هل تعلم أن علامات التحقق الخضراء التي تراها في كل مكان، والتي تخبرك أن شيئًا ما «موثوق به» أو «تم التحقق منه»، قد لا تكون دائمًا موثوقة كما تبدو؟ كشفت دراسة عميقة حديثة حول كيفية عمل أنظمة الثقة الرقمية هذه عن حقيقة مفاجئة: الكثير منها ليس سوى الجهة المصدرة تخبرك أنها قامت بالتحقق من نفسها. وهذا ليس تحققًا حقيقيًا؛ إنه أشبه بالتأكيد الذاتي مع خطوات إضافية.

فكر في الأمر: إذا كانت شهادة موقعة من الجهة المصدرة، وتم التحقق منها بواسطة رمز الجهة المصدرة نفسه، ويعمل على خوادم الجهة المصدرة، ثم يعطيك «حكم التحقق» الخاص بالجهة المصدرة، فهل تكون قد تحققت من أي شيء حقًا؟ ليس بالضبط. أنت فقط طلبت من نفس الكيان مرتين. التحقق الحقيقي، وفقًا للخبراء، يعني أنه يجب أن تكون قادرًا على إعادة إنتاج حالة «تم التحقق منه» دون تشغيل رمز النظام الأصلي أو الاضطرار إلى الثقة بكلمته. إذا كانت الطريقة الوحيدة للتحقق من شهادة هي لصقها في صفحة التحقق الخاصة بالجهة المصدرة، فأنت لا تحصل على فحص مستقل.

هذه المسألة حاسمة لأمور مثل ضمان مصدر مكونات البرمجيات أو التحقق من الهويات الرقمية. قام خبير مؤخرًا باختبار هذه النظرية. أخذ أنظمة حقيقية لإثبات الأصل الرقمي - التي تتعقب 'شهادات الميلاد' و 'النسب' للوكلاء الرقميين - وبنى أدواته المستقلة، أو 'الغرباء'، للتحقق منها من الخارج. لم يثق بأي من ادعاءات النظام الأصلي أو يستخدم رمزه.

ماذا وجد؟ في إحدى الحالات، أنتج نظام شهادات ميلاد موقعة وحزمة تاريخية قابلة للتنزيل للوكلاء. ورغم أنه كان صريحًا بشكل جدير بالثناء بقوله: «أعد التحقق من كل شهادة بنفسك؛ هذه الكتلة استشارية فقط»، فإنه لم يقدم أي أداة مستقلة للقيام بذلك. كانت الطريقة الوحيدة للتحقق هي من خلال نظام الجهة المصدرة نفسه. هذا يعني أن علامة التحقق الخضراء التي تراها هي مجرد زينة ما لم تتمكن من تأكيدها بنفسك، بشكل مستقل. ما يعنيه هذا بالنسبة لك هو أن تتبنى شكوكًا صحية. اسأل دائمًا: هل يمكن تأكيد هذا التحقق بشكل مستقل من قبل طرف آخر غير الذي يقدم الادعاء؟ إذا لم يكن كذلك، فقد لا تكون علامة التحقق هذه موثوقة كما تعتقد.