// tier: helix-primary · order 8

HelixTerminator betalicense: Apache-2.0

Go microservicesFlutter / Dart (BLoC)PostgreSQLKafkaRabbitMQRedisSPIFFE/SPIRE + mTLSEd25519Kubernetes + Helm + TerraformOpenTelemetryGrafanaJaegerLoki

Source

HelixTerminator — three-channel architecture Clients Zero-trust core · SPIFFE/SPIRE · Ed25519 OTel · Grafana · Jaeger · Loki Flutter clients Dart · BLoC Gateway mTLS ingress Go service mesh microservices Kafka RabbitMQ Redis PostgreSQL Host agent / SSH proxy short-lived certs
// architecture

منصة المحطة الطرفية ذات الثقة الصفرية للفرق — كل جلسة SSH مؤمنة ومشتركة ومدعومة بمساعدة AI.

HelixTerminator هي منصة إدارة المحطات الطرفية وجلسات SSH على مستوى المؤسسات، مبنية كنظام Go للخدمات المصغرة مع عملاء Flutter عبر منصات متعددة. تعمل المنصة كوسيط لتسجيل وتأمين الجلسات البعيدة وفقاً لنموذج الثقة الصفرية، وتضيف تعاوناً فورياً ومساعدة AI فوق المحطة الطرفية.

HelixTerminator هي منصة إدارة المحطات الطرفية/جلسات SSH على مستوى المؤسسات وفق مبدأ الثقة الصفرية: خلفية Go للخدمات المصغرة مع عملاء Flutter عبر ست منصات. تدير المنصة المضيفين، وتعمل كوسيط للاتصالات، وتسجل الجلسات، وتمكّن التعاون الفوري، وتضيف مساعدة AI للأوامر، وتفسير المخرجات، والاستجابة للحوادث.

HelixTerminator هي منصة وصول عن بعد ومحطات طرفية على مستوى المؤسسات، مصممة على شكل وحدتين رئيسيتين — منصة المحطة الطرفية ووسيط الاتصالات — وتُنفّذ عبر مجموعة من خدمات Go المصغرة مع عميل Flutter واحد يستهدف ست منصات. هدفها هو استبدال الأدوات المؤقتة لجلسات SSH بالكامل: لا مزيد من العملاء المثبتين على كل حاسوب، ولا انتشار غير منظم للمفاتيح الخاصة، ولا فجوات في عمليات التدقيق، ليحل محلها نظام واحد محكوم وقابل للتدقيق وتعاوني يعامل الوصول عن بعد كبنية تحتية وليس عادة شخصية.

تدير الخلفية دورة حياة الوصول عن بعد بالكامل من البداية إلى النهاية. تُدار المضيفات والمجموعات عبر سلاسل المضيفات القوية/القافزة؛ ويعمل وكيل SSH كوسيط لمصادقة كلمات المرور والمفاتيح العامة والشهادات؛ ويعمل وكيل إدخال/إخراج المحطة الطرفية على بث الجلسة عبر WebSocket؛ ويدير SFTP عمليات النقل القابلة للاستئناف؛ وتتوفر إعادة توجيه المنافذ، وإدارة المقتطفات ومساحات العمل، وتسجيل الجلسات المجمعة في تشغيلات asciinema موقعة يمكن إعادة تشغيلها والثقة بها. تم تصميم الأمان وفقاً لمبدأ الثقة الصفرية منذ البداية، وليس كإضافة لاحقة: يوفر الخزنة تخزيناً سرياً بمعرفة صفرية، وتصدر خدمة PKI شهادات SSH قصيرة الأجل بحيث لا تبقى أي بيانات اعتماد دائمة معرضة للسرقة، وتُحفظ المفاتيح بعيداً عن القرص باستخدام سلاسل المفاتيح المدعومة بالأجهزة (Secure Enclave / Android Keystore / DPAPI / HSM)، وتُستخدم تقنيات FIDO2/WebAuthn وOIDC/SAML في المصادقة، ويُنتج سجل تدقيق متسلسل ومقاوم للتلاعب وفقاً لمعياري SOC 2 وISO 27001. علاوة على ذلك، يسمح التعاون الفوري لعدة مشغلين بمشاركة جلسة مباشرة بأدوار مراقب/مساعد طيار/مالك، مع الحفاظ على التزامن عبر مزامنة مخازن CRDT.

تعمل خدمة AI فوق المحطة الطرفية نفسها، لتضيف إكمال الأوامر تلقائياً، وتفسير المخرجات بلغة بسيطة، وكشف الشذوذ، وإنشاء أدلة التشغيل، والمساعدة العملية أثناء الحوادث — مما يحول المحطة الطرفية من مجرد قناة بسيطة إلى مساعد في اللحظات الحاسمة. تعمل المنصة بأكملها بشكل أصلي مع الحاويات — Kubernetes، Helm، Terraform، ومجموعة مراقبة كاملة تشمل OpenTelemetry، Grafana، Jaeger، وLoki — وتتصل بعائلة Helix الأوسع عبر جسر HelixTrack وموصل HelixLLM المحلي. تعمل جميع مكوناتها تحت Helix Constitution مع بوابات تحقق الميراث لمنع الاحتيال.

المحتوى

تعمل الفرق على البنية التحتية عن بُعد عبر عملاء SSH المتناثرين دون سجل تدقيق مشترك، ودون معالجة متسقة للأسرار، ودون وسيلة للتعاون المباشر أثناء معالجة الحوادث. بُنيت HelixTerminator لتحويل الوصول عن بُعد إلى منصة محكومة قائمة على مبدأ الثقة الصفرية وموجهة للفرق بدلاً من كونها أداة لكل حاسوب محمول.

تدمج منصة واحدة قائمة شراء كاملة. عميل SSH، خزينة الأسرار، طبقة البوابة/البنية التحتية للمفاتيح العامة، تسجيل الجلسات، تدقيق الامتثال، والتعاون المباشر هي أدوات تشتريها الفرق عادةً وتربطها معاً وتوفق بينها بشكل منفصل، كل منها يعاني من ثغرات في نقاط الوصل. تقدم HelixTerminator هذه الأدوات كنظام محكوم واحد، ثم تضيف شيئاً لا تقدمه أي من هذه الأدوات بمفردها: طبقة AI مباشرة فوق الطرفية تشرح المخرجات غير المألوفة وتصيغ أدلة التشغيل *أثناء وقوع الحادثة*. الإمكانية التي لم تكن ممكنة من قبل هي جلسة وصول عن بُعد مؤمنة بمبدأ الثقة الصفرية، مسجلة بتتبع التلاعب، مشتركة مباشرة بين المشغلين، ومدعومة بـ AI — كل ذلك في آن واحد، من واجهة واحدة.

  • تصميم مزدوج الوحدات (منصة الطرفية + وسيط الاتصال) منسق عبر سجل خدمات، بحيث تتوسع المنصة وطبقة الوساطة وتتطور بشكل مستقل.
  • الأمان القائم على مبدأ الثقة الصفرية من البداية إلى النهاية: شهادات SSH قصيرة الأجل تُصدر بواسطة البنية التحتية للمفاتيح العامة، خزينة معرفة صفرية، سلاسل مفاتيح مدعومة بالأجهزة، وسجل تدقيق مرتبط بتقنية ميركل — دون بيانات اعتماد دائمة، ودون مسار غير قابل للتحقق.
  • التعاون اللحظي في الجلسات مع مزامنة المخزن المؤقت باستخدام تقنية CRDT وأدوار واضحة للمراقب/الطيار المساعد/المالك، بحيث يتمكن عدة مشغلين من العمل على طرفية واحدة دون التداخل فيما بينهم.
  • العمليات المدعومة بـ AI مدمجة في الطرفية المباشرة: الإكمال التلقائي، شرح المخرجات، كشف الشذوذ، ومساعدة أدلة التشغيل/الحوادث بالضبط حيث يحتاجها المشغل.
  • عميل Flutter متعدد المنصات يدير ست منصات من قاعدة برمجية واحدة، بحيث تظل تجارب سطح المكتب والهاتف المحمول والويب متزامنة تماماً.

  • تأمين الوصول عن بُعد دون أي بيانات اعتماد دائمة يمكن سرقتها — المفاتيح طويلة الأجل هي نقطة الاختراق التقليدية vector. تم التغلب على ذلك باستخدام خدمة البنية التحتية للمفاتيح العامة التي تصدر شهادات SSH قصيرة الأجل عند الطلب، وخزينة معرفة صفرية تحتفظ بالأسرار التي لا يستطيع الخادم نفسه قراءتها، وتخزين المفاتيح المدعوم بالأجهزة (Secure Enclave / Android Keystore / DPAPI / HSM) بحيث لا تبقى المواد الخاصة مكشوفة على القرص مطلقاً.
  • السماح لعدة مشغلين بالتحكم في جلسة واحدة دون إفساد المخزن المؤقت — التعديلات المتزامنة على طرفية مشتركة تمثل مشكلة صعبة في الاتساق. تم حلها باستخدام مزامنة المخزن المؤقت القائمة على تقنية CRDT، المختارة بدلاً من التحول التشغيلي (وفقاً لـ ADR-006) لأن تقنية CRDT تتقارب دون الحاجة إلى حكم مركزي.
  • جعل أدلة الامتثال غير قابلة للتعديل بصمت — سجل التدقيق الذي يمكن تحريره لا يثبت شيئاً. تم التغلب على ذلك باستخدام سجل إضافي فقط مرتبط بتقنية ميركل، حيث يؤدي أي تلاعب إلى كسر سلسلة التجزئة، مما ينتج أدلة قابلة للتصدير متوافقة مع معايير SOC 2 / ISO 27001 / FedRAMP.
  • توفير تجربة مستخدم متسقة عبر سطح المكتب والهاتف المحمول والويب دون الحاجة إلى ثلاث قواعد برمجية — تم حلها باستخدام عميل Flutter/Dart واحد على نمط BLoC، حيث تم اختيار Flutter بدلاً من Electron (وفقاً لـ ADR-001) لتغطية ست منصات من مصدر واحد للحقيقة.

المحتوى

  • خدمات Go المصغرة — أسطول الواجهة الخلفية (وكيل SSH، والمحطة الطرفية، والخزنة، والبنية التحتية للمفاتيح العامة، والتدقيق، وغير ذلك)؛ اختيرت لنموذجها المتزامن وبصمة التشغيل الصغيرة، مما يجعلها مثالية للخدمات التي تدير العديد من الجلسات البثية الطويلة الأمد في وقت واحد (قرار التصميم ADR-002: تفضيل Go على Rust/Node).
  • Flutter / Dart (BLoC) — قاعدة تعليمات برمجية واحدة للعملاء عبر ست منصات، حيث يحافظ BLoC على قابلية التنبؤ بالحالة؛ اختير Flutter بدلاً من Electron (قرار التصميم ADR-001) لتجنب الحاجة إلى صيانة واجهات أمامية منفصلة لكل من الأنظمة الأصلية والويب.
  • PostgreSQL — مستودع البيانات الأساسي، اختير بدلاً من CockroachDB (قرار التصميم ADR-004) لكونه نواة معاملات ناضجة ومفهومة جيدًا.
  • Kafka + RabbitMQ — طبقة الرسائل والبث التي تنقل شرائح الجلسات والأحداث (قرار التصميم ADR-003)، تجمع بين سجل دائم ومرونة قائمة الانتظار.
  • Redis — يحتفظ بذاكرة التمرير الطرفية وحالة الجلسات النشطة حيث تكون الوصول منخفض الكمون أهم من المتانة.
  • SPIFFE/SPIRE + mTLS — يصدر هويات تشفيرية للأحمال (قرار التصميم ADR-005) بحيث يتم التحقق المتبادل من حركة المرور بين الخدمات، مما يوسع مبدأ الثقة الصفرية داخل الشبكة وليس فقط على الحواف.
  • Ed25519 (EdDSA) — يوقع رموز JWT وتسجيلات الجلسات (قرار التصميم ADR-009)، مما يوفر توقيعات سريعة وحديثة تجعل الجلسات المسجلة قابلة للتحقق.
  • Kubernetes + Helm + Terraform — نشر قائم على الحاويات ببنية تحتية قابلة للتكرار ومتحكم فيها بالإصدارات (قرارات التصميم ADR-007/008).
  • OpenTelemetry، Grafana، Jaeger، Loki — مجموعة المراقبة لتتبع البيانات، والمقاييس، ولوحات المعلومات، والسجلات؛ Falco، Trivy، Cosign، Sealed Secrets — كشف التهديدات أثناء التشغيل، وفحص الصور، وتوقيع القطع الأثرية، وتسليم الأسرار المشفرة عبر سلسلة التوريد.

  • الحالة: تجريبية. قاعدة تعليمات برمجية كبيرة ومطورة بنشاط (أنشئت في 2026-07-04). الأرقام المحددة في حزمة أبحاث المنتج الأدنى القابل للتطبيق (عدد نقاط النهاية، والجداول، والخدمات) هي أهداف تصميمية من docs/research/mvp/، ولم يتم التأكد من تنفيذها بالكامل، وبالتالي تُعرض أعلاه كمجال معماري وليس كمقاييس منشورة. لم يتم التحقق بشكل مستقل من ادعاءات الكمون وأهداف مستوى الخدمة (SLO) أو جاهزية الإنتاج.
  • الرخصة: Apache-2.0 (وفقًا لـ GitHub API).

درجة الأولوية: Helix-رئيسية.