الخلاصة

  • بدأ Butler Lampson وزملاؤه مما تستطيع الآلة سماعه مباشرة: الخط أو الاتصال أو العملية أو القناة المشفّرة هو أول «أصيل» في السلسلة؛ ونسبة كلامه إلى شخص أو جهاز أو دور أو مجموعة تحتاج إلى استدلال صريح يبين من يتحدث باسم من.
  • يحدد التوثيق الأصيل المسؤول عن الطلب، لكنه لا يمنحه الإذن تلقائياً. يبقى التخويل رهناً بالعملية والمورد المحمي وقاعدته، وبصلاحية التفويض، وبالسلطة التي ربطت الاسم بالمفتاح.

يصل الطلب قبل صاحبه

يضع بحث عام 1992 عن نظرية التوثيق في النظم الموزعة وممارسته الطلب أمام حارس يطبق سياسة كائن محمي. ما يصل إلى الحارس قد يكون آتياً عبر خط طرفية أو اتصال شبكة أو أنبوب بين العمليات أو نداء إلى النواة أو قناة نشأت من فك تشفير صحيح. لا يحمل أي من ذلك، بمفرده، وجه الشخص الذي تتخيله اللغة اليومية خلف الطلب.

لهذا يتغير ترتيب الأسئلة. لا يبدأ النظام بـ«من هذا المستخدم؟»، بل بـ«ما الذي كلمني للتو، وعلى أي أساس يستطيع أن يتحدث باسم أصيل آخر؟». التصميم الذي يقفز من الحزمة إلى اسم إنسان لا يلغي الخطوات الوسيطة؛ إنه يخفيها في الشهادات والجلسات وسجلات الأجهزة وقوائم المجموعات وعادات التشغيل.

الأصيل ليس مرادفاً للإنسان

الأصيل، أو principal، هو كل جهة تستطيع الإدلاء بقول أو تحمل المسؤولية أو الظهور في قاعدة وصول. قد يكون شخصاً أو جهازاً أو خدمة أو دوراً أو مجموعة أو مفتاحاً أو قناة. هذا الاتساع لا يجعلها متماثلة، بل يسمح للنظام بأن يصف الفروق والروابط بينها بدقة.

قد يمثل الاتصال مفتاحاً، ويرتبط المفتاح بجهاز، وتعمل عملية على الجهاز بدور تشغيلي، ويكون الدور مفوضاً من مؤسسة. قول «دور المناوبة نفّذ الطلب» ليس هو قول «الموظف الذي شغل الدور في تلك اللحظة نفّذه». قد تكفي العبارة الأولى لاستعادة خدمة، بينما تكون الثانية ضرورية للمساءلة الفردية. يحدد المورد والعملية مقدار النسبة المطلوب إثباته.

«يتحدث باسم» يحول القفزة إلى حجة

استخدم Lampson وزملاؤه علاقة “speaks for” لوصف الحالة التي يمكن فيها قبول قول أصيل بوصفه قول أصيل آخر. إذا كان B يتحدث باسم A، جاز للحارس، عند توافر المقدمات، أن يستنتج قول A من قول B. لا يعني ذلك أن B وA الشخص نفسه، ولا أن B ورث كل حقوق A؛ إنها علاقة اتجاهية للمسؤولية تقوم على دليل.

بهذا تنفتح الصندوق الأسود لعبارة «نجح الاعتماد». عن أي مفتاح تتحدث القناة؟ ومن هي سلطة التسمية التي ربطت المفتاح بحساب أو جهاز؟ وبأي تعيين تتحدث العملية باسم دور؟ يركب الحارس هذه الأقوال حتى يصل إلى أصيل يكفي للقرار المحدد. وكلما طالت السلسلة، ازدادت أهمية حفظ أسبابها بدلاً من الاحتفاظ بالاسم النهائي الأنيق وحده.

الاسم يستعير سلطة مُصدِره

لا تصبح سلسلة الحروف حقيقة لأنها مألوفة. ربط اسم شخص أو حساب أو خدمة بأصيل يعتمد على الجهة المخولة بإعلان ذلك الربط وعلى قبول المتلقي لحدود سلطتها. يُدخل النموذج علاقة الأسماء بالمفاتيح في الاستدلال نفسه، فلا يعامل جواب دليل الأسماء كحقيقة بلا مصدر.

لهذا تصبح جهات إصدار الشهادات وأدلة المؤسسات وسجلات الأجهزة ومديرو المجموعات والإعدادات المحلية أجزاء من الحد الأمني. قد يبقى التوقيع صحيحاً رياضياً بعد انتقال نطاق أسماء أو إعادة استخدام اسم مستعار أو تضييق صلاحية المُصدر. التحقق من التوقيع يثبت أن جهة ما وقّعت؛ أما كفاية ذلك التوقيع لإثبات الاسم الآن فهي مسألة مؤسسية إضافية.

التفويض لا يمحو المنفذ

ليس التفويض مجرد نسخ صامت للصلاحيات. في النموذج الذي يصفه البحث، يحتفظ أصيل مركب مثل B for A ببنية «B يعمل لحساب A». هناك تفويض من A وقبول من B، ويستطيع المورد أن يضع قاعدة لـA أو لـB أو لهذا التركيب بعينه، من دون الادعاء بأن A نفذ كل فعل بنفسه.

تظهر قيمة ذلك مع الوكلاء البرمجيين والمهام الآلية وحسابات الطوارئ. اختزال كل شيء في هوية A يخفي حدود الوسيط، وتسجيل B وحده يخفي مصدر سلطته. يحفظ الأصيل المركب في الدليل نفسه من منح السلطة ومن مارسها، ويتيح تقييم الأمرين على نحو مستقل.

تبقى الكلمة الأخيرة للمورد

بعد أن تنسب السلسلة الطلب إلى أصيل، يبدأ التخويل. يجمع الحارس بين العملية المطلوبة والكائن المحمي وقاعدة الوصول الخاصة به. قد يقرأ أصيل سجلاً ولا يعدله، أو يستدعي خدمة ولا يغير إعداداتها، أو يتصرف أثناء المناوبة لا خارجها. حالة «موثّق» ليست بطاقة مرور عامة.

وليست قائمة التحكم في الوصول مجموعة أسماء معزولة. إذا أشارت إلى دور أو مجموعة أو مفوض، فهي تعتمد على العضويات وسلطات التسمية القائمة في تلك اللحظة. إعادة بناء القرار تتطلب معرفة الكائن والعملية ونسخة القاعدة ومقدمات سلسلة التوثيق. سجل يقول «سُمح» أو «مُنع» فقط لا يميز خطأ السياسة من خطأ النسبة أو انتهاء الدليل.

الزمن يغيّر سلسلة كانت صحيحة

تدوير المفاتيح وتبديل الأدوار والخروج من مجموعة وإلغاء تفويض تحول حقيقة الأمس إلى مقدمة باطلة اليوم. يقلل التخزين المؤقت كلفة إعادة تركيب السلسلة، لكنه يطيل عمر الحقائق القديمة. مدد الصلاحية وسياسة التحديث وزمن وصول الإلغاء من مصدره إلى الحارس ليست تفاصيل تشغيلية جانبية؛ إنها تحدد كم من الوقت يمكن لمعلومة تخويل قديمة أن تستمر في إحداث أثر.

في مبادئ الأمن العملية التي عرضها Lampson لاحقاً، لا توجد وعود بالكمال: الأمن موازنة بين الكلفة والتعقيد وإمكان التعافي. والسؤال في سلسلة المسؤولية ليس إمكان القضاء الأبدي على التقادم، بل إمكان حصر أثره وكشفه وشرحه وتغيير أساس القرار بسرعة حين يتبين أن ربطاً أو تفويضاً كان خاطئاً.

التدقيق يحتاج إلى مسار القرار

يسمح سجل مفيد بإعادة بناء سبب قبول الحارس للطلب. يميز القناة المستلمة والأصيل المستنتج والتفويضات وعضويات المجموعات والكائن والعملية والقاعدة المستخدمة وتوقيت الأدلة. لا يلزم نسخ المنطق الصوري كاملاً إلى السجل، لكن عبارة «كان النظام يظن أنه ذلك الشخص» لا تصلح نهاية للتحقيق.

تكمن قوة “speaks for” الباقية في أنه لم يَعِد ببنية هوية عالمية موحدة، ولم يلغ الحاجة إلى الثقة. بدلاً من ذلك، أوجب على كل انتقال — من القناة إلى المفتاح، ومن المفتاح إلى الاسم، ومن الخدمة إلى الدور — أن يحدد السلطة التي يستعيرها. وبذلك لا يبقى الفشل ضوءاً أحمر عاماً في خدمة الدخول؛ يمكن رده إلى ربط أو تفويض أو عضوية أو قاعدة مورد بعينها.

المصادر