كيف تعمل URnetwork

شبكة URnetwork شبكةُ خصوصية يقوم عليها أعضاؤها. تخرج حركة بياناتك عبر جهاز عضو آخر، لا عبر خادم VPN في مركز بيانات. وترى المواقع عنوان IP الخاص بذلك الجهاز بدلاً من عنوانك. تشرح هذه النظرة العامة المسار وما يستطيع كل طرف رؤيته.

المخارج آلافٌ من أجهزة الأعضاء في أكثر من 2,000 مدينة حقيقية موزّعة على أكثر من 90 دولة، لا عناوين IP افتراضية تُقدَّم من حفنة من مراكز البيانات. تُنشر الأعداد الحية على api.bringyour.com/stats/last-90.

المسار

تقطع حركة البيانات أربع مراحل: أنت ← الموسّع ← المشغّل ← المزوّد ← الإنترنت.

• العميل. التطبيق أو نسخة SDK على جهازك. والشبكة (network) هي كلمة URnetwork لحسابك، وحدة الفوترة والهوية؛ ويمكن أن تضم عدة مستخدمين وأجهزة وعملاء.
• الموسّع. قفزة تمرير يشغّلها متطوعون على عنوان مستقل، وهي المرحلة الأولى. يمرّر جلستك المشفّرة إلى المنصة من دون أن تنتهي عنده، فهو يحمل بايتات لا يستطيع قراءتها. وبوصفه قفزتك الأولى، فهو يرى عنوان IP الخاص بك.
• المشغّل. شركة BringYour, Inc. — الجهة التي تنسّق الشبكة. منصتها (connect.bringyour.com وapi.bringyour.com) تتولى مصادقة العملاء، وتوفّق بينك وبين المزوّدين، وتُرحّل حركة البيانات، وتدير العقود والمدفوعات.
• المزوّد. جهاز عضو يشارك اتصاله بالإنترنت ويمرّر حركة بياناتك إلى الإنترنت، فترى المواقع عنواناً سكنياً في مدينة المزوّد.

المشغّل والمزوّد هما طرفا الترحيل، والتصميم يوزّع المعرفة بينهما. أما الموسّع فقفزة وصول خارج هذا التوزيع ولا يضيف تشفيراً من عنده. وظيفته إبقاء الشبكة قابلة للوصول حيث تُحجب المنصة.

من يرى ماذا

على المسار الافتراضي، لا يجمع أي طرف واحد بين هويتك ونشاطك. تقوم هذه العبارة على خاصيتين تختلفان في النطاق.

المزوّد لا يعرف من أنت أبداً. يقف المشغّل بينك وبين المزوّد، فلا يرى المزوّد سوى معرّف جهاز والوجهات التي يخدمها، ولا يرى عنوانك أبداً. ينطبق هذا على كل مسار مُرحَّل، ومن دون أي إعداد يمكن أن تخطئ فيه.

المشغّل لا يستطيع قراءة ما ترسله. الجلسة بين العميل والمزوّد مختومة من طرف إلى طرف، وهي مفعّلة افتراضياً في التطبيقات الأصلية، فلا يحمل المشغّل سوى نص مشفّر مع التوقيت والحجم. ينطبق هذا على المسار المختوم الافتراضي؛ وتُظهر الأوضاع أدناه المسارات التي بلا ختم.

أما امتداد المتصفح ونقاط نهاية البروكسي فلا جلسة مختومة فيها إطلاقاً. هذا حدُّ نطاق لا إعدادٌ افتراضي، وهو معماري: المتصفح أو عميل البروكسي العادي لا يستطيع تشغيل محرك الشبكة، لذا يشغّل المشغّلُ جهازَ العميل عن بُعد ويترجم بين البروتوكولات — وأي ختم يبدأ من ذلك الجهاز سيبدأ داخل المشغّل نفسه، وهو الطرف الذي وُجد الختم لحجبه. لقد قايض التنفيذ الختمَ بالوصول إلى تلك المنصات أصلاً. هناك، ما يمنع المشغّل من مراكمة وجهاتك هو انضباطُ تخزين مثبَّت باختبار، لا التشفير (نموذج التهديد §2.4).

هذا الجدول هو المرجع. ويُخضِع نموذج التهديد التوزيعَ نفسه لخصوم مسمّين، بمن فيهم مشغّل عدائي ومزوّدون متواطئون.

لماذا أربع مراحل

السرعة هدف تصميمي، لا تنازل. كل قفزة إضافية تُطيل رحلة الذهاب والإياب بينك وبين الإنترنت، ولهذا تؤذي السلاسلُ الطويلة الاستخدامَ اليومي. وتحديد المسار بأربع مراحل يحافظ على توزيع المعرفة بسرعة من فئة البث. وتضع URnetwork متوسط سرعة البث على الشبكة عند 40 Mbps فأكثر.

الوصف الرسمي: تصميم متعدد القفزات محدودُ زمن الاستجابة مع فصل للبيانات. يدعم بروتوكول الاتصال سَلسلة وسطاء مزوّدين إضافيين؛ أما الشبكة العاملة فتستخدم مسار المزوّد الواحد. التصاميم الأخرى تعقد مقايضات أخرى. شبكة Tor تدفع ثمن سلاسلها الأطول من زمن الاستجابة. وPrivate Relay من Apple فصلٌ مشفّر بين طرفين، داخل تنفيذات مغلقة، والشركة الواحدة نفسها هي التي تختار الطرفين وتدفع لهما. ومعظم شبكات VPN لا تحاول أي فصل أصلاً. تغطي خريطة المقارنة هذه المنتجات واحداً واحداً.

ماذا يحدث عندما تتصل

1. تسجيل الدخول. يسجّل التطبيق الدخول برمز أمان تنتهي صلاحيته بعد نحو يوم ويتجدد تلقائياً، فأي رمز مسروق يفقد قيمته سريعاً. يسميه المهندسون JWT. يمكن للحسابات استخدام البريد الإلكتروني أو الهاتف، أو تسجيل الدخول عبر Google أو Apple، أو توقيع محفظة Solana أو Bittensor، أو عبارة استعادة، أو حساب فوري (Instant Account) بنقرة واحدة ومن دون بريد إلكتروني، اعتمادُه كله عبارةُ استعادة. العبارة شبيهة بحسابات Mullvad المرقّمة وتبقى بعد إعادة التثبيت؛ الخادم يولّدها، ويعرضها مرة واحدة، ولا يحتفظ إلا بتجزئاتها، ففقدانها فقدانٌ للحساب.
2. الوصول إلى المنصة. يفتح العميل قناة مشفّرة إلى المنصة: TLS عبر WebSocket، أو QUIC/HTTP-3 حيث تسمح الشبكة. تمرّ القناة عبر موسّع وتنتهي عند المنصة. تُسابَق المسارات المباشرة أولاً؛ وتتولى مرحلةُ الموسّع الأمر عندما تفشل.
3. العثور على المزوّدين. يطلب العميل مزوّدين يطابقون اختيارك: أفضل المتاح، أو دولة من القائمة، أو مدينة تجدها بكتابة اسمها في مربع البحث. تقيّم المنصة المرشحين باستمرار على الموثوقية والسرعة المقيسة وتعيد مجموعة مرتّبة.
4. فتح العقود والانطلاق. يحتفظ العميل بـنافذة (window) من عدة مزوّدين ويوازن اتصالاتك بينهم. يشغّل الملف الافتراضي نافذتين: مجموعة جودة من 2–6 مزوّدين لحركة HTTPS، ومجموعة سرعة من 1–2 لكل ما عداها. وعادةً ما يكون بين ثلاثة وثمانية مزوّدين نشطين. تبقى الاتصالات بموقع معيّن مثبّتة على مزوّد واحد، فيرى ذلك الموقع عنواناً ثابتاً واحداً طوال جلستك. والمزوّد الذي يضعف أداؤه أو ينقطع يُستبدل؛ وتمتص بقيةُ النافذة عمله. وكل بايت يتحرك بموجب عقد نقل (transfer contract)، وهو وحدة المحاسبة التي تقيس ما يحمله كل مزوّد.

هوية خروجك متعددة: عدة مزوّدين في آن واحد، يتبدلون مع الوقت، فلا يرى أي مخرج واحد أكثر من شريحة من تصفحك. والنافذة هي أيضاً استراتيجية السرعة: الاتصالات السكنية أكثر تفاوتاً من خوادم مراكز البيانات، وطرحُ البطيء منها يُبقي البث سلساً.

التشفير

القناة بين العميل والمنصة مشفّرة دائماً: TLS 1.3 أو QUIC.

الجلسة المختومة. يشفّر التطبيق حركة البيانات على امتداد الطريق حتى المزوّد، فيُرحّل المشغّل بايتات لا يستطيع قراءتها. ما يصله نصٌّ مشفّر مع التوقيت والحجم. اسم عنصر التحكم تشفير ما بعد الكم (Post Quantum Encryption) في درج الاتصال بتطبيقات Android وiOS وmacOS وWindows وLinux، وهو مفعّل افتراضياً في التطبيقات الخمسة كلها. الختم مصافحة TLS 1.3 مباشرة بين العميل والمزوّد، بتبادل المفاتيح الهجين لما بعد الكم X25519MLKEM768 وتشفير AES-256-GCM لكل رسالة. مفاتيح الهوية Ed25519؛ وعبارة «ما بعد الكم» تخص تبادل المفاتيح وحده.

النطاق: ما دام الختم مفعّلاً، فالمزوّد الذي يتعذّر إنشاء الختم معه لا ينقل حركة بياناتك إطلاقاً. يرفض العميل إرسال بيانات التطبيق دون تشفير بدلاً من أن يتراجع في صمت — فالمزوّد الذي يتعذّر الختم معه يُتخطّى، لا يُستخدم بلا ختم. وكل إصدارات المزوّد الحالية تدعم الختم، فلا يطال هذا غالباً إلا الإصدارات الأقدم، وكلفته في التوافر لا في السرية. أما إيقاف تشفير ما بعد الكم فيُعيد السلوك الأقدم: عندئذٍ يمكن أن تسلك الحركة المسارَ القياسي، حيث تستطيع المنصة قراءة عناوين الحزم ومحتوياتها.

الحد: لا يُبلغ أي تطبيق حتى الآن عمّا إذا كان اتصال بعينه مختوماً. هذه الفجوة حقيقية لكنها لم تعد الفجوة الخطرة — إذ لا يمكن أن يُخفَّض اتصالك إلى غير مختوم في صمت ما دام الختم مفعّلاً. هذا، وكل ما لا تدافع عنه URnetwork، مدوَّن في نموذج التهديد.

الإخفاء القوي للهوية، والوضع المباشر. يرى المزوّد عناوين وجهات الحركة التي يخدمها، كما تفعل شركة الإنترنت التي تشترك معها اليوم. لكنه لا يعرف من أنت: فهو افتراضياً لا يرى عنوان IP الحقيقي الخاص بك أبداً، والمنصة وحدها تراه. هذا الافتراضي هو مفتاح الإخفاء القوي للهوية في درج الاتصال، ويأتي مفعّلاً. إيقافه اختيارٌ لـالوضع المباشر (direct mode): يتحدث العميل مباشرة إلى المزوّد فيرتفع معدل النقل. الثمن: ذلك المزوّد يرى الآن عنوانك الحقيقي. أما الملفات المستضافة فتُجبر الوضع المباشر على الإيقاف في كل الأحوال.

ما يستطيع كل طرف رؤيته

خلف صفّ المشغّل:

• الصيغة المخزَّنة لعنوان اتصالك تجزئةٌ أحادية الاتجاه بمفتاح لكتلة العناوين المحيطة به، بحجم /29 في IPv4 أو /56 في IPv6، لا العنوان نفسه. وتُحفظ لكل اتصال مدينة/منطقة/دولة تقريبية مشتقة من العنوان.
• الانضباط في الكود، لا في السياسة وحدها. تمر سجلات HTTP عبر قائمة سماح من خمس ترويسات. ويسجّل سجل النقل معرّفات العميل والشبكة وعدد البايتات، بلا أي حقل وجهة أو مضيف أو URL أو SNI أو منفذ أو نطاق يمكن الكتابة فيه. ومسار بيانات البروكسي لا يسجّل شيئاً، وذلك مثبَّت باختبار يمنع أي تراجع.
• الختم يجعل حركة بياناتك غير قابلة للقراءة عند المشغّل. وانضباط التخزين يغطي ما يظل المشغّل يراه (الاقترانات بالمزوّدين، وعدد البايتات، والموقع التقريبي) ويقوم مقام الختم حيث لا ختم: امتداد المتصفح، ونقاط نهاية البروكسي، والتطبيقات الأصلية عند إيقاف الختم.
• الحد: هذه خصائص السجلات التي يكتبها الكود. سجلات الوصول لموزّع الحمل عند المدخل لم تُدقَّق قط، وتصل أسطر تحمل العنوان وSNI إلى مخرج stderr للخدمات، ووجهته في بيئة الإنتاج غير مثبتة. السجل الكامل: نموذج التهديد.

المصدر المفتوح، وما لم يُدقَّق

المنظومة كلها مفتوحة المصدر: التطبيقات وSDK ومحرك البروتوكول وكود خوادم المشغّل نفسه، فالآليات الموصوفة هنا يمكن قراءتها بدل أخذها على الثقة. المصدر المفتوح يثبت التصميم، لا أيَّ بناء منشور فعلاً.

لا يغطي أي تدقيق مستقل البروتوكول ولا محرك الاتصال ولا كود خوادم المشغّل، وهي الطبقة التي تقوم عليها ادعاءات الخصوصية. هناك تقييمان خارجيان من 2025 يغطيان سطحين آخرين. الأول اختبار اختراق مستقل لتطبيق الويب وواجهة API (أبريل–مايو 2025). والآخر تقييم MASA بمستوى AL2 من Leviathan Security Group لتطبيق Android، وقد اجتازه؛ وتحدّد Leviathan نطاقه بأنه ليس تقييماً أمنياً شاملاً. الكود المفتوح تحت فحص دائم هو جواب URnetwork على التدقيق السنوي المحدود بلحظته. السجل الكامل: نموذج التهديد.

مشاركة آمنة: طبقة ip_security

مشاركة الاتصال يجب ألا تعني وراثة المخاطر القانونية لشخص غريب. يأتي عميل المزوّد بطبقة ip_security، وهي طبقة أمان لحركة البيانات مفتوحة المصدر في محرك الاتصال وأحد أكبر مكوناته. تفحص هذه الطبقة منفذ خروج المزوّد نفسه، أي خروجه إلى الإنترنت. تُحجب الحركة الخطرة قبل أن تغادر اتصال العضو:

• ترشيح من فئة DMCA. كاشف متتبّع للحالة يتعرف على تواقيع BitTorrent ومشاركة الملفات ويُسقط الحركة المبهمة التي لا تطابق أي بروتوكول مشروع، فلا تخرج تحويلات الند للند المنتهكة من خط العضو.
• ترشيح من فئة CFAA. تُبتلع في ثقب أسود أنماطُ الوصول غير المصرح به والمسح والاستغلال، فلا يكون الاتصال نقطة انطلاق لاقتحام ينفذه شخص آخر.
• كاشف مبنيّ كي لا يرى. يمسح فحصُ مشاركة الملفات اسمَ الخادم من مفتاح التدفق الخاص به. يقرّر بالاستناد إلى العناوين والمنافذ والبايتات الافتتاحية للتدفق، ويجمع عدّاداته حسب البروتوكول والمنفذ، لا حسب العنوان أبداً.

التطابق ينتج حزمة مُسقطة. وتطابق BitTorrent يُصدر أيضاً علامة إساءة إلى المشغّل: معرّف جهاز الند وقيمة نعم/لا، من دون وجهة أو نطاق أو محتويات. ولا يشحن المشغّل اليوم أي معالج لهذه العلامة، فلا يُخزَّن شيء عند الاستلام. أما إسقاطات البروتوكولات المبهمة فصامتة، بلا أي تبليغ.

تعمل الطبقة عند الحافة، وعلى جانبيها معاً: على جهازك عندما تتصل، فلا تصل الحركةُ التي لن تحملها الشبكة إلى أي مزوّد أصلاً، وعلى جهاز المزوّد حيث تخرج الحركة. لا يفحص المشغّل الحركة مركزياً، والختم لا يتجاوز المرشِّح، لأن المرشِّح يعمل عند الطرفين اللذين يصلهما الختم. ومع تفعيل مفتاح الإيقاف (kill switch) — وهو مفتاح صريح في كل تطبيق، مفعّل افتراضياً في امتداد المتصفح — تتوقف الحركة المحجوبة بدلاً من الارتداد إلى اتصالك أنت. لدى معظم الدول قوانين من عائلتي CFAA وDMCA؛ ومعيار واحد يجيب عنها عند كل مخرج، وتلتزم URnetwork القانون أينما توزّع. والمرشِّح مصانٌ لا مجمّد: يُعاد توليد قوائم تهديداته مع كل إصدار من تغذيات عامة للبرمجيات الخبيثة والإساءة وشبكات البوت (قائمة Spamhaus DROP، ومتتبّع البوتات في abuse.ch، وEmerging Threats وغيرها)، فالتطبيق المحدَّث يحجب أحدث نطاقات العناوين المعروفة بالسوء. تغطي شروط الخدمة مشاركة الاتصال.

تجاوز الحجب

تحمل الموسّعاتُ المسارَ عبر جدران الحماية المحلية والإقليمية. يجيب كل موسّع عن TLS على منافذ خدمات معقولة (المنفذ 443، وDNS-over-TLS على 853، وLDAPS على 636، وغيرها) ويبدو للماسحات مثل CDN مضبوطة ضبطاً خاطئاً. وكل موسّع مبرمَج برمجة ثابتة على تمرير التدفق المشفّر إلى المنصة على عنوان خاص به، فحجبُ connect.bringyour.com لا يحجب طريق الدخول. يتنقل العميل بين شخصيات موسّعات مولَّدة، مع تجزئة عشوائية للحزم وإعادة ترتيبها، حتى تنجح واحدة. وحيث لا يفلت إلا DNS، يعيد نقلٌ بهيئة DNS تشكيلَ حزم QUIC كاستعلامات DNS وإجاباتها. ويمكن لأي شخص تشغيل موسّع.

المزوّدون والتغطية

المواقع مدعومة بالحضور: لا تُعرض مدينة إلا وجهازُ عضو متصل فيها فعلاً. وتحدّد المنصة الموقع الجغرافي للاتصال الذي تراه؛ فلا يستطيع مزوّد أن يعلن مدينته بنفسه. والعنوان الذي يبدو مركز بيانات أو VPN أو نطاقاً معادَ الإعلان يُخفَّض تصنيفه بدل الوثوق به. الحد: لم يقس أي طرف خارجي الأسطول، ولا شيء يتحقق من أن المزوّدين المعروضين على عميل واحد مستقلون بعضهم عن بعض أو عن المشغّل. انظر نموذج التهديد.

مشاركة الاتصال خيار تفعّله بنفسك لمشاركة فائض النطاق: متوقفة حتى تشغّلها، وعلى Wi-Fi فقط ما لم تسمح بالبيانات الخلوية، وموجَّهة إمّا إلى الحركة العامة وإمّا إلى أجهزتك وحدها. الحركة العامة مقيسة بالعداد: تختم المنصة كل عقد نقل بسرٍّ لا يملكه إلا ذلك المزوّد، فيستطيع المزوّد التحقق من أن العقد أصلي ومن أنه للجمهور الذي وافق عليه. والضمان مقوَّم بالبايتات؛ يبلّغ الطرفان عمّا حملاه، والرقم المعتمد هو متوسطهما ضمن هامش سماح. يشارك المزوّدون في بروتوكول UR؛ ويوثّق ur.xyz المكافآت، وهذه الصفحة لا تكرّرها. والفئات المجانية موجودة لأن الأعضاء المدفوعين يموّلون نمو الشبكة. يمكن لأي شخص أن يزوّد.

الخطط وAPI المشغّل

هناك خطتان: فئة مجانية بحصة بيانات يومية، وPro بحصة شهرية كبيرة وعدد أكبر من العملاء المتزامنين وتسهيلات البروكسي وWireGuard. يمكن دفع Pro بعملة USDC على السلسلة من محفظة. والحصة تُقاس ولا تُبطأ سرعتها: عندما تنفد، تتوقف الشبكة عن فتح تحويلات جديدة بدلاً من إبطائك. يسكن النفق، ويبقى اتصالك أنت كما هو، وتمتلئ الحصة من جديد في دورتها. الأرقام الحالية على ur.io/products، وبصيغة قابلة للقراءة الآلية عبر GET https://api.bringyour.com/x402/skus.

كل ما تفعله التطبيقات يمر عبر واجهة REST API العامة للمشغّل (المصادقة، والأجهزة، واكتشاف المزوّدين، والاشتراكات، والإحصاءات)، وهي موثّقة في مرجع API. ويحصل الوكلاء على وصول من الدرجة الأولى: خادم MCPv2 على mcp.bringyour.com (بمصادقة OAuth؛ ومعه أداتا providerLocations وfetch) وشراء بحسب الحاجة عبر x402. انظر ur.io/agents.

نقاط النهاية الاحتياطية: HTTPS وSOCKS5 وWireGuard

للبرمجيات التي لا تستطيع تضمين SDK، يشغّل المشغّل نقاط نهاية جسرية: بروكسي HTTPS CONNECT، وSOCKS5، ونقطة نهاية WireGuard لتطبيقات WireGuard القياسية. يدعم SOCKS5 الأمرين CONNECT وUDP associate؛ أما BIND فغير مدعوم، وحزم UDP التي تتجاوز 2 KiB تُسقَط عمداً. الحد: يعيّن مسار WireGuard عنوان نفق واحداً ثابتاً من مجمّع خاص تخصصه المنصة، لا عنوان IP الحقيقي الخاص بك. هذا العنوان الثابت يتيح ربط عميل واحد عبر المزوّدين، وتسلّم نقطةُ النهاية العميلَ محلِّلَ DNS عاماً ثابتاً (1.1.1.1). تبقى التطبيقات وSDK أكثر الطرق خصوصية لاستخدام الشبكة.

ماذا بعد

• الإعداد: أدلة البدء لأنظمة Android وiOS وmacOS وWindows وLinux ولامتداد المتصفح وSDK.
• التعمق حسب المنصة: مستندات الجولة.
• المنتجات الأخرى: مستندات المقارنة وخريطة المقارنة.
• البروتوكول: ur.xyz للورقة البيضاء والاقتصاد ومكافآت المزوّدين.