الخلاصة

  • يتيح draft-ietf-rats-epoch-markers-05 لـ Epoch Bell إصدار علامات قابلة لإعادة الاستخدام، كي تتشارك الأطراف إحداثية محدودة للحداثة من دون اشتراط ساعة مدنية موثوقة لدى كل attester.
  • يصادق التوقيع الصحيح على العلامة ومفتاح Bell، لكنه لا يثبت تزامن التسليم أو تفرد الجلسة أو دقة ساعة Bell أو لحظة قياس دليل الإثبات.
  • يحتاج verifier إلى إيصال يربط هوية Bell ونوع العلامة ومسار التوزيع ووقت الاستلام المحلي وnonce ونافذة القبول وحالة منع replay وإصدار السياسة التي أنتجت القرار.

الحداثة علاقة وليست رقماً منفرداً

السؤال العملي في الإثبات عن بعد ليس «كم الساعة؟»، بل «هل تصف هذه الأدلة حالة قريبة بما يكفي من القرار الحالي؟». فهناك زمن قياس حالة الجهاز، وزمن إنشاء الدليل، ونقله، وتقييمه، ثم استعمال النتيجة. تستطيع ساعة موثوقة أن تحدد موضع هذه الوقائع، ويمكن لتحد عشوائي أن يربط الرد بطلب واحد. غير أن الأجهزة المقيدة لا تحتفظ دائماً بساعة مأمونة، كما أن relying party قد لا يتصل مباشرة بكل جهاز.

توفّر Epoch Bell نبضاً مشتركاً. فهي تصدر Epoch Markers، ويضع attester العلامة أو handle مختصراً لها داخل الدليل المحمي. يقارن verifier لاحقاً ذلك الموضع بالحد الذي ما زال يقبله. وتدعم المسودة challenge-response عند الطلب، والبث غير المطلوب عبر broadcast أو multicast، والاشتراك الذي يطلبه المستلم.

هذا النبض المشترك لا يصبح زمناً مطلقاً. فإذا حمل الشكل وقت POSIX، بقيت دلالته معتمدة على ساعة Bell وإدارتها. وإذا كان عداداً، لم يثبت إلا ترتيب الإصدارات داخل السياق الذي يحفظ حالته. تنشأ الحداثة من العلاقة بين الإصدار والوصول وإنتاج الدليل ونافذة السياسة.

لكل صيغة افتراض تشغيلي خاص

تصف المراجعة 05 علامات الوقت في CBOR، وبنية TSTInfo التقليدية من RFC 3161، وصيغة CBOR منها، وEpoch Tick، وTick List، والعداد الرتيب، وepoclet. ليست هذه أغلفة متساوية المعنى.

تعتمد الصيغ الزمنية على ساعة موثوقة لدى Bell. ويعتمد العداد على استمرار الحالة وعدم رجوعها. يمكن لعدة مستهلكين إعادة استخدام Tick واحدة، بخلاف verifier nonce المخصص لتبادل بعينه. تساعد القائمة المستلم على إدراك عدة مواضع حديثة، لكنها تتطلب أن يحتفظ بحالة وبقاعدة لإعادة المزامنة. أما epoclet، وحجمه نحو 44 إلى 64 بايت، فيجمع وقت POSIX ومعرف مفتاح خاص بالنشر وHMAC. تنقل هذه الكثافة عبء الثقة إلى حفظ المفتاح المشترك وتدويره ومزامنة ساعات الخوادم.

يثبت التوقيع أو MAC عبارة محدودة: أن المفتاح المتوقع صادق على هذه البايتات وفق هذه الصيغة. ولا يثبت أن الساعة كانت صحيحة، أو أن العداد لم يتكرر بعد عطل، أو أن جميع المستلمين شاهدوا الإصدار نفسه في اللحظة نفسها. تحمي COSE وCWT وCBOR ورسائل RATS المفاهيمية الادعاءات وتربط الحقول، لكنها لا تحول صحة التشغيل إلى حقيقة فيزيائية.

الإصدار الواحد يصل في أوقات متعددة

تنتج صفوف الانتظار، ونسخ multicast، والروابط المتقطعة، والمعالجة الوسيطة تأخراً وانحرافاً. وتظل العلامة المتأخرة صحيحة التوقيع. قد يكون verifier قريب قد استلم tick 820، في حين ما زال موقع بعيد يقبل 818. إذا صار 820 حداً عالمياً، تحولت رؤية أسرع مسار إلى حاضر مفروض على الجميع، وربما رُفض دليل صادق من المسار البطيء. وإذا بقي 818 مقبولاً بلا انتهاء، صار replay القديم أسهل.

يظهر الفرق في نمطي Passport وBackground-Check. في الأول يحمل attester الدليل إلى relying party. وفي الثاني قد يجري appraisal في خدمة أخرى ثم يصل Attestation Result إلى صاحب القرار. يجب أن تظل النتيجة مرتبطة بالmarker أو handle الذي استندت إليه، وأن تحسب السياسة المسار الحقيقي إلى relying party.

النافذة الواسعة تتسامح مع المسافة والنوم وتأخر المعالجة، لكنها تطيل العمر المفيد لدليل جيد جرى التقاطه. والنافذة الضيقة تحد replay، لكنها ترفع الرفض الخاطئ. لذلك يحتاج القرار إلى وقت استلام محلي، وقناة متوقعة، وميزانية للنقل والمعالجة، ونقطة انتهاء واضحة. لا توجد مدة عالمية مخبأة في البروتوكول.

القابل لإعادة الاستخدام ليس فريداً للجلسة

صممت Epoch Tick كي يعاد استخدامها. يمكن لكثير من attesters الإشارة إلى إصدار Bell واحد، وهي ميزة توسع مهمة. لكنها تعني أن Tick لا تكتسب معنى تحد يستخدم مرة واحدة لمجرد وجودها داخل token موقع.

عندما تتطلب الجلسة ربطاً فريداً، يضيف verifier قيمة nonce خاصة به. تشترط المسودة ما لا يقل عن 64 بت من العشوائية يولدها مصدر آمن تشفيرياً، وتسمح بطول يصل إلى 512 بت. يجيب nonce عن سؤال «هل هذا رد على طلبي؟»، بينما تجيب marker عن «إلى أي موضع في Bell يرتبط الدليل؟». وينبغي ربطهما مع هوية attester أو مفتاحه وdigest الدليل داخل البنية المحمية نفسها.

من دون ذلك يمكن لمهاجم نقل marker ما زالت صالحة إلى دليل أقدم أو جلسة أخرى. كما يجب أن تثبت السياسة Bell والمفتاح والنطاق ونوع العلامة والخوارزمية. فإذا استطاع طرف غير موثوق اختيار تفسير أضعف، صار التفاوض downgrade لا مجرد توفير في الحجم.

نطاق الحالة يحدد من يدفع ثمن الرفض

تحتاج Ticks والعدادات إلى ذاكرة. حفظ أعلى قيمة شوهدت على مستوى نطاق Bell كله قليل الكلفة، لكنه يسمح لأسرع مسار بأن يدفع الحد أمام جميع attesters. عندئذ تبدو الأجهزة البطيئة قديمة رغم أنها تصرفت على نحو صحيح. تكلف الحالة الخاصة بكل attester مساحة ومنطقاً إضافيين، لكنها تفصل التاريخ وأنماط الاتصال.

قد يناسب الحد العالمي ونافذة قصيرة مركز بيانات دائم الاتصال. أما أسطول صناعي ينقطع طويلاً فقد يحتاج إلى تاريخ لكل جهاز، وحالة تعليق معلنة، وإجراء استرداد بعد إعادة تشغيل Bell أو verifier. لا يختار التوقيع بينهما؛ فهذا قرار يوزع كلفة التخزين ومخاطر الرفض الخاطئ.

وتحتاج إعادة المزامنة إلى مصدر محفوظ. يمكن لـ Tick List مساعدة المستلم على اللحاق، لكنها لا تقرر مدة قبول عنصر أقدم. وقد يبدو reset للعداد بعد فقد الحالة كأنه rollback. ويفتح تدوير مفتاح Bell حقبة ثقة جديدة حتى لو استمر الوقت الظاهر بلا انقطاع. يجب تسجيل الحد السابق وحقبة المفتاح والسبب والقاعدة التي أجازت الانتقال.

قد تكون Bell مخطئة وتوقيعها صحيحاً

تستطيع Bell مخترقة أو سيئة الضبط إصدار علامات سليمة تشفيرياً. قد تقفز ساعتها، أو يتكرر عدادها، أو يستخدم مفتاح واحد في موقعين، أو تتلقى جهات مختارة رؤية متأخرة. ينجح التحقق من التوقيع فيما يفشل افتراض الحداثة.

لذلك يلزم مشغل مسمى، وإجراءات لحفظ المفاتيح وتدويرها وإلغائها، ومراقبة صحة الساعة أو الحالة، وقياس التوزيع، وقاعدة للحوادث التي تشمل علامات صدرت أثناء الشك. لا تنتج عدة Bells وقتاً توافقياً تلقائياً؛ على السياسة أن تحدد هل هي بدائل، أم نطاقات مستقلة، أم quorum.

كما يمكن لـ Ticks المتوقعة ربط رسائل محمية ببعضها، لأن المراقب يجمع الحركة حول الإصدار المشترك. قد يقلل تغيير التوقيت أو الزيادة أو النطاق من هذا الارتباط، لكنه يغير النافذة وافتراضات الحالة. ينبغي تصميم الخصوصية والحداثة معاً.

احفظ عملية الربط لا العلامة وحدها

يبدأ إيصال الحداثة بهوية Bell ومفتاح التحقق وحقبة المفتاح، ونوع marker وبايتاتها أو digest، والنطاق والمجال، وادعاء وقت الإصدار إن وجد. ويسجل على نحو منفصل وقت الاستلام المحلي وقناة التوزيع والتأخر المقاس أو المقدر وقاعدة النافذة.

ثم يربط attester وdigest الدليل وسياق إنتاجه. وإذا استعمل verifier nonce، حفظ القيمة والجلسة. ويبين الإيصال هل كانت الحالة عالمية أم لكل attester أم مقسمة بطريقة أخرى، وما الحد السابق، ونتيجة replay أو إعادة الترتيب، ووقائع إعادة المزامنة، وإصدار السياسة الدقيق. وتضاف النتيجة والانتهاء والإلغاء والمراجعة.

إذا ظهرت لاحقاً حادثة في Bell، أمكن العثور على القرارات المتأثرة من دون إعادة كتابة الماضي. هذه الحقول ملحق حوكمة محلي، وليست سبباً لتضخيم marker المشتركة. يبقى الحد الأدنى المتوافق صغيراً، وتبقى الخيارات المستقبلية محلية، وتبقى صورة الواقع قابلة للفحص.

عند قطع البحث كانت المراجعة 05 Internet-Draft نشطة لدى مجموعة RATS، حُدثت في 3 يوليو 2026 وتنتهي في 4 يناير 2027. أظهر Datatracker حالة العمل «WG Document Doc Shepherd Follow-up Underway» وحالة IESG «I-D Exists»، من دون area director مسؤول أو موعد telechat. وذكر رأس المسودة Standards Track، بينما بقي حقل intended RFC status فارغاً. ينبغي حفظ هذا الاختلاف؛ فهو وصف للعملية لا إثبات للنشر الفعلي.

المصادر