https://arpokrat.com/ar/blog/tags/macos/ Recent content in MacOS on Arpokrat Hugo -- gohugo.ioarMon, 22 Jun 2026 00:00:00 +0000 https://arpokrat.com/ar/blog/os-comparison-security-privacy-windows-macos-linux-qubes/ Mon, 22 Jun 2026 00:00:00 +0000 https://arpokrat.com/ar/blog/os-comparison-security-privacy-windows-macos-linux-qubes/ <p>اختيار نظام التشغيل ليس مجرد مسألة تفضيل للواجهة أو توافق البرامج. إنه أيضاً، وبشكل متزايد، قرار يتعلق بالأمان والخصوصية. فكل نظام تشغيل يجمع البيانات بطريقة مختلفة، ويكشف عن أسطح هجوم متباينة، ويمنح المستخدم مستوى متفاوتاً من التحكم. تحلّل هذه المقارنة الأنظمة الرئيسية في السوق من هذه الزاوية حصراً، من الأكثر انتشاراً إلى الأكثر تخصصاً.</p> <h2 id="المعيار-المحوري-من-يتحكم-في-نظامك">المعيار المحوري: من يتحكم في نظامك؟</h2> <p>قبل الخوض في تفاصيل كل نظام، ثمة مبدأ هيكلي جوهري: تعتمد أمان نظام التشغيل اعتماداً جذرياً على مَن يمتلك الشيفرة المصدرية وما هي القرارات المعمارية التي اتُّخذت في مرحلة التصميم. فنظام التشغيل المملوك ذو الشيفرة المغلقة (Windows وmacOS) يُفوِّض هذه الثقة إلى ناشره. أما نظام المصدر المفتوح فيُفوِّض هذه الثقة إلى المجتمع الذي يُراجع الشيفرة. ونظام التشغيل المصمَّم للأمان عبر التجزئة (Qubes OS) ينطلق من مبدأ أن أيَّ مكوِّن في النظام لا يجب الوثوق به بالكامل.</p> <hr> <h2 id="windows-11">Windows 11</h2> <h3 id="جمع-البيانات-والقياس-عن-بعد">جمع البيانات والقياس عن بُعد</h3> <p>Windows 11 هو نظام سطح المكتب الأكثر استخداماً في العالم، وهو أيضاً من أكثر الأنظمة جمعاً للبيانات بصورة افتراضية. تُقسِّم Microsoft قياسها عن بُعد إلى فئتين رسميتين:</p> <p><strong>البيانات المطلوبة</strong> (غير قابلة للتعطيل في إصدارَي Home وPro): تكوين الأجهزة، ومعرِّفات الأجهزة، وتقارير الأخطاء والاستقرار، وبيانات التحديثات والمشغِّلات. تُرسَل هذه البيانات إلى Microsoft بصرف النظر عن تفضيلات المستخدم.</p> <p><strong>البيانات الاختيارية</strong>: سلوك الاستخدام، والتفاعلات مع التطبيقات، وبيانات التخصيص. قابلة للتعطيل في الإعدادات، لكنها تُعاد تفعيلها تلقائياً عند بعض التحديثات الكبرى.</p> <p>قدَّم Windows 11 24H2 طبقات جمع جديدة متعددة مرتبطة بالذكاء الاصطناعي:</p> <ul> <li><strong>Windows Recall</strong>: يلتقط صورة للشاشة كل خمس ثوانٍ لإنشاء جدول زمني قابل للبحث لكل ما فعلته على جهازك. قابل للتعطيل، لكنه مُفعَّل افتراضياً ومرتبط بصلاحيات وصول قابلة للتوسيع من قِبل تطبيقات أخرى</li> <li><strong>Copilot</strong>: كل طلب يُرسَل إلى خوادم Microsoft، بما يشمل لقطات الشاشة والنص المُحدَّد وسياق التطبيقات المفتوحة</li> <li><strong>Defender Cloud Protection</strong>: يُرسِل تجزئات الملفات المشبوهة والبيانات السلوكية إلى سحابة Microsoft للتحليل</li> </ul> <p>الخلاصة التي وثَّقتها مصادر تقنية مستقلة عديدة لا لبس فيها: يستحيل تعطيل القياس عن بُعد في Windows 11 بصورة كاملة على إصدارَي Home وPro. السبيل الوحيد لذلك هو استخدام إصدار Enterprise أو Education، وتطبيق سياسات مجموعة محددة، أو اللجوء إلى أدوات خارجية كـ O&amp;O ShutUp10++ أو WPD، مع ما قد يترتب على ذلك من مخاطر عدم الاستقرار.</p> <h3 id="سطح-الهجوم-والأمان">سطح الهجوم والأمان</h3> <p>Windows 11 هو هدف الغالبية العظمى من البرمجيات الخبيثة وبرامج الفدية والاستغلالات المتاحة في العالم، بما يتناسب مع حصته في السوق. قدَّمت Microsoft آليات أمان مهمة (TPM 2.0 إلزامي، وSecure Boot، وVBS، وCredential Guard)، لكنها تعمل في نموذج أحادي البنية: يؤثر اختراق النواة أو خدمة نظام ذات امتيازات على البيئة بأكملها.</p> <p><strong>حكم الأمان/الخصوصية:</strong> النظام الأكثر تعرضاً في هذه المقارنة، مع قياس عن بُعد لا يمكن تعطيله بالكامل، ونموذج ثقة مُفوَّض كلياً إلى Microsoft والولاية القضائية الأمريكية.</p> <hr> <h2 id="macos">macOS</h2> <h3 id="جمع-البيانات-والقياس-عن-بعد-1">جمع البيانات والقياس عن بُعد</h3> <p>بنت Apple جزءاً من صورتها التسويقية على الخصوصية. غير أن الواقع التقني أكثر دقة من ذلك.</p> <p>يجمع macOS بيانات أقل بكثير من Windows افتراضياً، لكن الجمع لا يزال حقيقياً وغير قابل للتعطيل جزئياً:</p> <ul> <li><strong>Gatekeeper والتحقق من OCSP</strong>: عند كل فتح لتطبيق، يجري macOS تحققاً إلكترونياً مع خوادم Apple للتأكد من أن التطبيق لم يُلغَ. يُرسِل هذا الطلب معلومات عن التطبيق المفتوح وعنوان IP الجهاز. لا يتيح أي إعداد أصلي تعطيل هذه التحققات دون الإخلال بسلسلة الأمان</li> <li><strong>تحليلات macOS</strong>: جمع بيانات عن استخدام النظام، قابل للتعطيل من تفضيلات النظام &gt; الخصوصية &gt; التحليلات</li> <li><strong>قياس عن بُعد لتطبيقات Apple</strong>: تحتفظ Maps وSiri وApp Store وسائر تطبيقات Apple المدمجة بجمع خاص بها، مع معرِّفات دوَّارة، بصرف النظر عن إعداد تحليلات النظام</li> </ul> <p>للمزيد، يوصي خبراء الأمان باستخدام جدار حماية للتطبيقات (Little Snitch أو LuLu، مفتوح المصدر ومجاني) لمراقبة الاتصالات الصادرة وحجبها تطبيقاً بتطبيق.</p> <h3 id="سطح-الهجوم-والأمان-1">سطح الهجوم والأمان</h3> <p>يستفيد macOS من عدة آليات أمان متينة: System Integrity Protection (SIP) التي تحمي ملفات النظام للقراءة فحسب، وKernel Integrity Protection على المستوى المادي في رقائق Apple Silicon، وعزل تطبيقات App Store في صناديق حماية، وSecure Enclave في الأجهزة الحديثة. وتُشكِّل العلاقة مع معرِّف Apple ID المسار الرئيسي لجمع البيانات الشخصية.</p> <p><strong>حكم الأمان/الخصوصية:</strong> أفضل من Windows في القياس عن بُعد الافتراضي، لكنه لا يزال خاضعاً للتحققات من OCSP غير القابلة للتعطيل، والولاية القضائية الأمريكية، والنموذج المغلق لـ Apple. يصعب التدقيق فيه بصورة مستقلة.</p> <hr> <h2 id="linux-التوزيعات-العامة">Linux (التوزيعات العامة)</h2> <p>Linux ليس نظام تشغيل واحداً بل نواة تُبنى فوقها توزيعات متباينة جداً. من منظور الأمان والخصوصية، تتقاسم أساساً مشتركاً لكنها تتباين في عدة نقاط.</p> <p><strong>Ubuntu</strong> هي التوزيعة الأكثر شعبية للمبتدئين. أثارت في عام 2012 جدلاً بإرسال عمليات البحث المحلية إلى خوادم Amazon، وهو سلوك أُلغي منذ ذلك الحين. تحتفظ Ubuntu بجمع بيانات الاستخدام الخاصة بها (whoopsie وubuntu-report)، قابل للتعطيل، وتدمج مستودعات Snap الخاضعة لسيطرة Canonical Ltd.</p> <p><strong>Debian</strong> هي الأساس الذي بُنيت عليه Ubuntu، دون الطبقات المُضافة من Canonical. تُديرها مجموعة مجتمعية غير ربحية بالتزام صارم بالبرمجيات الحرة، ولا تجمع أي قياس عن بُعد افتراضياً. تُفضَّل سياسة تحديثاتها المحافظة عموماً من حيث تقليص سطح الهجوم.</p> <p><strong>Fedora</strong>، التي ترعاها Red Hat (فرع IBM)، متطورة تقنياً مع دورة تحديثات سريعة. لا قياس عن بُعد افتراضياً، غير أن العلاقة مع Red Hat/IBM تُدخِل تبعية مؤسسية جديرة بالملاحظة.</p> <p><strong>Linux Mint</strong>، المشتقة من Ubuntu، مصممة للمستخدمين القادمين من Windows. أزالت أكثر مكونات Ubuntu إثارة للجدل (Snap غائب افتراضياً) ولا تُدخِل قياساً عن بُعد خاصاً بها.</p> <p><strong>Arch Linux</strong> تستهدف المستخدمين المتقدمين بفلسفة تقشفية: يُثبِّت المستخدم ما يحتاج إليه فحسب. لا قياس عن بُعد، وتحديثات متواصلة (rolling release)، وحرية تخصيص تامة.</p> <h3 id="ما-يقدمه-linux-بصورة-جوهرية">ما يُقدِّمه Linux بصورة جوهرية</h3> <ul> <li><strong>شيفرة مصدرية مفتوحة وقابلة للتدقيق</strong>: يمكن لأي باحث أمني فحص شيفرة النواة والمكونات الرئيسية</li> <li><strong>غياب القياس عن بُعد المفروض</strong>: لا توزيعة رئيسية تُجبر على جمع بيانات غير قابل للتعطيل</li> <li><strong>نموذج صلاحيات أكثر صرامة</strong> افتراضياً: استخدام حساب root منفصل عن الأنشطة اليومية</li> <li><strong>سطح هجوم مُقلَّص</strong>: Linux أقل استهدافاً بالبرمجيات الخبيثة الجماعية</li> </ul> <p><strong>حكم الأمان/الخصوصية:</strong> متفوق بوضوح على Windows وmacOS في جمع البيانات. لا توزيعة عامة تحمي من انتشار اختراق أحد التطبيقات إلى النظام بأكمله.</p> <hr> <h2 id="tails-os">Tails OS</h2> <h3 id="الفلسفة-النسيان-كحماية">الفلسفة: النسيان كحماية</h3> <p>Tails، اختصار لـ <em>The Amnesic Incognito Live System</em>، نظام تشغيل مبني على Debian اندمج مع Tor Project عام 2024. فلسفته تختلف جذرياً عن سائر الأنظمة: بدلاً من محاولة تأمين بيئة دائمة، يُلغي أي استمرارية افتراضياً. <strong>Tails لا يوجد إلا طوال مدة الجلسة.</strong></p> <h3 id="البنية-التقنية">البنية التقنية</h3> <p>يعمل Tails بالكامل من مفتاح USB (8 غيغابايت كحد أدنى) ويعمل كلياً في الذاكرة العشوائية RAM. عند إيقاف تشغيله، لا تبقى أي أثر على الجهاز المضيف: لا ملفات مؤقتة، ولا سجل، ولا بيانات اعتماد، ولا أثر جنائي على القرص الصلب للحاسوب المُستخدَم. لا يهم إن كان هذا الحاسوب مخترقاً برمجياً: Tails لا يكتب أبداً على قرصه.</p> <p><strong>Tor افتراضياً وبلا استثناء</strong></p> <p>يُوجَّه كل حركة مرور شبكة Tails بصورة منهجية عبر شبكة Tor. إذا حاول تطبيق إنشاء اتصال مباشر متجاوزاً Tor، يحجبه Tails. لا يمكن استخدام Tails للتصفح دون Tor، حتى عن طريق الخطأ.</p> <p><strong>التخزين الدائم المشفَّر (اختياري)</strong></p> <p>افتراضياً، ينسى Tails كل شيء عند كل إيقاف تشغيل. للمستخدمين الذين يحتاجون إلى الاحتفاظ ببعض البيانات بين الجلسات، يُوفِّر Tails <strong>Persistent Storage</strong>: وحدة تخزين مشفَّرة (LUKS) تُنشأ على مفتاح USB نفسه، محمية بعبارة مرور. يختار المستخدم تحديداً ما يُخزَّن فيها: ملفات معينة، وإعدادات تطبيقات، ومفاتيح PGP، وغير ذلك. هذا التخزين الدائم لا يُغيِّر الطابع النسياني لـ Tails تجاه الجهاز المضيف، بل يؤثر فقط على ما يُحفظ على مفتاح USB بين جلستين.</p> <p><strong>الأدوات المثبَّتة مسبقاً</strong></p> <p>يأتي Tails مزوَّداً بمجموعة أدوات مُهيَّأة مسبقاً: Tor Browser، وعميل بريد مشفَّر، وأداة تشفير ملفات (Kleopatra/GnuPG)، وعملاء مراسلة آمنة، وLibreOffice لمهام المكتب. لا حاجة لتثبيت أي برنامج إضافي للاستخدام اليومي عالي الأمان.</p> <p><strong>ملاحظة تقنية 2026:</strong> أضافت Tails 7.7 إشعاراً بشأن شهادات Secure Boot المنتهية الصلاحية، إذ بدأت مفاتيح Microsoft الصادرة عام 2011 تنتهي صلاحيتها في يونيو 2026. المستخدمون الذين لم يُحدِّثوا البرنامج الثابت UEFI لديهم قد يعجزون عن تشغيل Tails على بعض الأجهزة.</p> <h3 id="ما-يحمي-منه-tails-وما-لا-يحمي-منه">ما يحمي منه Tails وما لا يحمي منه</h3> <table> <thead> <tr> <th>التهديد</th> <th>حماية Tails</th> </tr> </thead> <tbody> <tr> <td>الفحص الجنائي للقرص المضيف بعد المصادرة</td> <td>كاملة: لا يُمسُّ القرص المضيف أبداً</td> </tr> <tr> <td>مراقبة الشبكة (IP والمواقع المزارة)</td> <td>قوية عبر Tor، لكنها تعتمد على متانة Tor</td> </tr> <tr> <td>البرمجيات الخبيثة الدائمة على الجهاز المضيف</td> <td>متجاوزة: Tails لا يستخدم النظام المثبَّت</td> </tr> <tr> <td>برمجيات خبيثة في BIOS/UEFI (البرنامج الثابت المخترق)</td> <td>معدومة: لا يستطيع Tails الحماية من برنامج الجهاز المضيف الثابت</td> </tr> <tr> <td>الخطأ البشري (الاتصال بحساب شخصي)</td> <td>معدومة: الاتصال بـ Gmail تحت Tails يُزيل إخفاء هوية الجلسة</td> </tr> <tr> <td>اختراق أحد البرامج خلال الجلسة</td> <td>مقصورة على الجلسة الجارية، تُتلف عند الإيقاف</td> </tr> </tbody> </table> <h3 id="القيود-الحقيقية">القيود الحقيقية</h3> <ul> <li>Tails لا يصلح للاستخدام اليومي: غياب الاستمرارية يستلزم إعادة تهيئة البيئة عند كل تشغيل</li> <li>برنامج خبيث من نوع BIOS أو البرنامج الثابت (كزرعة على مستوى UEFI) يمكنه نظرياً اختراق جلسة Tails، لأن Tails لا يتحكم في طبقة البرنامج الثابت للجهاز الذي يعمل عليه</li> <li>الاتصال بحساب شخصي (بريد إلكتروني، شبكة اجتماعية) يُلغي إخفاء هوية الجلسة بصرف النظر عن Tor</li> </ul> <h3 id="لمن">لمن؟</h3> <p>الصحفيون العاملون مع مصادر عبر SecureDrop، والناشطون الخاضعون للمراقبة في الأنظمة القمعية، وكل من يحتاج إلى جلسة لمرة واحدة عالية الحساسية على أجهزة غير خاضعة لسيطرته. استخدمه Glenn Greenwald وLaura Poitras لمعالجة وثائق Snowden، وتوصي به EFF ومؤسسة حرية الصحافة ومشروع Tor.</p> <p><strong>الحكم:</strong> أداة الاختيار الأول للجلسات اللحظية عالية الحساسية. ليس نظام تشغيل رئيسياً للاستخدام اليومي.</p> <hr> <h2 id="whonix">Whonix</h2> <h3 id="الفلسفة-الإخفاء-الهيكلي-عبر-العزل-الشبكي">الفلسفة: الإخفاء الهيكلي عبر العزل الشبكي</h3> <p>يُجيب Whonix على سؤال مختلف عن Tails: بدلاً من مسح كل أثر بعد الجلسة، يضمن أن برنامجاً خبيثاً يعمل في بيئة العمل <strong>لا يستطيع هيكلياً معرفة عنوان IP الحقيقي للمستخدم</strong>، حتى لو امتلك صلاحيات root على الجهاز الافتراضي للعمل.</p> <p>Whonix مبني على Debian (عبر KickSecure، إصدار مُقوَّى من Debian طوَّره الفريق نفسه) ويعمل داخل محاكي افتراضي من النوع 2 (VirtualBox أو KVM) على أي نظام تشغيل مضيف، أو بصورة أصلية في Qubes OS كنوع 1.</p> <h3 id="البنية-ذات-الجهازين-الافتراضيين">البنية ذات الجهازَين الافتراضيَّين</h3> <p>المبدأ المحوري لـ Whonix هو <strong>الفصل الصارم بين طبقة الشبكة وطبقة التطبيقات</strong>، مُنفَّذ عبر جهازين افتراضيين مستقلين:</p> <p><strong>Whonix-Gateway</strong> هو الجهاز الافتراضي الأول. يُشغِّل عفريت Tor ويعمل حصراً كبوابة شبكية. هو الجهاز الافتراضي الوحيد الذي يملك إمكانية الوصول إلى الإنترنت. لا يحتوي على أي تطبيقات مستخدم. دوره الوحيد اعتراض كل حركة المرور الشبكية الواردة والصادرة وإجبارها على العبور عبر Tor.</p> <p><strong>Whonix-Workstation</strong> هو الجهاز الافتراضي الثاني. هو بيئة العمل: المتصفح، والمراسلة، ومعالجة الملفات، والتطوير. يتصل بالإنترنت فقط عبر الشبكة الافتراضية الداخلية التي تُشير إلى Whonix-Gateway. لا يملك أي وصول مباشر للإنترنت، ولا أي قدرة اتصال تتجاوز البوابة.</p> <p>إليك ما يحدث عند طلب شبكي من الـ Workstation:</p> <ol> <li>يُصدر التطبيق طلب شبكي</li> <li>تُرسِله الـ Workstation عبر واجهتها الشبكية الداخلية إلى البوابة</li> <li>تعترض البوابة الطلب وتُعيد توجيهه عبر Tor (ثلاثة مرحِّلات متتالية)</li> <li>يعود الرد بالمسار نفسه في الاتجاه المعاكس</li> <li>تتلقى الـ Workstation الرد دون أن تعلم قط بعنوان IP الخروج الحقيقي</li> </ol> <p><strong>الضمان الجوهري</strong>: حتى لو اخترق برنامج خبيث الـ Workstation بصلاحيات root، لا يستطيع معرفة عنوان IP الحقيقي للمستخدم، لأن الـ Workstation نفسها لا تملك إمكانية الوصول إليه قط. لا ترى الـ Workstation إلا عنوان IP الداخلي للبوابة.</p> <h3 id="آليات-الأمان-الإضافية">آليات الأمان الإضافية</h3> <p><strong>عزل التدفق (Stream isolation)</strong>: يستخدم Whonix دوائر Tor مستقلة لتطبيقات مختلفة (المتصفح لا يستخدم الدائرة نفسها كعميل البريد الإلكتروني، وهكذا)، مما يمنع الربط بين حركة مرور أنشطة مختلفة.</p> <p><strong>تعشية ساعة التشغيل (Boot clock randomization)</strong>: تُزاح ساعة نظام الـ Workstation عشوائياً بقدر طفيف عند كل تشغيل لمنع هجمات التوقيت المبنية على الوقت الدقيق للنظام.</p> <p><strong>sdwdate</strong>: يستخدم Whonix عفريت مزامنة وقت خاصاً به (sdwdate) يستقي الوقت عبر Tor من خوادم onion، بدلاً من NTP التقليدي الذي قد يُسرِّب عنوان IP.</p> <p><strong>AppArmor</strong>: تُقوِّي ملفات AppArmor تحجير التطبيقات الحرجة كـ Tor Browser على مستوى النظام.</p> <p><strong>أجهزة افتراضية يمكن التخلص منها</strong>: تدعم Whonix محطات عمل يمكن التخلص منها (<em>Whonix-Workstation DispVM</em> في Qubes-Whonix) للمهام اللحظية دون استمرارية، بأسلوب مشابه لنهج Tails لكن ضمن بيئة دائمة في الأصل.</p> <h3 id="أوضاع-النشر-الثلاثة">أوضاع النشر الثلاثة</h3> <p><strong>Whonix على VirtualBox أو KVM (النوع 2)</strong>: الوضع الأكثر سهولة. يعمل الجهازان الافتراضيان على نظام تشغيل مضيف قائم (Windows أو Linux أو macOS). عملي، لكنه يُدخِل طبقة ثقة إضافية في نظام التشغيل المضيف: إذا اختُرق المضيف، يمكن تجاوز حماية Whonix.</p> <p><strong>Qubes-Whonix (النوع 1، الموصى به)</strong>: يُدمَج Whonix بصورة أصلية في Qubes OS كقوالب. تصبح البوابة ProxyVM (sys-whonix) وتصبح الـ Workstation AppQube (anon-whonix). هذا هو التهيئة الأمتن لأن العزل يعتمد على محاكي Xen bare-metal بدلاً من محاكي من النوع 2 يعمل على نظام ت</p>