الخلاصة

  • تقترح مسودة فردية مؤرخة في 27 أكتوبر أن يسجّل مستقبِل BPSec، لكل خدمة أمنية مطلوبة على كل كتلة مستهدفة، مصدر الأمن صاحب الصلاحية والمفتاح المرتبط به. الكتلة الصحيحة الموقّعة من عقدة شرعية أخرى لا تفي بذلك الشرط.
  • يجب أن تشمل كتلة سلامة الحمولة الكتلة الأولية ضمن نطاق سلامتها هي. فصحة جزأين جرى التحقق منهما منفصلين لا تثبت أنهما وُلدا في الحزمة نفسها.

العقدة الوسيطة لم تزوّر مفتاحها

في شبكة تتحمل التأخير والانقطاع، تمر حزمة Bundle عبر عقد عديدة قبل وصولها. بعض تلك العقد يحمل مفاتيح حقيقية ويحق له إضافة حماية لغرض محدد. هنا تكمن المشكلة الدقيقة: تستبدل عقدة وسيطة الحمولة التي حماها المصدر، ثم تصنع Block Integrity Block، أو BIB، بمفتاحها الحقيقي. إذا اكتفى المستقبِل بالسؤال عما إذا كانت الكتلة صادرة عن مشارك شرعي، فالإجابة نعم. لكن الحمولة لم تعد الحمولة التي أرسلها صاحبها.

تصف RFC 9172 في القسم 8.2.2 إمكان هذا الاستبدال من عقدة شرعية. تسمح المواصفة بتعدد مصادر الأمن داخل الحزمة وتترك سياسة قبولها للشبكة التي تنفذها. ويمكن للمصدر أن يحمي BIB داخل Block Confidentiality Block، أو BCB. غير أن المستقبِل الذي يقبل BCB من أي مصدر مأذون يستطيع قبول غلاف جديد صنعته عقدة أخرى فوق بيانات اختارتها هي. عملية التحقق من المفتاح نجحت؛ إسناد الفعل إلى صاحب الحق هو الذي فشل.

تضع مسودة ن. د. س. غوبثا علاجاً عند جهة الاستقبال. قبل وصول الكتلة، تحدد السياسة المحلية مصدر الأمن صاحب الصلاحية لكل خدمة مطلوبة على كل كتلة مستهدفة، وتحدد مادة المفتاح المرتبطة به. لا يُحسب BIB أو BCB الوارد دليلاً مستوفياً إلا إذا تحقق بالمفتاح المسجل لذلك المصدر. صحة مفتاح عقدة أخرى لا تحولها إلى ناطق باسم المرسل الأصلي.

تعرض قاعدة IETF Datatracker النص بصفته الإصدار 00 من Internet-Draft فردي، بلا مسار RFC أو اعتماد رسمي من IETF. هذه قواعد مقترحة للمستقبِل، ولم ترد في السجل العام حالة تشغيل مسماة تطبقها.

قائمة الموثوقين ليست جدول الصلاحيات

تفصل القواعد R1 إلى R4 أربعة قرارات. تعيّن R1 المصدر والمفتاح المتوقعين لكل خدمة ولكل كتلة. تمنع R2 قبول كتلة مصدر آخر بديلاً، حتى لو كان ذلك المصدر شرعياً في الشبكة. تفرض R3 اعتبار الخدمة المطلوبة فاشلة إذا غاب الدليل المطابق. وتوقف R4 انتقال الامتياز بين المهام: الإذن للبوابة بإعادة حماية تدفق معين لا يمنحها سلطة التصديق على كتلة أنشأها مصدر مختلف.

كلمة «موثوق» واسعة أكثر مما يحتمله هذا القرار. قد نثق بعقدة كي تمرر الحزمة، أو كي تعيد تشفيرها في مقطع محدد، أو كي تشهد لمصدر ضمن تفويض واضح. هذه ثلاث وظائف، وليست بطاقة واحدة تفتح كل الأبواب. قائمة المفاتيح الجيدة تشبه دليل الموظفين: تخبرنا من يعمل في المؤسسة ولا تخبرنا من يوقّع عقداً بعينه.

حتى حقل Security Source الموجود في الكتلة الواردة لا ينشئ سلطة لصاحبه. تعدّه المسودة إشارة بحث غير موثوقة. يقول الحقل من يدّعي صنع الكتلة؛ وتقارن سياسة المستقبِل السابقة هذا الادعاء بالمصدر الذي اشترطته. إن سمحنا للكتلة باختيار قاعدة قبولها بنفسها، صار طالب الصلاحية رئيس لجنة فحص طلبه.

ويشترط الفصل بين المصادر وجود مفاتيح منفصلة لها. تلاحظ RFC 9172 أن المفتاح المشترك بين كل العقد يجعل أي حامل شرعي له صاحب امتياز بالنسبة إلى ذلك المفتاح. لا يستطيع المستقبِل استرجاع هوية المصدر من جدول سياسات إذا كانت إدارة المفاتيح قد محتها مسبقاً.

وثيقتان صحيحتان لا تصنعان ملفاً صحيحاً

تتناول R5 خدعة تركيب أخرى. يمكن أن يحمي BIB الحمولة، وأن يحمي BIB منفصل الكتلة الأولية. قد يكون كلاهما صحيحاً ومن المصدر نفسه، لكنهما مأخوذان من حزمتين مختلفتين. التحقق المنفصل يثبت سلامة كل جزء، ولا يثبت أن الجزأين اقترنا منذ البداية.

لذلك يجب أن تضم كتلة سلامة الحمولة الكتلة الأولية إلى نطاق حسابها. تشرح RFC 9173، القسم 3.3.3، أن البت 0 يحقق هذا الشمول، وأن حذف المعامل يستدعي القيمة الافتراضية 7 التي تشمل البت. لا يعوّض BIB مستقل على الكتلة الأولية غياب الربط المشترك. وتوضح RFC 9171 بنية Bundle: تحمل الكتلة الأولية معلومات هوية الحزمة ومعالجتها، وتحمل كتلة الحمولة بيانات التطبيق. صحة كل منهما لا تكفي إذا لم تثبت صحة اجتماعهما.

أين ينتهي الدليل المنشور

تذكر المسودة نماذج تحليل باستخدام Tamarin وأداة لفحص الإعدادات، وتقول إن الأثر البرمجي سيُنشر لاحقاً ويمكن طلبه حالياً. لا يتضمن النص المفتوح تلك النماذج ولا نتيجة تشغيل في شبكة محددة. نشر إعداد للمستقبِل مع أثر قابل لإعادة إنتاج محاولة الاستبدال سيجعل الحكم العملي أدق.

أما سؤال التشغيل الآن فمحدد: ما الخدمة المطلوبة، وعلى أي كتلة، ومن المصدر المتوقع، وبأي مفتاح، وما الذي شمله حساب سلامة الحمولة بالفعل؟ شاشة تعرض «توقيع صحيح» وحدها تمتدح الختم بينما يتغير عنوان الطرد.

المصادر