الخلاصة

  • يتيح RFC 9567 للجواب الموثوق أن يعلن من تلقاء نفسه نطاق وكيل عبر خيار EDNS Report-Channel. فإذا رصد محلل مُدقِّق Extended DNS Error أنشأ استعلام TXT منفصلاً؛ فلا يُصلَح الجواب الأصلي ولا يُستبدل.
  • لا توجد مصادقة شاملة بين المحلل المُبلِّغ والوكيل. يصعّب TCP أو DNS Cookies تزوير عنوان المصدر، لكن الذاكرة المؤقتة وحد الاسم وحكم المشغّل تظل عوامل مستقلة في وصول الإشارة وقيمتها.

تنتهي صلاحية توقيع RRSIG في نسخة من منطقة DNS. يواصل الخادم الموثوق استقبال الأسئلة وإرسال مجموعات السجلات، فتبدو عداداته طبيعية. يظهر العطل بعد ذلك، حين يفحص المحلل سلسلة DNSSEC ويرفض المادة. الجهة التي تستطيع إصلاح المنطقة لا ترى القرار الذي جعل الخدمة غير قابلة للاستخدام.

يستخدم RFC 9567 نظام DNS نفسه لإعادة هذه المعلومة. يستطيع الجواب الموثوق حمل خيار EDNS رقم 18، Report-Channel، وفيه اسم نطاق كامل لوكيل المراقبة. الخيار غير مطلوب في السؤال ولا يجوز وضعه في الأسئلة. يختار الخادم وجهة محتملة، لكنه لا يفرض على المحلل إرسال بلاغ.

إذا كان المحلل يدعم الآلية وفعّلها وصنّف الإخفاق ضمن Extended DNS Errors، فإنه يبني سؤالاً جديداً. إخفاق EDE 7 عند تدقيق سجل A للاسم broken.test قد يصبح _er.1.broken.test.7._er.a01.agent-domain.example. نوع الاستعلام TXT، لكن الاسم نفسه يحمل نوع السؤال الأصلي والاسم الفاشل ورمز التشخيص.

لا يرجع البلاغ داخل الجواب الفاشل ولا يغيّر RCODE. إنه معاملة جديدة تتجه إلى سلطة أخرى. ولا يحدد RFC 9567 معنى لبيانات TXT؛ فالجواب الإيجابي يغلق الاستعلام ويوفر TTL يستطيع المحلل تخزينه لمنع التكرار المفرط.

إعلان العنوان لا يمنح سلطة التشخيص

يختار مشغّل الخادم الموثوق نطاق الوكيل. ينفذ المحلل التدقيق ويختار EDE ويطبق سياسة الإبلاغ. يستقبل الوكيل ويقيّم المصدر ويجمع المشاهدات. أما مالك المنطقة فيقرر تغيير المفاتيح أو التوقيعات أو التفويض. لا يحول تنسيق واحد هذه الصلاحيات الأربع إلى قيادة مركزية.

يثبت سجل معلمات DNS لدى IANA أن 18 يعني Report-Channel وأن _er مسجل مع TXT. يمنع التسجيل تضارب الرموز؛ ولا يثبت وجود تنفيذ أو إعداد أو وصول أو صحة.

وEDE نفسه دليل محدود. يوضح RFC 8914 أن المعلومات الإضافية لا تغير معالجة RCODE. لا يقرر RFC 9567 ما يجب اعتباره خطأ ولا يلزم كل محلل بكل رمز. البلاغ يقول فقط إن عملية هذا المحلل نسبت هذا الرمز إلى هذا الاسم والنوع.

قد تتيح قواعد تدقيق DNSSEC إعادة إنتاج توقيع منتهي أو انقطاع DS/DNSKEY. لكن مرساة ثقة محلية قديمة تستطيع أيضاً توليد إخفاق يخص المحلل نفسه. لذلك يجب على الوكيل إعادة بناء التدقيق من موضع مستقل قبل نسب السبب إلى المنطقة.

يَسَع QNAME الحادث حتى حد معلوم

يتكون اسم البلاغ من _er ثم QTYPE عشري، فالاسم الفاشل، فرمز EDE عشري، ثم _er ثانية ونطاق الوكيل. لا يحمل فئة DNS ولا RCODE العادي. تبين العلامة الأولى وصول البلاغ كاملاً، لا مجرد بادئة ظهرت أثناء تقليل الاسم؛ وتفصل الثانية الحادث عن وجهته.

إذا تجاوز QNAME الناتج 255 ثمانية فلا يجوز إرساله. ويجب أيضاً تحديد عمق أو كلفة، لأن حل نطاق الوكيل قد يفشل ويولد بلاغاً آخر. إسقاط مشاهدة واحدة أأمن من تحويل الإخفاق إلى سلسلة لا تنتهي.

لا يجوز أن يكون نطاق الوكيل فرعاً من المنطقة التي يراقبها. فالعطل نفسه قد يقطع طريق العودة. ويترك الاسم القصير مساحة أكبر للاسم الأصلي الطويل. موقع النطاق قرار استمرارية، لا مجرد اختيار شكلي.

إثبات الوصول إلى العنوان لا يثبت صحة السبب

لا يصادق RFC 9567 المحلل لدى الوكيل. يمكن تزوير مصدر UDP، ويمكن لمصدر حقيقي أن يخطئ. لذلك ينبغي استعمال DNS Cookies أو DNS عبر TCP أو نقل قائم على اتصال. وإذا وصل UDP بلا Cookie، ينبغي للوكيل إرجاع TC لطلب إعادة الاستعلام عبر TCP.

تزيد هذه الأدوات الثقة في أن طرفاً يستقبل عند ذلك العنوان. لكنها لا تثبت هوية المؤسسة أو حداثة مراسيها أو دقة EDE. قد يحصل عنوان محلل معروف على أولوية أعلى، لكنه لا يحصل على حق تعديل DNS الإنتاجي.

يمكن بناء الأتمتة على درجات. يفتح UDP بلا Cookie ملاحظة. يرفع Cookie أو TCP ثقة المصدر. تنشئ تقارير مستقلة متطابقة مع إعادة إنتاج نظيفة حادثاً. ويبقى تغيير المنطقة خاضعاً لتفويض المالك وخطة الرجوع.

الذاكرة المؤقتة تحمي الوكيل وتحجب التكرار

يستحسن أن يرد الوكيل بإجابة TXT إيجابية. يمنع TTL المحلل من إرسال البلاغ ذاته بعد كل سؤال. يجعل ذلك الآلية خفيفة، لكنه يمنع تحويل عدد البلاغات إلى عدد مستخدمين أو محاولات.

قد يكون NXDOMAIN أشد أثراً. يسمح RFC 8020 بامتداد حكم العدم إلى الأسماء الأدنى، ويحفظ RFC 2308 النفي. قد يمنع جواب خاطئ بلاغات مختلفة، ولذلك لا يجوز للوكيل إرجاع NXDOMAIN للأسماء التي يراقبها؛ ويمكن لسجل إيجابي شامل تغطيتها.

إذا كانت منطقة الوكيل موقعة، يسمح RFC 8198 بتركيب أجوبة نفي محلياً من NSEC أو NSEC3 مدقق. قد لا تغادر البلاغات اللاحقة المحلل. يشير RFC 9567 إلى إمكان ترك نطاق الوكيل غير موقع لتجنب هذا العبء، مع بقاء التدقيق الطبيعي واجباً حتى لا يُخفض نطاق ضحية موقع إلى غير آمن بالافتراض.

إذن لا يثبت الصمت التعافي. قد يعني إصلاحاً أو TTL سارياً أو نفياً مركباً أو تعطل الوكيل أو إيقاف الآلية أو ترشيح إساءة. الدليل الحاسم هو عودة الإجابة القابلة للتدقيق من منظور مستقل.

قد يصبح طريق الرجوع طريقاً إلى ضحية

يكشف QNAME للوكيل الاسم والنوع ورمز الخطأ، وقد يكشف مرساة ثقة محلية قديمة. يقلل تصغير أسماء الاستعلام ما تراه السلطات الوسيطة، لكن الوكيل النهائي يحتاج البلاغ كاملاً.

يستطيع مهاجم نشر منطقة معطوبة عمداً وتسمية نطاق ضحية بصفته وكيلاً. عندها ترسل المحللات المفتوحة أو نقاط القياس الموزعة حركة إضافية إلى الهدف. ويمكن لسيل بلاغات كاذبة أن يخفي عطلاً حقيقياً. تلزم حدود المعدل ودرجات المصدر وفحص صلة الوكيل بالمنطقة وتدقيق خارجي.

كذلك لا تعد بيانات TXT مدخلاً موثوقاً. لا يحددها RFC، لذا يستطيع الوكيل الرد بقيمة ثابتة وتحليل الوسوم المحددة فقط. يجب معاملة أي نص مسجل على أنه معادٍ، لأن البلاغ موجود في السؤال لا في تعليمات يعيدها الطرف البعيد.

تفصل أفكار Heng Lu بين الكود العامل والمواصفة الدنيا والقرار المحلي وطبقات الواقع. تحدد المواصفة النحو. تعلن السلطة. يلاحظ المحلل. تنقل الشبكة. يزن الوكيل. يصلح المشغّل. ثم يثبت المستخدم أو يفشل؛ وهذه حقيقة أخرى.

يجب أن يحتفظ التدقيق بالجواب الأصلي وحالة DNSSEC ونطاق الوكيل واسم البلاغ وسبب إسقاطه والنقل وCookie وTTL وإعادة الإنتاج والتغيير ونتيجة التدقيق بعده. يصبح السؤال الجديد تغذية راجعة مسؤولة حين لا يدّعي أنه الحكم الأخير.