يمنحك نظام لينوكس جهاز كمبيوتر تتحكم فيه بنفسك. أنت من يختار التوزيعة، ولا يجبرك شيء على تسجيل الدخول إلى حساب شركة مصنعة، ويمكن لأي شخص قراءة الرمز المصدري. ما لا يمنحك إياه هو نظام آمن بمفرده، وتختلف نقاط ضعفه عن تلك الموجودة في ويندوز أو macOS.
تتناول هذه الصفحة نظام لينوكس ل أجهزة أجهزة أجهزة أجهزة أجهزة أجهزة المكتب والأجهزة المحمولة: التوزيعات مثل Ubuntu و Fedora و Debian التي تثبتها على الكمبيوتر. تستخدم أنظمة Android و ChromeOS و Qubes OS أيضًا نواة لينوكس ولكنها تعمل بطرق مختلفة، ونحن لا نغطيها هنا. الحقائق المتعلقة بالإصدارات التواريخ هي اعتبارًا من أكتوبر 2026.
بعد القراءة، ستعرف ما يحمي سطح مكتب لينوكس افتراضيًا وما لا يحميه. ستعرف أيضًا الخيارات الأربعة التي تغير مستوى المخاطر لديك بشكل أكبر: كيفية حصولك على التحديثات، ومن أين تحصل على البرامج، وما إذا كان القرص مشفرًا، وكيف يتم عزل التطبيقات.
ما هو لينوكس بعبارات بسيطة
دقيقًا، لينوكس هو النواة (Kernel)، وهو البرنامج الأساسي الذي يتحدث مع عتاد جهازك. تجمع التوزيعة تلك النواة مع واجهة سطح مكتب، وإداري الحزم (الأداة التي تثبت البرامج وتحدثها)، ومجموعة من الخيارات الافتراضية. عندما يقول الناس إنهم يشغلون لينوكس، فإنهم يعنون توزيعة، والتوزيعة هي التي تحدد معظم أمانك.
لنأخذ شخصين يقول كلاهما إنه يشغل لينوكس. أحدهما قام بتثبيت Ubuntu 26.04 LTS، الذي أُطلق في أبريل 2026، ويأخذ البرامج من المستودعات التي تصونها التوزيعة. والآخر يشغل Arch Linux ويثبت التطبيقات من مستودع مستخدمي آرتش (AUR)، وهو مجموعة من وصفات التثبيت التي يمكن لأي شخص تقديمها. في يونيو 2026، وُجد أن أكثر من 400 وصفة من تلك الوصفات تم تعديلها لتثبيت جذر خفي (Rootkit) وبرنامج لسرقة الاعتمادات. يمتلك الشخصان النواة نفسها، ولكن لديهما مستوى تعرض مختلف تمامًا للمخاطر.
كيف يعمل أمان لينوكس
الحسابات، وغياب الجدار بين تطبيقاتك
يفصل لينوكس بين المستخدمين ويضع ملفات النظام خلف كلمة مرور المسؤول (root). ولكنه افتراضيًا لا يفصل بين البرامج التي تشغلها بنفسك عن بعضها البعض. يمكن للبرنامج الذي يبدأ من حسابك قراءة ما يمكن لحسابك قراءته: مستنداتك، وملف تعريف المتصفح الخاص بك، ومفاتيح SSH الخاصة بك. تصف ملاحظات تصميم Flatpak الخاصة عزل التطبيقات عن بعضها البعض كأحد أهدافها الرئيسية، مما يخبرك بموقف الإعداد الافتراضي. معظم الحمايات أدناه موجودة لإضافة جدران حيث لا يمتلك هذا النموذج أي جدران.
التحديثات تأتي من توزيعتك
تصل البرامج من خلال مدير الحزم الخاص بتوزيعتك، وتحدد التوزيعة مدة صيانة كل إصدار. تحصل إصدارات Ubuntu LTS على خمس سنوات من صيانة الأمان القياسية، وتغطى توزيعة Ubuntu 26.04 LTS حتى مايو 2031. يمتد اشتراك Ubuntu Pro بالتغطية إلى مايو 2036. تنشر التوزيعات الأخرى تواريخها الخاصة. تحقق من تواريخ توزيعتك أولاً، لأن الإصدار الذي يتجاوز تاريخ انتهائه يتوقف عن تلقي الإصلاحات.
تحصل النواة على الكثير من الإصلاحات. أصبح فريق النواة هيئة تعيين الأرقام لـ CVE (الجهة التي تصدر معرفات الثغرات الأمنية CVE) في فبراير 2024، وتتمثل سياسته في تعيين معرف CVE لأي إصلاح لخطأ قد يكون مهمًا للأمان. كتب مطور النواة غريغ كرواه هارتمان في ديسمبر 2025 أن المشروع انتقل من المرتبة الثالثة بين مصدري CVE في عام 2024 إلى المرتبة الأولى في عام 2025، وأنه عين معرف CVE رقم 10,000 بحلول أواخر عام 2025. اقرأ ذلك كمقياس لحجم ما يتم إصلاحه، وليس كدليل على أن لينوكس أسوأ من الأنظمة الأخرى. هذا يعني أن التحديثات تصل بكثرة، وعليك تثبيتها.
تأتي تحديثات البرامج الثابتة (Firmware) للأجهزة المحمولة والمكتبية عادةً من خلال fwupd وخدمة البرامج الثابتة لبائعي لينوكس (LVFS). لا ينشر كل بائع عتاد هناك، وهو أمر مهم لتغيير الإقلاع الآمن أدناه.
العزل: التحكم في الوصول، و Flatpak و snaps
التحكم الإجباري في الوصول (Mandatory Access Control) هو مجموعة من القواعد التي تفرضها النواة وتحدد ما يمكن للبرنامج لمسه حتى عندما يعمل بصلاحياتك. تستخدم Fedora نظام SELinux افتراضيًا، وتستخدم Ubuntu و Debian نظام AppArmor. تقول Ubuntu إن مطالبات الأذونات لكل تطبيق لحزم snap لا تزال تجريبية وليست قيد التشغيل افتراضيًا في 26.04 LTS، لذا لا تفترض أن هذه الأطر تسوّر كل تطبيق تشغله.
تشغل Flatpak و snap التطبيقات داخل بيئات معزولة (Sandboxes). تصف وثائق Flatpak البيئة المعزولة الافتراضية بأنها لا تملك وصولاً إلى العمليات خارجها ولا وصولاً إلى خدمات المضيف مثل X11 أو D-Bus الخاص بالنظام أو PulseAudio. ولكن يمكن لبيان كل تطبيق (Manifest) طلب ذلك الوصول، وأشار المطور الرئيسي لـ Flatpak إلى أن التطبيق المثبت يحصل على الأذونات التي طلبها ما لم تقم بإلغائها. التطبيق في Flatpak الذي يمتلك إذن الوصول إلى مجلدك المنزلي بالكامل أو إلى X11 يكون أقل عزلاً بكثير مما يوحي به الاسم. تكون البيئة المعزولة قوية فقط بقدر الأذونات التي يطلبها التطبيق.
خادم العرض: X11 و Wayland
يقوم خادم العرض برسم النوافذ وتوجيه لوحة المفاتيح والماوس. تحت خادم X11، وهو التصميم المعتمد منذ فترة طويلة، كتب المطور الرئيسي لـ Flatpak في عام 2017 أنه يمكنك بسهولة استخدام البروتوكول للقيام بالكثير من الأشياء الضارة، ويوصف تسجيل ضغطات المفاتيح تحت X11 من قبل كتاب آخرين بأنه أمل بسيط. أما البديل Wayland، فقد تم بناؤه بحيث لا ترى التطبيقات الإدخال إلا لنوافذها الخاصة. واعتبارًا من أكتوبر 2026، تشحن Ubuntu 26.04 LTS جلسة GNOME افتراضية تعتمد على Wayland فقط. لا يحد Wayland مما يمكن لبرنامج ضار يعمل بصلاحياتك أن يفعله بملفاتك، لذا فهو يكمل العزل ولا يحل محله.
الإقلاع الآمن وتغيير الشهادة لعام 2026
يجعل الإقلاع الآمن (Secure Boot) البرامج الثابتة للكمبيوتر ترفض بدء تشغيل رمز الإقلاع الذي لم يتم توقيعه بواسطة مفتاح موثوق. في معظم أجهزة الكمبيوتر، يبدأ لينوكس من خلال برنامج صغير يسمى shim. توقع مايكروسوفت برنامج shim، ثم يقوم shim بتحميل محمل الإقلاع والنواة الخاصين بالتوزيعة، واللذين توقعهما التوزيعة بنفسها.
انتهت صلاحية شهادة مايكروسوفت التي توقع shim (Microsoft UEFI CA 2011) في 26 أو 27 يونيو 2026. والشهادة البديلة صالحة حتى عام 2038. أفاد موقع LWN في 1 يوليو 2026 أن الأنظمة التي تقلع بالفعل ستستمر في الإقلاع، لأن البرامج الثابتة تتجاهل عمومًا تواريخ الانتهاء. ولكن يمكن للجهاز أن يفشل في الإقلاع إذا كانت برامجه الثابتة تفتقر إلى شهادة عام 2023 ثم تلقى shim جديدًا موقعًا بها فقط. يمكن لتحديثات البرامج الثابتة المقدمة عبر fwupd و LVFS إضافة الشهادة الجديدة. يحذر كاتب المقال، الذي يعمل على هذا الانتقال في مايكروسوفت، من أن التحديثات القسرية تركت بعض الأجهزة غير قابلة للإقلاع، وبعضها بشكل دائم. بالنسبة لمعظم الناس على توزيعة مدعومة وعتاد مدعوم، تتولى التوزيعة التعامل مع هذا. الأجهزة المعرضة للخطر هي تلك التي توقف بائعها عن إصدار تحديثات البرامج الثابتة لها.
تشفير القرص
يحمي التشفير الكامل للقرص بياناتك إذا فقدت جهازًا محمولاً أو سرق أثناء إيقاف تشغيله. ولكنه لا يفعل شيئًا ضد البرمجيات الخبيثة على نظام يعمل ومفتوح. جعلت Ubuntu 26.04 LTS التشفير الكامل للقرص المدعوم بـ TPM ميزة مدعومة. يتم الاحتفاظ بالمفتاح بواسطة شريحة الأمان في الكمبيوتر بدلاً من كتابته عند الإقلاع. تقول Canonical إنها حسنت التعامل مع مفتاح الاستعادة حول تحديثات البرامج الثابتة وتوثق بعض حالات عدم التوافق المعروفة. مع الفتح التلقائي، لا توجد عبارة مرور للقرص تقف بين السارق وشاشة تسجيل الدخول، لذا فإن كلمة مرور تسجيل الدخول الخاصة بك تحمل وزنًا أكبر. يذكر أحد الأدلة الخارجية أنه يمكن إعداد رقم PIN للبدء بعد التثبيت.
التوزيعات غير القابلة للتعديل (Immutable Distributions)
تحتفظ بعض التوزيعات، مثل Fedora Silverblue، بملفات النظام الأساسية في حالة قراءة فقط. تصف مجلة Fedora ذلك بأنها تمنعك من تغيير الملفات الأساسية بشكل تعسفي، مع تثبيت تطبيقات سطح المكتب من خلال Flatpak وعزل تثبيتات الحزم التقليدية داخل حاويات. تُطبق التحديثات ككل ويمكن التراجع عنها. التنازل هنا هو طريقة مختلفة في العمل: بعض الخطوات المألوفة، مثل تثبيت حزمة نظام، لم تعد تتصرف بالشكل الذي تصفه الأدلة القديمة.
ما تحميه الحمايات، وما لا تحميه
| التهديد | ما يساعد في مواجهته | أين تقصر الحماية |
|---|---|---|
| سارق يمتلك جهازًا محمولاً متوقفًا عن التشغيل | التشفير الكامل للقرص | لا يساعد على جهاز يعمل ومفتوح. يتكل الفتح التلقائي على كلمة مرور تسجيل الدخول |
| برمجيات خبيثة من مستودع مجتمعي | المستودعات الرسمية، بيئات عزل Flatpak أو snap | يمكن لأي شخص تقديم وصفات في AUR. يمكن منح بيئات العزل أذونات واسعة |
| برامج المنبع المعبوث بها (xz، 2024) | الإصدارات المستقرة، التحديثات السريعة | وصل الباب الخلفي إلى التحديثات الاختبارية والمتدحرجة لعدة توزيعات قبل اكتشافه |
| تطبيق آخر يلتقط ضغطات المفاتيح | جلسة Wayland، البيئة المعزولة | لا يعزل برنامجًا ضارًا يعمل بصلاحياتك |
| العبث بعملية الإقلاع | الإقلاع الآمن (Secure Boot) | يمكن لتغيير الشهادة في 2026 أن يعطل الإقلاع على العتاد الذي لا يتلقى تحديثات البرامج الثابتة |
يوجد قيدان خارج الجدول. يمكن لأي شخص قراءة الرمز مفتوح المصدر، لكن هذا لا يعني أن هناك من تفحصه بالفعل. وأنت تثق بمصاني التوزيعة والحزم التي يشحنونها، بنفس الطريقة التي تثق بها ببائع في مكان آخر.
خرافات شائعة
“لينوكس لا يصاب بالبرمجيات الخبيثة.” إنه يصاب بها. في يونيو 2026، عدل المهاجمون أكثر من 400 حزمة في AUR لتنزيل حزمة npm ضارة قامت بتثبيت جذر خفي (Rootkit) وبرنامج لسرقة المعلومات. عطلت Arch اعتماد حزم AUR في 30 يوليو 2026 بعد موجة ثانية من الالتزامات الضارة للحزم المهجورة. تختلف التقارير المبكرة لعدد يونيو، ويضع أحد الحسابات اللاحقة العدد فوق 1,500.
“الرمز مفتوح المصدر يعني أن هناك من تفحصه.” يظهر الباب الخلفي في xz (CVE-2024-3094) هذه الفجوة. قضى أحد الفاعلين حوالي عامين للحصول على صفة صائن في مشروع ضغط xz، ثم أدخل بابًا خلفيًا خفيًا في الإصدارين 5.6.0 و 5.6.1 كان يمكن أن يسمح بالوصول عن بُعد عبر SSH. اكتشفه المهندس أندريس فروند في مارس 2024. ووصل إلى الإصدارات التطويرية والمتدحرجة من Fedora و Debian و Kali و openSUSE، وقالت كاسبرسكي إنها لم تجد أي حالات استغلال. تم القبض عليه، وهذا أمر جيد، ولكن لم يخطط أحد للقبض عليه.
“تطبيق Flatpak أو snap معزول، فهو آمن إذن.” فقط بقدر ما تسمح به أذوناته. التطبيق الذي يطلب الوصول إلى مجلدك المنزلي يمكنه قراءة مجلدك المنزلي.
ما الذي يجب عليك فعله
- اختر إصدارًا مدعومًا وشغّل التحديثات التلقائية. ابحث عن تاريخ انتهاء دعم توزيعتك، واضبط التحديثات لتثبيت نفسها تلقائيًا. يغطي هذا التهديد الذي يؤثر على معظم الناس، وهي الخطوة الأقل تكلفة.
- كن صارمًا بشأن مصدر البرامج. استخدم المستودعات الرسمية لتوزيعتك أولاً، ثم Flatpak أو snap. عامل المستودعات المجتمعية مثل AUR والسكريبتات الموجهة من الويب كرمز كتبه غرباء. جاءت حوادث عامي 2024 و 2026 عبر هذا النوع من القنوات.
- شفّر القرص أثناء التثبيت. من الأسهل الاختيار في وقت التثبيت. احفظ مفتاح الاستعادة في مكان آخر غير الجهاز المحمول، وقرر ما إذا كنت تريد رقم PIN للبدء أو الفتح التلقائي.
- حافظ على تحديث البرامج الثابتة وتشغيل الإقلاع الآمن. فعّل fwupd أو مدمج تحديث البرامج الثابتة في توزيعتك، واقرأ ملاحظات توزيعتك قبل الترقية الكبيرة بسبب تغيير الشهادة لعام 2026. إذا توقف بائعك عن إصدار تحديثات البرامج الثابتة، فتوقع المزيد من الاحتكاك وخطط له.
- تحقق من أذونات التطبيقات وفضّل جلسة Wayland. بالنسبة لتطبيقات Flatpak، انظر إلى ما يطلبه كل تطبيق وألغِ الوصول الواسع مثل المجلد المنزلي بأكمله إذا كان التطبيق يستمر في العمل بدونه.
- فكر في توزيعة غير قابلة للتعديل إذا كنت تريد إمكانية التراجع. إنها تناسب الأشخاص الذين يستخدمون المتصفح وتطبيقات سطح المكتب بشكل أساسي، وتناسب بشكل أقل إذا كنت تعتمد على تثبيت حزم النظام.
إذا كنت غير تأكد من مدى أهمية هذا بالنسبة لك، فابدأ بـ نمذجة التهديدات. لمعرفة كيفية مقارنة لينوكس بنظام تشغيل الهواتف، راجع النظرة العامة على iOS.
ما لا تغطيه هذه الصفحة
لم نغطِ خوادم وحاويات لينوكس، أو الأنظمة الموجهة للخصوصية مثل Tails و Whonix و Qubes OS، أو تقوية النواة ومعلمات الإقلاع، أو تعديلات الخصوصية مثل جعل عنوان MAC عشوائيًا، أو توافق العتاد والألعاب. كما لم نقارن بين التوزيعات الفردية. كل موضوع منها يستحق صفحة خاصة به.
المصادر
- معرفات CVE في لينوكس، أكثر مما أردت معرفته. غريغ كرواه هارتمان، مدونة Linux Kernel Monkey، ديسمبر 2025.
- منشور إحصائيات CNA للنواة (معرف CVE رقم 10,000). غريغ كرواه هارتمان، social.kernel.org، 2025.
- مشروع نواة لينوكس يصبح هيئة تعيين أرقام CVE. مجلة ADMIN، فبراير 2024.
- انتهاء صلاحية شهادة الإقلاع الآمن هنا. برايان إكسيلبيرد، LWN.net، 1 يوليو 2026.
- ما الجديد في الأمان لتوزيعة Ubuntu 26.04 LTS؟. Canonical، 10 أبريل 2026.
- دورة إصدار Ubuntu. Canonical، 2026.
- Ubuntu 26.04 LTS: أفضل الميزات الجديدة. DebugPoint، 2026.
- Ubuntu 26.04 LTS Resolute Raccoon: دليل كامل لما هو جديد. Serverspace، 2026.
- أذونات البيئة المعزولة. وثائق Flatpak، بدون تاريخ.
- نموذج أمان Flatpak، الجزء 2: من يحتاج إلى البيئة المعزولة على أي حال؟. ألكسندر لارسون، مدونات GNOME، 2017.
- GNOME 50: الاعتماد على Wayland فقط يجلب أمانًا وعزلاً معززين. LinuxSecurity.com، بدون تاريخ.
- AppArmor مقابل SELinux: مقارنة شاملة. phoenixNAP، بدون تاريخ.
- Fedora Silverblue، مقدمة للمطورين. مجلة Fedora، بدون تاريخ.
- كيفية العثور على الأنظمة المتأثرة بـ CVE-2024-3094 (XZ Utils). runZero، 2024.
- اكتشاف رمز ضار في توزيعات لينوكس. كاسبرسكي، 2024.
- صائن ضار يدخل بابًا خلفيًا متطورًا في xz. CNCF TAG Security، 2024.
- اختراق أكثر من 400 حزمة في Arch Linux لدفع جذر خفي وسارق معلومات. BleepingComputer، 12 يونيو 2026.
- حملة البرمجيات الخبيثة في Arch Linux AUR توقف اعتماد الحزم والدفع. Hexnode، 3 أغسطس 2026.
- كيفية استخدام AUR بأمان: دروس من هجوم البرمجيات الخبيثة في يونيو 2026. OSTechNix، 2026.