الخلاصة

  • يتيح المقترح للعميل أن يسمح بإرسال جزء من عنوان شبكته وأن يضع حداً لطول البادئة من دون أن يعرف العنوان العام الذي يراه المحلل خلف NAT أو VPN.
  • قِصر البادئة يقلل الدقة ولا يصنع المجهولية؛ كما أن القيمة التي يعيدها المحلل تصريح منه، وليست دليلاً مستقلاً على ما وصل إلى الخوادم الموثوقة.

يرسل المحلل التكراري بادئة قصيرة بدلاً من عنوان كامل. تبدو الخطوة كأنها أزالت هوية العميل، لكن البادئة ما زالت تشير إلى جزء من الشبكة. وقد تصل إلى أكثر من خادم موثوق، وإلى مشغلي تلك الخوادم، وإلى مراقبين يستطيعون رؤية الحركة غير المشفرة بين المحلل والجهات الموثوقة.

الفرق بين «أقل دقة» و«مجهول» ليس لغوياً. الأول وصف لمقدار المعلومة، أما الثاني فادعاء عن إمكان الربط بالهوية والسياق. لا يوفر EDNS Client Subnet هذا الادعاء، حتى عندما تكون البادئة قصيرة.

يعالج draft-farrokhi-dnsop-ecs-opt-in-00 جزءاً آخر من المشكلة: من يقرر إرسال البادئة، وما الحد الأقصى المسموح. نُشرت النسخة الأولى في 20 أغسطس 2026 وتنتهي في 21 فبراير 2027. وهي مسودة إنترنت فردية، لا وثيقة معتمدة من مجموعة DNSOP ولا RFC. يذكر رأسها حالة مقصودة Experimental، وما زال رقم الخيار TBD. لا توجد في ذلك شهادة نشر أو تبنٍ أو نجاح تجريبي.

عندما لا يعرف العميل عنوانه المرئي

يسمح RFC 7871 للمحلل التكراري بأن يرسل بادئة من عنوان شبكة العميل إلى خوادم DNS الموثوقة. تستخدم تلك الخوادم البادئة لتخصيص الإجابة، مثل اختيار بنية أقرب إلى الشبكة. وفي النموذج القائم يمكن لإعدادات المحلل أن تفعل ذلك حتى إذا لم يرسل العميل خيار ECS.

يستطيع العميل الانسحاب بإرسال SOURCE PREFIX-LENGTH يساوي صفراً. لكنه إذا أراد بادئة غير صفرية أقصر، فعليه في خيار ECS الحالي أن يقدم العنوان الذي تؤخذ منه البتات. جهاز خلف NAT أو NAT على مستوى الناقل أو VPN قد يعرف عنواناً خاصاً فقط، ولا يعرف العنوان العام الذي يراه المحلل.

يفصل المقترح الجديد الإذن عن العنوان. يرسل العميل خياراً بطول بايت واحد يحدد أكبر عدد من البتات التي يسمح بها. وإذا لم يقدم عنوان ECS صالحاً، يستخدم المحلل عنوان مصدر الاستعلام الذي يراه. ويحسب الحد الفعلي بأخذ الأصغر من حد العميل، وحد ECS إن وجد، والحد المحلي للمحلل، والحد الأقصى لعائلة العنوان.

إذا جاء خيار ECS بعنوان IPv4 أو IPv6 صالح وطول غير صفري، يجب استخدام ذلك العنوان لا استبداله. وإذا كان العنوان غير قابل للتوجيه أو لا يبدو أن المصدر يخدمه، أو كانت العائلة غير مدعومة، أو قرر المحلل عدم الإرسال، يصبح الحد الفعلي صفراً. هذه النتائج شروط تشغيل محددة، لا مجرد وسم «ECS يعمل».

الإذن المفتوح ليس تقليلاً مضبوطاً

يمكن أن يأتي الخيار الجديد بلا بيانات. هذه الصيغة تسمح بالإرسال لكنها لا تضع حداً من طرف العميل، فيطبق الحد الخاص بالمحلل. إنها موافقة واسعة وليست اختياراً لأقصر بادئة.

أما العميل الذي لا يسمح بشيء فينبغي أن يحذف الخيار. ويمكنه إرسال قيمة صفر صريحة، لكنها تكشف على مسار غير مشفر أنه يطبق الآلية. الحذف يقلل هذه الإشارة ويعني، لدى محلل يطبق المسودة، عدم وجود إذن لإرسال معلومات العنوان.

هذا المعنى لا يُلزم المحلل القديم. وفق قواعد EDNS، يتجاهل المستجيب الخيار الذي لا يفهمه ويجيب كالمعتاد. لذلك فإن وصول إجابة DNS لا يثبت أن الحد قُبل. قد يظل المحلل يستخدم ECS وفق إعداده السابق. التوافق يحفظ الخدمة، لكنه يمنع تحويل نجاح الاستعلام إلى إيصال خصوصية.

التشفير يحمي الطريق لا صدق الجهة

يعيد المحلل المتوافق الحد الفعلي في الاستجابة. القيمة صفر تعني أنه يصرح بعدم إرسال شيء، والقيمة N تعني أنه يصرح بإرسال ما لا يزيد على N من البتات. غير أن سجل OPT غير موقّع بواسطة DNSSEC. يمكن أن تكون إجابة الاسم صحيحة وموقعة، بينما يظل وصف استخدام ECS قولاً غير موثق من المحلل.

على مسار غير مشفر يستطيع مهاجم حذف الخيار أو إضافته أو رفع قيمته أو تغيير الاستجابة. الحذف يجعل المحلل المتوافق لا يرسل شيئاً، أما الإضافة أو الزيادة فقد تنشئ إفصاحاً لم يأذن به العميل. ويمكن كذلك تزوير اكتشاف القدرة مرة واحدة ثم دفع العميل إلى تذكر ثقة غير صحيحة.

توفر DoT وDoH وDoQ حماية مهمة لهذا المسار. تمنع العبث بين العميل والمحلل الذي اتصل به. لكنها لا تمنع المحلل نفسه من إرسال بادئة أطول والإبلاغ عن قيمة أقصر. إثبات ما خرج من المحلل يحتاج إلى ملاحظة عند الجانب الموثوق أو نقطة تدقيق مكافئة.

وبذلك توجد أربعة إيصالات مختلفة: ما طلبه العميل، ومن استلم الطلب عبر أي نقل، وما صرح المحلل بأنه فعله، وما لوحظ فعلاً لدى الجهة الموثوقة. دمجها في خانة «محمي» يمحو المسؤولية من كل نقطة تحكم.

الموافقة لا تعبر السلسلة كوثيقة تفويض

الخيار المقترح غير انتقالي. يجب ألا ينسخه المحلل إلى الاستعلامات المرسلة إلى الخوادم الموثوقة، وألا ينسخه ببساطة إلى محلل أعلى. EDNS يعمل قفزة بقفزة، وهذه التعليمات موجهة إلى المحلل الذي تلقى اختيار العميل مباشرة.

يصبح محلل إعادة التوجيه عميلاً للمحلل الأعلى. يمكنه إنشاء طلب اشتراك خاص به، لكن لا يجوز أن يرفع الحد الذي تلقاه. إذا بنى خيار ECS بنفسه، فعليه الإبلاغ عن عدد بتات عنوان العميل التي أرسلها. وإذا ترك اختيار العنوان للمحلل الأعلى، فإن العنوان الظاهر هناك هو عنوان وسيط التوجيه، لا العميل الأصلي؛ وعليه أن يبلغ صفراً لبتات العميل.

هذه القاعدة تمنع الوسيط من تحويل موافقة محلية إلى تفويض عالمي. ويمكن لخيار ECS العادي أن يُضاف من وسيط، لذلك وجوده لا يثبت أن المستخدم النهائي وافق. الإشارة المنفصلة تحفظ مصدر القرار، فيما يحفظ الحد السقف خلال السلسلة.

الذاكرة المؤقتة تحمل أثر الإفصاح

يجب على المحلل الذي يطبق المقترح ألا يعيد إجابة حصل عليها باستخدام ECS إلى عميل لم يرسل الإشارة. كما يجب أن يعرف لكل مدخلة في الذاكرة المؤقتة هل جرى الحصول عليها مع ECS.

إذا ضاعت هذه المنشأ، قد تصل إجابة مخصصة لشبكة إلى عميل لم يوافق. لا يحدث إرسال بادئة جديد في لحظة إصابة الذاكرة، لكن نتيجة إفصاح سابق تعبر سياق الموافقة. ولا يحتوي الرد نفسه على حقل يخبر المستلم بأنه مخصص، فلا يستطيع اكتشاف العبور.

يمكن فصل ذاكرة العملاء المشاركين عن غير المشاركين، أو حفظ بيانات منشأ وقواعد أهلية مكافئة. المهم أن يكون القرار قابلاً للتفسير. مدخلة تحفظ الاسم ومدة الصلاحية والإجابة فقط لا تكفي لتطبيق سياسة الموافقة.

بالنسبة إلى عميل مشارك تبقى قواعد المطابقة بأطول بادئة في RFC 7871. وقد تجيب مدخلة حصل عليها ببادئة أطول من الحد الحالي، لأن القراءة من الذاكرة لا ترسل بتات جديدة. حد الإفصاح وأهلية إعادة الاستخدام قراران مختلفان، ويجب ألا يختفيا في مقياس واحد.

الحد المسموح ليس ما استُخدم

تطلب النسخة الحالية أن تعرض الاستجابة الحد الفعلي حتى عند إصابة الذاكرة المؤقتة. هذه القيمة تقول ما كان يجوز للمحلل أن يرسله، لا ما أرسله فعلاً للحصول على هذه الإجابة. في إصابة الذاكرة قد يكون الاستخدام الجديد صفراً مع أن الحد المعلن موجب.

تترك المسودة سؤالاً مفتوحاً: هل ينبغي الإبلاغ عن البتات المستخدمة فعلاً، خصوصاً في حالة الذاكرة؟ الاختيار يغير معنى الدليل. «مسموح حتى 24» ليست «وصلت 24». إذا خزّن نظام الامتثال الرقم بلا دلالته، صنع دقة زائفة.

ويظل التحذير نفسه صالحاً عند تخصيص رقم الخيار مستقبلاً. التخصيص عبر Expert Review ينسق البرامج ويمنع التضارب، لكنه لا يثبت أن المحللات تفصل الذاكرة أو تحترم الحدود أو تبلغ بصدق. كما أن كلمة Experimental لا تعوض غياب تعريف واضح للتجربة ومعيار النجاح.

أخيراً، ينبغي أن يختار العميل أقصر حد يحقق المنفعة، مع فهم أن القِصر لا يلغي الانتشار. البادئة تظل دليلاً عن الشبكة. التحكم الجيد يقللها، يحدد من تلقاها، ويحفظ سجلاً لما حدث. لكنه لا يبيع التخفيض على أنه مجهولية.

المصادر