الخلاصة

  • امتدادات إدارة التحديث في draft-ietf-suit-update-management-16 اختيارية، ومعرفة دعم Recipient لها خاصة بالنشر وقد تُنشأ خارج تبادل البروتوكول.
  • نصوص الإصدار مخصصة للعرض البشري وتُعامل كمدخل غير موثوق؛ أما قرار الآلة والتفويض والانتظار والتثبيت والتشغيل فلكل منها إيصال مستقل.

لا تمنح الأولوية سلطة القرار

تحدد المسودة ترتيباً بسيطاً للأولوية: الرقم الأصغر يعني أولوية أعلى. لكن معنى الأرقام وما يترتب عليها تحدده سياسة النشر المحلية. تمرر حالة التفويض قيمة الأولوية إلى التطبيق وتفشل إذا لم يمنح التطبيق الإذن.

لهذا لا تصبح كلمة «عاجل» امتيازاً. يستطيع Manifest Author أن يصف الخطر، لكنه لا يلغي صاحب القرار المحلي. وإذا قرر النشر أن بعض القيم تسمح تلقائياً، فهذه قاعدة محلية يجب حفظ نسختها ومالكها، لا خاصية غامضة في المعيار.

الإيصال السليم يسجل القيمة الأصلية، وإصدار السياسة التي فسرتها، والجهة التي قررت، والنتيجة، والوقت. من دون ذلك تتحول أولوية المؤلف إلى إذن لم يصدر فعلاً.

التوقيع يثبت البيان ولا يثبت قدرة المستقبل

يحمي التوقيع مصدر البيان وسلامة محتواه. لكنه لا يضيف أمراً اختيارياً إلى كود الجهاز. تنص المراجعة 16 على أن الامتدادات اختيارية في التنفيذ وفي الإدراج، وأن معرفة دعم Recipient لها تعتمد على النشر ويمكن إنشاؤها خارج المسار.

قد تأتي تلك المعرفة من مواصفة شراء أو مصفوفة مورد أو خيار build أو سجل bootloader أو اختبار ميداني. كل مصدر له نطاق وعمر. قد تدعم عائلة الأجهزة وظيفة لا يدعمها إصدار بعينه.

ينبغي أن يذكر سجل القدرة من أصدر الادعاء، والأجهزة والإصدارات التي يغطيها، وطريقة التحقق، وتاريخه وانتهاء صلاحيته. أما عبارة «هذا الطراز يدعم SUIT» فلا تكفي لتقرير مصير وحدة محددة.

يكمل deployment profile الخيارات والخرائط المحلية التي تركتها المسودة مفتوحة. وهو اتفاق أو إعداد، لا كائناً جديداً في صيغة السلك. لذلك قد يحكم النتيجة من دون أن يظهر في البيان الموقّع. يجب ربط هويته بكل تنفيذ.

ماذا غيّرت المراجعة 16 في عبء الإثبات

كانت المراجعة 15 تقول صراحة إن الأمر أو المعامل غير المنفذ يوجب رفض البيان، وإن على المؤلف ضمان إعلان الأجهزة المستهدفة دعم الوظائف المطلوبة.

استبدلت المراجعة 16 تلك الفقرة بصياغة المعرفة الخاصة بالنشر والممكنة خارج المسار. هذا تغير في النص المتطور، وليس دليلاً على تغير منتج أو أسطول. لكنه ينقل سؤال التدقيق: إذا لم يكن إعلان القدرة داخل التبادل، فأين الدليل الخارجي الذي برر الاعتماد عليها؟

المعلومة خارج المسار ليست معفاة من المصدر. إنها تسلك مساراً مختلفاً فحسب. وإذا لم يُحفظ ذلك المسار، صار افتراض غير مرئي هو نقطة التحكم الأهم في التحديث.

النص المقروء لا يحكم المقارنة

يمثل suit-set-version إصداراً قابلاً للمقارنة آلياً عندما تسمح الصيغة المقيدة بذلك بلا فقد. ويحمل suit-parameter-version عامل المقارنة وإصدار المكوّن. لا تدخل بيانات build في ترتيب الأفضلية الآلي.

أما suit-text-current-version وsuit-text-version-required فيساعدان المشغل. قد يبدو النص كمعادلة مقارنة، لكن Manifest Processor ممنوع من تفسيره. وعند التعارض تكون الحقول الآلية هي المرجع.

تصف اعتبارات الأمن النص الحر بأنه مدخل غير موثوق. لا يجوز تقييمه أو تنفيذ markup داخله أو السماح له بتجاوز القرار المنظم. وعلى العارض منع حقن الواجهة والسجل ومحارف التحكم.

الخطر ليس التنفيذ الخبيث وحده. قد تعرض الشاشة النص الصحيح ثم تمنحه علامة «متوافق» من دون أن تُجرى المقارنة الآلية. يجب أن يفصل السجل بين نص الشرح، والحقل المنظم، والمكوّن المرصود، ومصدر إصداره، ونتيجة المقارنة.

الانتظار ليس نجاحاً مؤجلاً

يمكن لـ suit-directive-wait انتظار التفويض أو الطاقة أو الشبكة أو إصدار جهاز آخر أو وقت أو يوم. ويجب تحقق كل الأحداث المدرجة قبل الاستمرار. لكن طريقة الانتظار يحددها التنفيذ: حجب، أو تعليق مع handler، أو polling، أو إجهاض ثم إعادة بدء.

تعتمد بعض الأحداث على حقائق محلية. فالوقت المحلي يحتاج إلى منطقة زمنية وقواعد للتوقيت الصيفي، وإلا كان الحدث غير مدعوم. وانتظار جهاز آخر يحتاج إلى namespace للمعرّف ونطاق فريد ومصدر للإصدار وترميز يحددها profile؛ من دونها لا تشير bytes إلى جهاز متفق عليه.

توصي المسودة بأن تعرض واجهات الإدارة الامتدادات المدعومة وسبب الانتظار أو الفشل، وأن تحدد السياسة ما إذا كان الانتظار ينجو من reboot وكيف يُلغى وما timeout المحلي.

كلمة «معلق» قد تعني قدرة مفقودة أو خريطة غائبة أو شرطاً لم يتحقق أو فشل الاستئناف أو خطأ لاحقاً. الإيصال التشغيلي يذكر الحالة والحدث الباقي ومصدره وآخر تقييم وقاعدة الاستمرار.

CoSWID يصف المتوقع ولا يشهد على التشغيل

يساعد suit-coswid في inventory وSBOM وattestation. ويمكن أن يكون severable بحيث يُحذف من دون إبطال توقيع البيان. ولا يعني وجوده أن كل Recipient يعالج تفاصيله.

يصف CoSWID البرنامج المتوقع، لكنه لا يثبت التنزيل أو الكتابة أو التثبيت أو التفعيل أو التشغيل. تحتاج هذه المراحل إلى أدلة لاحقة مرتبطة بالجهاز والمكوّن.

كما أن تفاصيل المكونات والإصدارات حساسة وقد تفيد المهاجم. يدخل التحكم في الوصول وقرار الفصل في سلسلة الحوكمة.

من البيان إلى الحالة المرصودة

ينبغي حفظ حالة الوثيقة والسجلات، والبيان الموقّع، وهوية Recipient، ومصدر ادعاء القدرة ونطاقه وعمره، وdeployment profile، والقيم الآلية والإشارات المحلية، ونتائج الشروط، وسبب الانتظار أو الفشل، ونتيجة التثبيت، والتفعيل، والإصدار العامل المرصود.

وقت تجميد البحث، أظهر Datatracker إرسال إعلان الموافقة للمراجعة 16، لكنها بقيت Internet-Draft وظل إجراء IANA جارياً. الموافقة المؤسسية، ونشر RFC، والتسجيل، والتنفيذ، والنجاح التشغيلي أحداث مختلفة.

لا يضعف هذا البيان الموقّع. بل يمنعه من تجاوز اختصاصه. فهو يثبت النية المحمية؛ أما القدرة والسلطة والأثر فتحتاج إلى سجلاتها الخاصة.

المصادر