في المقابل قد تؤدي مشاركة عملية رئيسية إلى نطاق فشل أوسع. قس استهلاك الذاكرة والتخزين ووقت بدء التشغيل وصعوبة النسخ الاحتياطي والاستعادة. لا تختار أقوى فصل نظريًا إذا كان المستخدمون سيعطلونه بسبب التعقيد؛ صمم آلية واضحة تلبي المتطلبات الواقعية. وراجع إمكانية استعادة البيانات دون دمج ملفات تعريف من مصادر مختلفة بالخطأ.

مصادر تقنية للرجوع

تشرح وثائق Playwright فكرة Browser Context المعزول للاختبارات: https://playwright.dev/docs/browser-contexts . ولمفاهيم مساحات الأسماء في Linux راجع https://man7.org/linux/man-pages/man7/namespaces.7.html ، مع الانتباه إلى أن حساب المستخدم ليس Namespace بذاته. وللتخزين في إضافات Chrome راجع https://developer.chrome.com/docs/extensions/reference/api/storage . وعلى إيجي تاج اقرأ https://egytag.com/ar/articles/ما-الذي-يعزل-البروفايلات-فعلا-في-متصفح-متعدد-الحسابات-topic-20261016-01 . المراجع تشرح الآليات ولا تثبت أن تطبيقًا بعينه يطبقها كلها؛ يلزم اختبار إصدار التطبيق الفعلي.

قرار عملي من خمس خطوات

اكتب أولًا أنواع البيانات التي تريد فصلها، ثم حدد من يجب أن يمتلك حق الوصول إليها. ثانيًا اختر الحد الأدنى من آليات العزل الذي يحقق تلك السياسة. ثالثًا نفذ اختبارات تخزين وملفات وشبكة وإضافات وفشل. رابعًا وثق النتائج وإصدار النظام والمتصفح، ولا تنقل نتائج جهاز إلى كل الأجهزة. خامسًا راجع الاختبار بعد تحديثات كبيرة أو تغيير إعدادات التشغيل. إذا بقيت فجوة غير مقبولة، انتقل إلى حد فصل أعلى مع تقدير تكلفته، بدل الاكتفاء بتسمية بروفايل جديد أو تغيير لونه.