الخلاصة

  • وضع RFC 1421 معالجة البريد المعزز بالخصوصية عند الطرفين، فلم يحتج مرحّل SMTP القائم إلى فهم التشفير. شملت الحماية المتن المغلف، لا كل حقل خارجي تضيفه المرحّلات أو تغيره في الطريق.
  • احتفظ MIC-CLEAR بخدمتي التوثيق والسلامة في MIC-ONLY، لكنه أسقط الترميز القابل للطباعة الذي كان يعزل النص الموقع عن بعض تعديلات نظام النقل. استطاع غير المزود بـ PEM أن يقرأ، لا أن يتحقق من التوقيع.
  • حُسب MIC على صورة معيارية من ASCII ونهايات الأسطر CRLF. لذلك قد يصنع تحويل عادي لنهايات الأسطر أو هروب خاص بإعادة التوجيه فشلاً حقيقياً، من دون أن يحدد هل سببه هجوم أم معالجة حميدة.

كان على البريد الآمن المبكر أن يعبر شبكة لم تُبنَ من أجله. تلك الحقيقة، أكثر من اختيار خوارزمية بعينها، رسمت شكل الحل.

يكتب وكيل المستخدم الرسالة في تمثيل محلي. تقبلها خوادم النقل ثم تمررها وتسلمها. وقد تعبر بوابة إلى بيئة رسائل مختلفة، أو يعيد وسيط تغليفها داخل رسالة جديدة. لم تكن مجموعات المحارف ولا نهايات الأسطر موحدة في كل مضيف. ولو اشترطت الحماية الجديدة أن يحدّث كل مشارك في المسار برامجه، لصار الاتفاق الشامل شرطاً يسبق أول استخدام.

اختار RFC 1421 موضعاً آخر. تُنفذ معالجة Privacy Enhanced Mail في وكيل المستخدم أو فوقه. يحول الطرف المنشئ المتن قبل تسليمه إلى البريد العادي، ويفك الطرف المستقبل التحويل ويتحقق بعد التسليم. لا تحتاج مرحّلات SMTP الواقعة بينهما إلى معرفة أنها تحمل كائناً محمياً. أمكن لمؤسسة أن تبدأ من أطرافها من غير انتظار بقية الطريق.

لكن هذا الاستقلال لم يوسع نطاق التوقيع. فحقول الرسالة التي تضيفها أو تحولها المرحّلات بين مكوّني PEM بقيت خارج تحسينات الخصوصية. حمل البريد الخارجي كائناً أمنياً داخل متنه؛ ولم يتحول الظرف والعناوين وآثار الطريق إلى جزء منه لمجرد التجاور.

لهذا لا تكفي سيرة واحدة للرسالة. ثمة سيرة لمعاملات SMTP، وأخرى للحقول الخارجية، وثالثة لتحولات الكائن المغلف، ورابعة لإعادة البناء والتحقق، ثم سيرة لما رآه الإنسان وفعله. وضعها جميعاً تحت علامة «آمن» واحدة يمحو حدود الدليل.

إبقاء الطريق المشترك بسيطاً

تعمد RFC 1421 حصر الإجراءات الأمنية في الأطراف بدلاً من دمجها في كل خادم SMTP. كان الهدف توسيع قدرة المستخدم، لا بناء مانع يحول دون إرسال البريد غير المحمي. كما لم يفترض النص أن كل وكيل مستخدم موثوق في مواجهة العبث المحلي.

وزع هذا القرار كلفة التبني. واصل مشغلو المرحّلات استخدام بنيتهم القائمة، واستطاع مطورو الأطراف النشر محلياً. في المقابل، تحمل المرسل مسؤولية معرفة قدرة المستلم قبل اختيار تحويل لا يستطيع عكسه. وظلت إدارة المفاتيح والاتفاق على المعالجة مسألة مستقلة عن قبول عنوان بريد.

قبول أمر RCPT TO دليل على أن عقدة نقل أخذت خطوة التسليم التالية. ليس دليلاً على أن الوكيل النهائي يملك PEM أو المفتاح أو الصلاحية البشرية. علاقة التسليم لا تخلق علاقة تشفير من تلقاء نفسها.

وحدد المستند ما لا يعالجه: التحكم في الوصول، وإخفاء تدفق الحركة، ودقة قائمة العناوين، والتحكم في الطريق، وضمان الاستلام أو عدم إنكاره، وربط الإقرارات، وكشف النسخ المكررة، ومنع إعادة الإرسال. نجاح MIC لا يجوز أن يسد هذه الفجوات بالاستنتاج.

المادة الموقعة ليست ما يبدو متشابهاً على الشاشة

بدأت المعالجة من الصورة المحلية للنص، وهي تختلف من نظام إلى آخر. حولها RFC 1421 إلى صورة معيارية تحاكي تمثيل inter-SMTP: محارف ASCII وأسطر تنتهي بـ CRLF. أما مضاعفة النقطة التي تستخدمها شفافية SMTP فلم تدخل في هذا الكائن المعياري.

أُنشئ Message Integrity Check من هذه البايتات. وعند اختيار السرية، بدأ التشفير منها أيضاً. لخّص المستند السلسلة العامة في Encode(Encrypt(Canonicalize(Local_Form)))، مع حذف الخطوات التي لا يحتاجها نوع الرسالة. يجري المستقبل العمليات المعاكسة بالترتيب المناسب، ثم يحول النتيجة إلى تمثيله المحلي.

سمح ذلك لحواسيب مختلفة بالاتفاق، لكنه جعل مدلول التوقيع دقيقاً. لا يوثق MIC معنى فقرة مجردة، ولا صورتها الطباعية، ولا حكم القارئ بأنها «نفس الكلام». إنه يوثق البايتات الناتجة عن إعادة بناء محددة. قد يبدو نصان متطابقين وتختلف نهايات سطورهما، وقد يبدو النص متغيراً ثم يعود إلى الأصل بعد إزالة تحويل خارجي قابل للعكس.

كان RFC 822 قد وصف الرسالة كحقول يتبعها متن اختياري من ASCII قائم على الأسطر، بينما عرّف RFC 821 معاملة DATA وقواعد الشفافية في SMTP. استفاد PEM من هذا الانضباط الواسع الانتشار، لكنه لم يدّع أن كل صورة معيارية وسيطة هي معاملة SMTP شوهدت فعلاً.

ثلاث صيغ وثلاث مقايضات

جمعت ENCRYPTED السرية والتوثيق والسلامة. شُفر المتن المعياري ثم مُثل بأبجدية محدودة قابلة للطباعة حتى يمر في بيئات البريد المختلفة.

أما MIC-ONLY فأسقط السرية، لكنه لم يترك النثر ظاهراً في صورته العادية. بقي الترميز القابل للطباعة حاجزاً أمام فئة من تغييرات نظام النقل. كان على برنامج PEM فك التمثيل والتحقق من MIC قبل عرض المتن المستعاد.

اختار MIC-CLEAR خدمتي السلامة والتوثيق نفسيهما، ثم حذف خطوة الترميز القابل للطباعة. هنا ظهرت منفعة التوافق: يقرأ المستلم النص حتى لو لم يملك PEM. لكنه لا يحصل من القراءة وحدها على قدرة التحقق.

القابلية للقراءة صفة للتمثيل الظاهر. أما قابلية التحقق فتحتاج إلى حقول التحكم، ومسار مفتاح ملائم، وإعادة بناء معيارية صحيحة، وMIC مطابق. وجود الأولى لا يرفع الثانية من «مجهولة» إلى «مؤكدة».

وللفارق أثر اجتماعي أيضاً. فالإنسان يستجيب للمعنى قبل اكتمال سلسلة الإثبات. قد يحثه طلب واضح على الدفع أو الكشف أو إعادة التوجيه فور ظهوره. كلما سهل النظام وصول النص إلى قارئ قديم، ازدادت حاجته إلى إظهار أن سلطة النص لم تُثبت بعد.

الفشل نتيجة لا تفسيراً

حمى الترميز القابل للطباعة في MIC-ONLY المادة الموقعة من مجموعة من تحولات Message Transfer System. أما MIC-CLEAR فاختار الوضوح. لا يمكن التحقق من MIC فيه إلا إذا لم يغير النظام المتن، أو إذا أمكن التعرف إلى التغييرات وعكسها قبل المقارنة.

نهايات الأسطر هي المثال المباشر. يستخدم SMTP صيغة CRLF، لكن المضيف المستقبل قد يحولها إلى صيغته المحلية قبل أن يسلم المتن إلى مكوّن PEM. يتعين على المتحقق أن يعيد تقنين النص المسلم، ويبني تمثيل inter-SMTP، ثم يحسب MIC مرجعياً.

وتضيف إعادة التوجيه طبقة أخرى. استعان RFC 1421 بحدود التغليف في RFC 934. إذا بدأ سطر من MIC-CLEAR بشرطة يمكن أن تلتبس بحد، فقد تضيف الطبقة الخارجية . حُسب MIC قبل هذه الإضافة، ولذلك يجب أن تزيلها الطبقة التي تملك الغلاف قبل التحقق. وإلا تحولت حماية قابلة للعكس إلى اختلاف دائم.

يثبت عدم التطابق أن إعادة البناء لم تصل إلى الكائن الموقع. لكنه لا يسمي السبب. ربما عبث مهاجم بالمتن، وربما نفذت بوابة تحويلاً عادياً عجز الطرف المستقبل عن تمييزه أو عكسه. من هنا جاء تنبيه RFC 1421 إلى أن فشل MIC-CLEAR لا يعني بالضرورة وقوع حدث أمني.

ينبغي للواجهة أن تحافظ على هذا الفرق. عند عرض الفشل، تذكر نوع رسالة PEM الجاري فحصها. وإذا كانت الرسالة سليمة نحوياً لكن MIC فشل، فلا تُعرض كما لو كانت موثوقة؛ يظهر تحذير بشأن الأصالة والسلامة، ويختار المستخدم صراحةً إن كان سيواصل. لا تُخفى النتيجة، ولا يُمنح السبب اسماً قبل الدليل.

القرب من الحد لا يوسع التوقيع

عاشت حقول تحكم PEM في رأس مغلف داخل متن الرسالة الخارجية. سمح التنسيق بملاحظات غير محمية خارج الحدود، وبأكثر من كائن محمي، وبإعادة توجيه متداخلة. لا تصبح فقرة مجاورة موقعة لأن تصميم الشاشة قربها من الكائن المحمي.

كذلك لا يثبت MIC الصحيح قائمة العناوين الخارجية، ولا الطريق الفعلي، ولا تسليم صندوق بعينه، ولا قراءة إنسان. إنه يربط كائناً معيارياً بضوابط ومادة مفاتيح. هوية الشخص وصلاحيته والاستلام والموافقة والرد والنتيجة علاقات تحتاج أدلتها الخاصة.

فصل RFC 1423 الخوارزميات والأنماط والمعرفات عن قواعد المعالجة الأساسية. أتاح ذلك أن تكون الطبقة الخوارزمية قابلة للاستبدال من دون إعادة كتابة بنية الرسالة. يحمل RFC 1421 وRFC 1423 اليوم حالة Historic. تبقى فكرة الفصل مفيدة تاريخياً، أما حزمة خوارزميات 1993 فليست توصية أمنية معاصرة.

لا يحكي MIC-CLEAR قصة أمان مجاني فوق بريد قديم. إنه يسجل ثمن الاختيار. ظل الطريق الوسيط بلا تغيير، وبقي المتن متاحاً للقارئ. وفي المقابل، صار كل تحويل بين الكائن المعياري الموقع والعرض المحلي جزءاً من عبء المتحقق: إما أن يعكسه، أو ينسبه، أو يعلن أنه مجهول.