الخلاصة

  • أتاحت RFC 3012 لوكيل Mobile IPv4 الأجنبي إصدار تحدّ محلي جديد وتمييز القيمة المفقودة أو المستخدمة أو المجهولة قبل اكتمال مصادقة AAA البعيدة.
  • لم يثبت ردّ التحدّي الصحيح سوى ارتباط الطلب بحالة محلية حديثة؛ وبقيت المصادقة والترخيص وقبول التسجيل والتحويل وحركة البيانات أدلة مستقلة.

وزّع التجوال المعرفة بين شبكتين. ظهرت العقدة أمام الشبكة الزائرة، بينما بقي السر القادر على التحقق منها في النطاق الأصلي. وكان على الوكيل الأجنبي معالجة Registration Request من دون أن يملك بالضرورة علاقة أمنية سابقة مع كل جهاز زائر.

لم يكن إرسال كل شيء إلى نظام بعيد كافياً. يستطيع مهاجم إعادة طلب قديم خلال انتظار Authentication, Authorization and Accounting. احتاجت حافة الشبكة الزائرة إلى قيمة أنشأتها بنفسها وتعرف تاريخها.

نشرت RFC 3012 في نوفمبر 2000، وعرّفت Challenge extension داخل Agent Advertisement. كان ينبغي أن تكون القيمة عشوائية بطول لا يقل عن 32 بت. تنسخ العقدة القيمة إلى MN-FA Challenge extension في طلب التسجيل.

المهم لم يكن شكل القيمة بل مصدرها. يعرف الوكيل الأجنبي ما أصدره حديثاً، فيستطيع اختبار حداثة الطلب قبل أن يعرف هوية صاحبه. كانت تلك معرفة محلية ضيقة، لا شهادة شخصية.

ثبّتت المواصفة هذا الحد في ترتيب الامتدادات. بعد MN-FA Challenge يجب أن تأتي Mobile-Foreign Authentication أو MN-AAA Authentication. وإذا احتوى الطلب على التحدّي من دون أي منهما، وجب إسقاطه بصمت.

عند وجود علاقة أمنية مباشرة، تربط Mobile-Foreign Authentication الرسالة بالسر المشترك. وعند غيابها، يجب استخدام MN-AAA، ويستحسن إرفاق Network Access Identifier من RFC 2794. يساعد realm في توجيه التحقق إلى النطاق المناسب، لكنه لا يثبت أن المرسل يملك الاسم.

أجاب كل عنصر عن سؤال مختلف. التحدّي يحدد القيمة الحديثة التي يرد عليها الطلب. يربط authenticator البيانات بسر وخوارزمية يختارها SPI. تتحقق البنية الخارجية من الاعتماد. ثم تقرر السياسة إن كان التسجيل مسموحاً. لا تختصر مطابقة واحدة بقية السلسلة.

حفظت ثلاثة رموز سبب الرفض. يعني MISSING_CHALLENGE غياب الحقل المطلوب. ويعني STALE_CHALLENGE أن العقدة استخدمت القيمة من قبل. أما UNKNOWN_CHALLENGE فيعني أن القيمة ليست آخر تحدّ أُعيد بنجاح وليست ضمن إعلانات CHALLENGE_WINDOW الحديثة. وما زال سجل IANA يحفظ هذه التخصيصات.

جمعها تحت عبارة «فشلت المصادقة» يمحو الفرق بين تركيب ناقص وإعادة تاريخية وقيمة لا يعرف الوكيل أنه أصدرها. صممت RFC حالة قابلة للتفسير، لا مجرد زر قبول أو رفض.

كانت إعادة الإرسال استثناء ضرورياً. إذا عاد الطلب بنفس Identification ذي 64 بت وبنفس Challenge، وكان السجل المطابق لا يزال pending، جاز للوكيل إرساله إلى Home Agent مرة أخرى. خارج هذه المعاملة الحية تصبح إعادة القيمة stale عادة.

إذن تعتمد مقاومة الإعادة على الذاكرة: من أصدر القيمة، لأي عقدة، وما Identification، وهل ما زال الطلب معلقاً، ومتى تنتهي الحالة. رفض كل نسخة يفسد التعافي من الفقد؛ وقبول كل قيمة حديثة يفتح النافذة.

كان رد Home Agent يحتاج إلى ربط أيضاً. إذا بقي التحدّي في الطلب المرسل، يحفظه الوكيل مع حالة pending ويرفض Registration Reply لا تعيد القيمة نفسها. تثبت المطابقة أن الرد يعود إلى المعاملة، لا أن المسار أُنشئ أو أن التطبيق تلقى البيانات.

إذا تحققت علاقة MN-FA المباشرة وأزال الوكيل التحدّي قبل الإرسال، وجب أن يحتفظ محلياً بحقل Identification. يمكن أن يتغير تمثيل الدليل بين المقاطع، لكن مسؤولية حد الإعادة لا تزول.

تركت RFC بنية التحقق الكاملة خارج Mobile IPv4. سماها الملحق verification infrastructure. يستطيع الوكيل تمرير مادة المصادقة وانتظار نتيجة محمية، لكن الوثيقة لم تفرض بروتوكولاً داخلياً أو مورداً بعينه. وحّدت الوصلة ولم تحتكر القرار الإداري.

ولملاءمة أنظمة ذلك الوقت، خصص CHAP_SPI 2 لحساب MD5 على نمط CHAP قريب من ممارسات RADIUS. ومع ذلك قالت اعتبارات الأمن إنه أضعف من HMAC-MD5 وينبغي تجنبه متى أمكن. كانت الملاءمة طريقاً للنشر لا وعداً أمنياً دائماً.

بقي خطر حجب الخدمة. قد يعيد جهاز خبيث الطلب فينتج رد يبدو رفضاً، بينما يكون رد قبول صحيح ما زال في الطريق. وقد تتصرف العقدة وفق الرسالة التي تصل أولاً. لا يرتب فحص محلي للحداثة كل أحداث النظام الموزع.

إذا كان التحدّي أقصر من أربعة بايتات، أوصت المواصفة بحفظ Identification أيضاً لتعزيز ضمان التفرد. لا تزيد كلمة «عشوائي» عدد البتات. يجب أن تكمل الذاكرة وهوية المعاملة ما نقص ضمن حدود واضحة.

حلّت RFC 4721 محل RFC 3012 في 2007. ألزمت الوكيل بتسجيل القيم المناسبة لكل عقدة، ومنعت استخدام قيم أُعلن عنها قبل آخر قيمة استُخدمت. كما أوضحت معالجة الإعلان والرد، وأضافت حماية من الرسائل الزائفة وخيار HMAC-MD5.

لا تثبت هذه المراجعة وقوع هجوم محدد. لكنها تثبت أن الحداثة تاريخ مرتب: مصدر القيمة، والعقدة، وآخر قيمة مقبولة، والطلب المعلق، والمصادق الذي يغطي التبادل. البايتات العشوائية وحدها لا تحمل سلطة.

ويختلف الموضوع عن RFC 2002، التي أنشأت binding مؤقتاً بين home address وcare-of address. تعالج RFC 3012 خطوة أسبق عند حافة الشبكة الزائرة، قبل قبول Home Agent للحالة.

وهي ليست تكراراً لـPPP CHAP. ففي PPP يجري التحدّي داخل مصادقة وصلة بين authenticator وpeer. أما هنا فيدخل وكيل أجنبي حداثة محلية في تسجيل Mobile IPv4 وقد يستعين ببنية AAA منفصلة. تشابه الحساب لا يعني وحدة السلطة.

توضح عدسة Lu Heng حول الحد الأدنى للمواصفة قوة هذا الفصل: المشترك هو الصيغة والترتيب والنافذة والخطأ والربط، بينما يبقى نظام التحقق وسياسة القبول محليين وقابلين للاستبدال. ويمنع Running-Code Primacy استنتاج النشر الفعلي من وجود النص.

يثبت التقاط الحزم رجوع القيمة. ويثبت سجل التشفير نتيجة التحقق. ويثبت سجل السياسة الترخيص. وتثبت حالة Home Agent قبول binding. وتثبت المراقبة مرور الحزم. لا يجوز لعبارة challenge-response أن تتحدث باسمها جميعاً.

أصدرت البوابة تحدّياً لأنها تستطيع إنشاء هذه الحقيقة وحدها. أما الثقة فكان عليها أن تصل عبر أنظمة أخرى. وتكمن دقة RFC 3012 التاريخية في أنها لم تخف هذا الانتظار.

Sources