وصلت الحزمة، لكن خادم إبطال الشهادة بقي خارج الاتصال

Summary

• تضيف المراجعة الثامنة عشرة لمسودة BPSec COSE قسماً عن OCSP: الإبطال السريع لشهادة طويلة العمر يحتاج اتصالاً مباشراً بين جهة التحقق وخادم الاستجابة.
• تختار جهة التصديق وضع عنوان OCSP في الشهادة؛ وتختار العقدة المستقبلة سياسة الاستعلام وفق الوصول المتوقع إلى الخادم.

قد تنتظر الحزمة فرصة اتصال ثم تصل ومعها نتيجة COSE وشهادة يمكن تتبع سلسلتها إلى جهة موثوقة. لكن معرفة حالة الإبطال الحالية تحتاج سؤالاً جديداً. يحدد RFC 6960 بروتوكول السؤال عبر الشبكة. تصف مسودة 2 نوفمبر الفجوة بين وصول الحزمة وانقطاع الطريق إلى خادم الحالة. لم تتضمن المراجعة السابعة عشرة هذا القسم، وما زالت صفحة IETF تسجل النص مسودة معيار قيد التقييم.

العنوان في الشهادة قرار من جهة الإصدار، أما استخدامه فهو قرار محلي لدى المتلقي. توصي المسودة بفحص OCSP عند توفر اتصال بالإنترنت، وتسمح بربط القرار بإمكان الوصول إلى العنوان. ويمكن توزيع خدمة الاستجابة جغرافياً أو عبر البث الأحادي العنوان لتخدم مناطق IP متباعدة التأخير. كتابة URI لا تعيد وصلة مقطوعة.

للصلاحية الزمنية حساب آخر: تستخدم العقدة وقت إنشاء الحزمة لتقييم فترة صلاحية الشهادة، لا وقت وصولها. ذلك الفحص التاريخي لا يجيب عن الإبطال الآن. تقترح المسودة بديلاً هو شهادات قصيرة تُجدّد تلقائياً وفق RFC 8739، مع التحقق من NODE-ID عبر الإنترنت لدى جهة الإصدار وفق RFC 9891، وإمكان تقريب الجهات الوسيطة من الأجهزة. وقف التجديد يوقف الشهادات التالية، أما الشهادة الصادرة فتستمر حتى نهايتها. لا تعرض الوثائق سجلاً ميدانياً يجمع انقطاع الاتصال ونتيجة الاستعلام وقرار قبول الحزمة؛ وجوده سيحسم سياسة التشغيل.