العشوائية، مشروحة: كيف يزيّف حاسوبك رمية العملة

في جملة واحدة

التوليد العشوائي هو أفضل محاولة للحاسوب لإنتاج سلاسل غير متوقعة من الأرقام أو الحروف، وهي مهمة تتعارض جوهريًا مع طبيعته الحتمية (deterministic).

المشكلة التي يحلها

احتاج البشر إلى العشوائية لآلاف السنين. لقد رمينا النرد المصنوع من عظام المفاصل، وخلطنا أوراق اللعب، وأجرينا القرعة لاتخاذ القرارات وممارسة الألعاب وضمان العدالة. وعندما ظهرت أجهزة الحاسوب، أردناها أن تفعل نفس الأشياء: خلط مجموعة أوراق لعب رقمية، أو إنشاء أعداء لا يمكن التنبؤ بحركاتهم في لعبة، أو توليد كلمة مرور آمنة لمرة واحدة.

ولكن هنا تكمن معضلة فلسفية كبيرة. الحاسوب آلة فائقة الطاعة، تعتمد على المنطق. يفعل بالضبط ما يُطلب منه، في كل مرة. إذا أعطيته نفس المدخلات ونفس التعليمات، فستحصل على نفس المخرجات بالضبط. إنه تعريف القدرة على التنبؤ. إذن كيف يمكنك الحصول على شيء لا يمكن التنبؤ به من آلة هي المثال الصارخ للقدرة على التنبؤ؟

صارع علماء الحاسوب الأوائل هذه المشكلة. ابتكر الأسطوري جون فون نيومان طريقة مبكرة في الأربعينيات تسمى "طريقة المربع الأوسط". تأخذ رقمًا (على سبيل المثال، مكون من 4 أرقام)، وتربّعه، ثم تأخذ الأرقام الأربعة الوسطى من النتيجة كرقم "عشوائي" تالٍ. ثم تكرر العملية. كانت فكرة ذكية، لكن كان لديها عادة سيئة وهي الوقوع بسرعة في حلقات قصيرة متكررة أو التدهور إلى الصفر، وعند هذه النقطة يبقى صفرًا إلى الأبد. يا ساتر.

هذا الصراع الجوهري - الحاجة إلى عدم القدرة على التنبؤ من آلة يمكن التنبؤ بها - أدى إلى إنشاء مجال دراسي كامل مخصص "للتظاهر بالأمر حتى تتقنه". الحل ليس جعل الحاسوب عشوائيًا بشكل حقيقي، ولكن جعله معقدًا بشكل لا يصدق في حساباته بحيث تكون النتائج، لجميع الأغراض العملية، غير قابلة للتمييز عن العشوائية الحقيقية.

كيف يعمل من الداخل

لإلقاء نظرة خاطفة خلف ستار العشوائية الرقمية، تحتاج إلى فهم مفهومين رئيسيين: "البذرة" (seed) و "الخوارزمية" (algorithm). معًا، يشكلان ما يسمى بمولد الأرقام شبه العشوائية، أو PRNG (Pseudo-Random Number Generator). كلمة "شبه" هنا أساسية—إنها اعتراف هادئ بأن كل هذا مجرد وهم ذكي.

البذرة (Seed): نقطة البداية السرية

كل PRNG يحتاج إلى رقم بداية، يسمى البذرة (seed). فكر فيها على أنها التكوين الأولي الفريد لمجموعة أوراق اللعب قبل أن تبدأ في خلطها. السلسلة الطويلة اللانهائية من الأرقام التي سينتجها المولد محددة مسبقًا بالكامل بواسطة قيمة البذرة هذه وحدها.

• إذا أعطيت مولدي PRNG متطابقين نفس البذرة، فسينتجان نفس السلسلة بالضبط من الأرقام "العشوائية".
• إذا أعطيتهما بذورًا مختلفة، فسينتجان سلاسل مختلفة.

هذه هي أكبر نقطة ضعف وأكبر نقطة قوة للـ PRNG في نفس الوقت. بالنسبة للعبة فيديو، استخدام نفس البذرة لتوليد عالم يعني أن اللاعبين يمكنهم مشاركة تلك البذرة واستكشاف نفس العالم الذي تم إنشاؤه "عشوائيًا" بشكل متطابق. أما بالنسبة لنظام أمني، فإن المهاجم الذي يمكنه تخمين بذرتك يمكنه إعادة إنتاج مفتاحك السري "العشوائي". هذا هو السبب في أن اختيار بذرة جيدة وغير متوقعة أمر بالغ الأهمية. إحدى الطرق الشائعة ولكن الضعيفة هي استخدام الوقت الحالي بالمللي ثانية. أما الطريقة الأقوى بكثير فتتضمن جمع بيانات غير متوقعة من النظام، مثل حركات الماوس، وتوقيتات لوحة المفاتيح، ووصول حزم الشبكة.

الخوارزمية (Algorithm): آلة الأرقام السحرية

بمجرد حصولك على البذرة، تتولى الخوارزمية المهمة. إنها دالة رياضية تأخذ رقمًا، وتجري عليه سلسلة من العمليات، وتخرج الرقم التالي في السلسلة. ثم يتم استخدام الرقم الجديد كمدخل للجولة التالية.

مثال كلاسيكي وبسيط هو مولد التطابق الخطي (Linear Congruential Generator - LCG). صيغته تبدو هكذا:

X_next = (a * X_current + c) % m

دعنا نفكك هذا:

• X_current هو الرقم الذي لدينا الآن (بدءًا بالبذرة).
• a (المضروب)، c (الزيادة)، و m (المعامل) هي أرقام سحرية مختارة مسبقًا تحدد خصائص المولد.
• % هو معامل باقي القسمة (modulo)—يعطيك باقي القسمة. هذا ما يبقي الأرقام ضمن نطاق معين (من 0 إلى m-1).

تخيل a=7، c=3، m=10، وبذرتنا X_current=5.

1. الجولة 1: (7 * 5 + 3) % 10 -> 38 % 10 -> 8. أول رقم عشوائي لدينا هو 8.
2. الجولة 2: (7 * 8 + 3) % 10 -> 59 % 10 -> 9. ثاني رقم عشوائي لدينا هو 9.
3. الجولة 3: (7 * 9 + 3) % 10 -> 66 % 10 -> 6. وهكذا دواليك...

تستخدم الأنظمة الحديثة خوارزميات أكثر تعقيدًا بكثير، مثل Mersenne Twister، التي لديها فترة طويلة بشكل يبعث على السخرية (عدد التكرارات قبل أن تعيد السلسلة نفسها) وخصائص إحصائية أفضل. لكن المبدأ الأساسي هو نفسه: خذ رقمًا، اخلطه رياضيًا، واحصل على رقم جديد.

العشوائية الحقيقية مقابل العشوائية الزائفة

إذًا، إذا كان كل هذا "شبه" عشوائي، فهل توجد عشوائية "حقيقية" في أجهزة الحاسوب؟ نعم، لكنها وحش من نوع مختلف تمامًا. يتم إنشاؤها بواسطة مولد أرقام عشوائية حقيقي (TRNG)، ويسمى أيضًا مولد أرقام عشوائية عتادي (HRNG).

بدلًا من خوارزمية حتمية، يستغل TRNG ظواهر فيزيائية لا يمكن التنبؤ بها. فكر فيه كجهاز حاسوب يستمع إلى التشويش في الكون. يمكن أن تشمل المصادر:

• الضوضاء الجوية من مستقبلات الراديو.
• الضوضاء الحرارية لشبه موصل.
• التوقيت الدقيق للتحلل الإشعاعي.
• الظواهر الكمومية.

تشتهر شركة Cloudflare باستخدام جدار من مصابيح الحمم البركانية (lava lamps)، حيث توجه كاميرا إليها وتستخدم الدوامات الفوضوية غير المتوقعة للشمع لتوليد بيانات عشوائية. هذه إنتروبي (entropy) حقيقية وغير متوقعة.

إليك مقارنة سريعة:

الميزة	PRNG (شبه عشوائي)	TRNG (عشوائي حقيقي)
المصدر	خوارزمية حتمية (Deterministic)	عملية فيزيائية غير متوقعة
البذرة (Seed)	تتطلب بذرة؛ نفس البذرة = نفس المخرجات	لا تستخدم بذرة؛ المخرجات غير حتمية
السرعة	سريع جدًا	بطيء نسبيًا؛ محدود بالعملية الفيزيائية
قابلية التكرار	نعم، عن قصد	لا، عن قصد
الاستخدام النموذجي	المحاكاة، الألعاب، الاختبارات، البيانات الوهمية (mock data)	التشفير عالي المخاطر (مثل توليد المفاتيح الرئيسية)
مثال في JS للمتصفح	Math.random()	window.crypto.getRandomValues() (CSPRNG)

ملاحظة: window.crypto.getRandomValues() هو تقنيًا مولد أرقام شبه عشوائية آمن للتشفير (CSPRNG). إنه خوارزمية، ولكنه يُبذر بإنتروبي حقيقية من نظام التشغيل، ومصمم ليكون غير قابل للتنبؤ حتى لو عرف المهاجم جزءًا من حالته. إنه أفضل ما في العالمين لمعظم الاحتياجات الأمنية.

قصص من الواقع

قضية آلة الفيديو بوكر القابلة للتنبؤ

في التسعينيات، كانت لجنة الألعاب في نيفادا في حيرة من أمرها. كان رجل يفوز بعدد غير عادي من الجوائز الكبرى في الفيديو بوكر. بعد التحقيق، اكتشفوا أنه لم يكن يغش بالمعنى التقليدي. لقد اشترى آلة متطابقة، وأخذها إلى المنزل، وقام بهندسة عكسية لبرنامجها. كانت الآلة تستخدم PRNG بسيطًا يتم إعادة بذره بقيمة يمكن التنبؤ بها في كل مرة يتم تشغيلها. من خلال اللعب على آلته المنزلية، تعلم الأنماط. كان بإمكانه تشغيل آلة الكازينو، ولعب سلسلة معينة من الأيدي، ومعرفة بالضبط متى سيأتي الـ "رويال فلاش".

الدرس: جودة عشوائيتك تتناسب طرديًا مع حجم المخاطر. للمهام التافهة، أي PRNG سيفي بالغرض. عندما يتعلق الأمر بالمال أو الأمان، فإن المولد البسيط القابل للتنبؤ يمثل ثغرة أمنية هائلة.

بذرة عالم ماين كرافت (Minecraft)

أي شخص لعب ماين كرافت يعرف سحر "بذرة العالم" (world seed). عند إنشاء عالم جديد، يمكن للعبة أن تولد لك بذرة عشوائية، أو يمكنك إدخال واحدة بنفسك. يتم تغذية هذه البذرة إلى PRNG متطور يقوم بتوليد منظر طبيعي شاسع وفريد من الجبال والكهوف والمحيطات بشكل إجرائي. الجمال هو أن هذه العملية حتمية تمامًا. إذا شاركت البذرة "1379963879" مع صديق، فسيظهر في نفس العالم الذي ظهرت فيه بالضبط، وسيكون قادرًا على العثور على نفس القرية في نفس الإحداثيات.

الدرس: العشوائية القابلة للتكرار هي ميزة قوية بشكل لا يصدق، وليست خطأ. إنها ضرورية للمحاكاة، والتوليد الإجرائي، وأي سيناريو تحتاج فيه إلى إعادة إنشاء حالة "عشوائية" معقدة بشكل مثالي.

كارثة تذاكر اليانصيب

قام مدير أمن معلومات في جمعية يانصيب متعددة الولايات بالتلاعب بالنظام للفوز بالملايين. كيف؟ تمكن من الوصول إلى الغرفة الآمنة لليانصيب وقام بتثبيت جزء صغير من الكود على مولد الأرقام العشوائية الخاص بهم. كان الكود الخاص به بسيطًا: إذا تم سحب اليانصيب في أيام معينة من السنة، فسيستخدم المولد خوارزمية يمكن التنبؤ بها مع بذرة معروفة. كان بإمكانه بعد ذلك شراء تذاكر بالمجموعات القليلة التي يعرف أنها ستُختار، مما يضمن الفوز. تم القبض عليه في النهاية، لكن الهجوم سلط الضوء على حقيقة أساسية.

الدرس: أكثر مولدات الأرقام العشوائية أمانًا في العالم لا فائدة منه إذا تم اختراق العملية المحيطة به. حماية البذرة وسلامة عملية التوليد لا تقل أهمية عن الخوارزمية نفسها.

أخطاء وفخاخ شائعة

• استخدام Math.random() للأمان. في JavaScript، Math.random() هي الخيار الأول للعشوائية السريعة وغير الدقيقة. لكنها ليست آمنة من الناحية التشفيرية. يعتمد تطبيقها على المتصفح، وقد يتم بذرها بشكل غير آمن، ويمكن للمهاجم التنبؤ بمخرجاتها. لأي شيء يتعلق بالأمان - رموز الجلسات (session tokens)، رموز إعادة تعيين كلمة المرور، مفاتيح التشفير - يجب عليك استخدام window.crypto.getRandomValues().
• البذر باستخدام الوقت الحالي فقط. خطأ كلاسيكي. إذا كان المهاجم يعرف تقريبًا متى قمت بإنشاء سر "عشوائي" (على سبيل المثال، يعرف أن مستخدمًا سجل في نافذة زمنية مدتها 10 دقائق)، فيمكنه تقليل عدد البذور التي يتعين عليه تخمينها بشكل كبير. يمكنه ببساطة تجربة كل مللي ثانية في تلك النافذة، وإعادة إنتاج جميع الأرقام "العشوائية" الممكنة، والعثور على سرك.
• توقع توزيع منتظم في العينات الصغيرة. إذا طلبت عشرة أرقام عشوائية بين 1 و 10، فليس مضمونًا أن تحصل على كل رقم مرة واحدة. قد تحصل على الرقم 7 ثلاث مرات ولا تحصل على الرقم 2 على الإطلاق. هذا طبيعي. العشوائية الحقيقية تشمل التكتلات والتسلسلات. لا تفترض أن مولدك "معطل" لمجرد أن المخرجات لا تبدو عشوائية لدماغك البشري الباحث عن الأنماط.
• كتابة مولد عشوائي خاص بك. ما لم تكن حاصلًا على درجة الدكتوراه في الرياضيات والتشفير وتفعل ذلك لأغراض أكاديمية، إياك ثم إياك أن تكتب PRNG الخاص بك لتطبيق حقيقي. استخدم المولدات التي تم اختبارها على نطاق واسع ومراجعتها من قبل الأقران والمدمجة في المكتبة القياسية للغتك أو وحدات التشفير. لقد تم فحصها بحثًا عن عيوب دقيقة من شبه المؤكد أنك ستغفل عنها.

لماذا يجب أن يكون على رادارك

كمطور، ستلجأ إلى مولد عشوائي باستمرار. إنها ليست أداة متخصصة؛ إنها لبنة أساسية للبرامج الحديثة.

يجب أن تفكر في العشوائية كلما كنت:

• تنشئ معرفات فريدة: توليد كلمات مرور مؤقتة، رموز إعادة تعيين كلمة المرور، معرفات الجلسات (session IDs)، مفاتيح API، أو UUIDs.
• تجري اختبارات أو محاكاة: إنشاء بيانات وهمية (mock data) بقيم عشوائية، أو عمل Fuzz Testing لنقطة نهاية API عن طريق إلقاء مدخلات عشوائية عليها، أو محاكاة سلوك المستخدم.
• تبني ألعابًا: خلط مجموعة أوراق لعب، تحديد غنائم المسروقات (loot drops)، رمي النرد لتحديد الضرر، أو توليد خريطة إجرائية.
• تنفذ ميزات أمنية: توليد أملاح (salts) لتجزئة كلمات المرور (hashing)، إنشاء مفاتيح للتشفير، أو إنتاج nonces للبروتوكولات التشفيرية.
• تضيف لمسة من الذوق: اختيار لون خلفية عشوائي، عرض "اقتباس اليوم"، أو إجراء اختبار A/B لأنماط أزرار مختلفة.

فهم الفرق بين PRNG القياسي و CSPRNG أمر حاسم لكتابة كود آمن وموثوق.

تعمق أكثر

• MDN Web Docs: crypto.getRandomValues() — الدليل القاطع لتوليد أرقام عشوائية آمنة تشفيريًا في المتصفح.
• Wikipedia: Pseudorandom number generator (PRNG) — غوص تقني عميق في نظرية وتاريخ وأنواع خوارزميات PRNG المختلفة.
• Cloudflare Blog: LavaRand in Production — نظرة رائعة وممتعة على كيفية استخدام Cloudflare لجدار من مصابيح الحمم البركانية كمصدر للعشوائية الحقيقية.
• Wikipedia: Randomness — مقال أوسع وأكثر فلسفية حول مفهوم العشوائية في الرياضيات والعلوم والحوسبة.
• RFC 4086: Randomness Requirements for Security — للمهووسين الحقيقيين، توثق هذه الوثيقة أفضل الممارسات لتوليد وإدارة العشوائية للتطبيقات الأمنية.