الخلاصة

  • ما يزال طلب السحب 622 مفتوحاً تحت اسم Draft Ballot SC-XX؛ ولم يحصل بعد على رقم اقتراع نهائي، أو تصويت، أو مراجعة IPR مكتملة، أو نص مُعتمد، أو نفاذ ملزم.
  • تقيس متطلبات TLS الأساسية الحالية، الإصدار 2.2.9، المدة إلى الإلغاء المنشور منذ استلام Certificate Problem Report أو إشعار ذي صلة. أما المسودة فتعطي جهة التصديق 24 ساعة لتقرر إن كان التقرير actionable، ثم تبدأ مهلة الإلغاء المناسبة من ذلك القرار.
  • لا يعني وصف التقرير بأنه قابل للإجراء ثبوت المخالفة. يطلب النص المجمد معرّفاً صالحاً لشهادة واحدة على الأقل ما تزال سارية وغير ملغاة، مع شرح للمخالفة أو سبب الإلغاء.
  • يطلق توقيت القرار نفسه فترة 120 ساعة لفحص سائر الشهادات السارية وغير الملغاة التي أصدرتها الجهة. ولكل شهادة إضافية متأثرة ساعة مستقلة تبدأ عند أول تعرف عليها.
  • يعرّف المقترح Revoked من منظور قابل للرصد: يجب أن تتضمن CRL المعنية الرقم التسلسلي، وأن تعيد نقطة OCSP المعنية certStatus=revoked. لكنه لا يَعِد بتغير جميع النسخ المخبأة في اللحظة نفسها.
  • ينبغي لإيصال محدود الإفصاح أن يربط قناة الاستلام الرسمية، وقرار قابلية الإجراء، والنتيجة الموضوعية، وتوسيع مجموعة الشهادات، وفئة المهلة، ونشر الحالة، من دون كشف المفاتيح الخاصة أو نص التقرير أو بيانات المشتركين.

الرسالة الواحدة لا تولّد ساعة واحدة

قد يبدأ تقرير مشكلة شهادة بسطر قصير ورقم تسلسلي واحد. لكن العيب قد يكون في طريقة تحقق مشتركة استُخدمت آلاف المرات، أو في مفتاح ظهر في أكثر من شهادة، أو في إصدار لا يستطيع المُبلّغ الخارجي حصره. ما يراه الباحث عينة؛ وما تستطيع جهة التصديق البحث فيه مجموعة كاملة من سجلات الإصدار وطرق التحقق وعلاقات الحسابات وتاريخ النشر.

يحاول طلب السحب 622 تحويل هذا الانتقال إلى مراحل مضبوطة. خلال 24 ساعة من استلام Certificate Problem Report، تقرر جهة التصديق إن كان قابلاً للإجراء. وإذا كان كذلك، تنشأ التزامات متعددة: إبلاغ مُبلّغ يمكن الاتصال به بالنتائج خلال 24 ساعة أخرى، وبدء مهلة الإلغاء المرتبطة بالسبب، وفتح فحص خلال 120 ساعة لكل شهادة أخرى سارية وغير ملغاة أصدرتها الجهة وقد تحمل المخالفة نفسها.

ليست هذه ساعة موحدة. فالقسم 4.9.1.1 يميز بين أسباب مختلفة. أدلة اختراق المفتاح الخاص أو عدم موثوقية التحقق من النطاق تفرض الإلغاء خلال 24 ساعة. وفي أسباب أخرى تكون 24 ساعة توصية SHOULD، وخمسة أيام حداً إلزامياً MUST. لذلك لا تكفي عبارة «عولج في الوقت»؛ يجب أن يسجل الدليل نقطة البدء وفئة السبب معاً.

يربط الإصدار الحالي 2.2.9 المدة الخارجية، من التقرير أو الإشعار المتعلق بالإلغاء إلى الإلغاء المنشور، بلحظة الاستلام. ينقل المقترح هذا البدء، في تقارير الأطراف الثالثة، إلى لحظة الحكم بقابلية الإجراء. وتعرض مبرراته هذا الفاصل بوصفه فرصة محددة لجهة التصديق كي تتحقق من وجود معلومات كافية قبل تشغيل مهلة الإلغاء الأساسية.

للفاصل منطق تشغيلي. رسالة لا تحدد شهادة ولا تشرح خطراً لا ينبغي أن تطلق فوراً قراراً قد يوقف خدمة. لكن التصنيف، حين يغير تقويم الامتثال كله، لم يعد فرزاً إدارياً في صندوق الوارد. لقد أصبح فعلاً تنظيمياً يحتاج إلى أثر.

قابل للإجراء لا تعني أن الادعاء صحيح

عتبة المسودة هي عتبة للتحقيق، لا للحكم. ينبغي أن يحتوي التقرير معرّفاً صالحاً لشهادة أصدرتها الجهة، وما تزال ضمن صلاحيتها وغير ملغاة. يجب دعم الرقم التسلسلي، ويُستحسن دعم بصمة SHA-256 للشهادة أو الشهادة المسبقة. ثم يلزم شرح لكيفية مخالفة Baseline Requirements أو سياسة الجهة، أو ذكر سبب للإلغاء مثل اختراق المفتاح.

قد يستوفي تقرير هذه العناصر ويكون مخطئاً. يستطيع مُبلّغ أن يحدد شهادة حقيقية وبنداً حقيقياً، ثم يسيء فهم الوقائع. ويمكن لجهة التصديق قبول التحقيق ثم تخلص إلى عدم وجود مخالفة. تميز تعليقات طلب السحب مراراً بين قابلية الملف للتحقيق، وثبوت عدم الامتثال، واكتمال المعالجة.

يحمي هذا الفصل الطرفين. لا يكتسب المُبلّغ سلطة إلغاء بمجرد ملء الحقول. ولا يجوز للجهة أن تجعل actionable مرادفاً لعبارة «اقتنعنا بالادعاء»، لأن الساعة عندها لن تبدأ إلا بعد انتهاء التحقيق. صياغة أن التقرير يُعد قابلاً للإجراء إذا احتوى عناصر معينة تشير إلى اختبار للمدخل، لا إلى نتيجة نهائية.

القناة الرسمية جزء من الاختبار. تطلب المسودة تعليمات واضحة في القسم 1.5.2 من Certification Practice Statement، وتقترح صفحة سهلة الوصول أو أسئلة شائعة أو قاعدة معرفة. يجوز للنموذج أن يمنع الإرسالات غير القابلة للإجراء، لكن يجب أن يستطيع استقبال الإرسالات المستوفية.

ناقش المراجعون ما إذا كان النطاق أو الرقم التسلسلي أو البصمة أو المفتاح الخاص يكفي في النموذج، وهل يجب إبقاء البريد الإلكتروني، وماذا يحدث إذا وصلت الرسالة إلى موظف عادي. لا يصح أن يبدأ مفتاح أُرسل إلى موظف موارد بشرية مهلة تقنية عليه. ولا يصح أيضاً أن يرفض النموذج الأمني الرسمي الدليل المتاح قبل إنشاء القضية. يجب أن يسجل الإيصال القناة، ووقت الاستلام، وإصدار التعليمات العامة الساري حينها.

تعريف الإلغاء ينتقل إلى واجهة يستطيع الغير اختبارها

أوضح أجزاء المقترح هو تعريف Revoked. إذا احتوت الشهادة على URI لنقطة توزيع CRL، فيجب أن تحتوي قائمة CRL المتاحة هناك على رقمها التسلسلي. وإذا احتوت على URI لـOCSP في Authority Information Access، فيجب أن تعيد الاستعلامات عن ذلك الرقم certStatus=revoked.

منذ 2021 يسأل issue 252 في مستودع servercert عن اللحظة التقنية التي تعني الإلغاء. هل هي تغيير حقل في قاعدة داخلية؟ أم توقيع CRL أو استجابة OCSP جديدة؟ أم وضع الكائن على خادم الأصل؟ أم قدرة الطرف المعتمد على جلب الحالة عبر مسارات التوزيع التي أعلنتها الشهادة نفسها؟

لا يغير البِت الداخلي قرار الثقة الخارجي. وكذلك لا يكفي كائن موقّع لا يغادر خادم الأصل. يضع النص المقترح اكتمال الإجراء عند الواجهة التي يستطيع الطرف المعتمد الاستعلام منها. وإذا أعلنت الشهادة آليتي الحالة، فالقراءة الطبيعية هي وجوب تحقق الشرطين المعنيين.

لكن ذلك ليس وعداً بالتزامن المطلق. توثق مناقشة issue 252 صعوبة تحديث المحتوى أو سحبه عبر شبكات CDN. قد ترى مخابئ مختلفة حالات مختلفة لفترة محدودة، وقد يولد مستجيب OCSP عند الطلب إجابته لحظة الاستعلام. التعريف إذن شرط اكتمال قابل للرصد، لا ضمانة بأن كل جهاز سيتغير في الملّي ثانية نفسها.

هنا تظهر المفارقة: يمكن اختبار النهاية من خارج جهة التصديق، فيما توجد البداية، أي قرار قابلية الإجراء، أولاً داخلها وحدها.

فحص 120 ساعة ينقل مسؤولية اكتشاف المجموعة

تطلب المسودة، خلال 120 ساعة من قرار actionability، تقييم جميع الشهادات الأخرى السارية وغير الملغاة التي أصدرتها الجهة بحثاً عن صور إضافية من عدم الامتثال نفسه. ليس على المُبلّغ أن يحصي المجموعة. تكفي شهادة لفتح القضية؛ ثم تستخدم الجهة البيانات التي لا يملكها سواها للعثور على الشهادات الشقيقة.

يوضح حادث تحقق CNAME لدى DigiCert سبب هذا التوزيع، لكنه لا يثبت أن المسودة كانت ستمنع الحادث. يسجل Bugzilla 1910322 أن طرفاً ثالثاً لم يشارك في البداية أرقاماً تسلسلية كان يعرفها. وذكر تقرير DigiCert اللاحق، ضمن الأسباب الجذرية، عدم أخذ تقارير CPR الخالية من الأرقام بجدية، وأفاد بوجود 83,267 شهادة سارية صادرة بالطريقة المتأثرة وقت التقرير الكامل. كانت الإشارة الأولى والمجموعة الفعلية كائنين مختلفين تماماً.

اشتراط القائمة الكاملة من الباحث الخارجي يقلب ميزة المعلومات. أما عتبة الشهادة الواحدة مع فحص على مستوى الجهة فتضع الاكتشاف لدى الأقدر عليه. لكنها تخلق نقاط بدء جديدة: تبدأ 120 ساعة عند التصنيف، وتبدأ مهلة كل شهادة إضافية عندما تتعرف إليها الجهة للمرة الأولى.

لا تجيب عبارة «اكتمل فحص المجموعة» عن الفرق بين وقت بدء الاستعلام، ووقت مطابقة النظام للشهادة، ووقت تسجيل المحقق للمطابقة. يلزم تعريف المجموعة الأصلية، وإصدار الطريقة أو الاستعلام، ووقتا البداية والنهاية، وعدد المفحوص، وعدد المكتشف حديثاً، والاستثناءات والتصحيحات. لا حاجة إلى نشر الاستعلام أو قائمة العملاء، لكن لا يجوز أن تبدو دفعة ظهرت لاحقاً كأنها لم تكن ضمن سطح البحث الأصلي.

تحسين التقرير لا يمنح حق محو بدايته

احتكاك قنوات الإبلاغ جزء من دوافع النقاش. في حادث DigiCert لم تُقدَّم الأرقام المعروفة أولاً. وصفت شكوى SSL.com في Bugzilla 1942270 انتقال المُبلّغ من البريد إلى نموذج وعدم وضوح خانة “thumbprint”، وانتهت القضية بحالة INVALID. أما Bugzilla 1942241 فوصف رفض عنوان GoDaddy الرسمي لمرفق أرشيفي يحوي مادة مفتاح مخترق، وانتهى بحالة FIXED.

لا تثبت هذه السجلات نموذجاً مثالياً واحداً. قد تُحجب مرفقات البريد لأسباب أمنية مبررة، ويحق للنموذج مقاومة الرسائل العشوائية وطلبات الدعم. يحتاج المفتاح الخاص الصريح إلى معاملة خاصة، وقد يكون المُبلّغ مخطئاً. من الصواب ألا تحول المسودة كل رسالة إلى أمر إلغاء.

الخطر في أن تصبح عتبة الجودة أداة لاختفاء التاريخ. ينص النص المجمد عموماً على أن تطلب الجهة العناصر الناقصة خلال 24 ساعة من قرار عدم قابلية الإجراء، إذا أمكن الاتصال بالمُبلّغ. وإذا وصلت المعلومات لاحقاً، جاز أن يكون وصولها أساس الجداول اللاحقة. يمكن للساعة أن تبدأ لاحقاً بصورة مشروعة، من دون أن تُمحى البداية الأولى.

ينبغي لمعرّف القضية أن يبقى عبر حالات الاستلام، وغير القابل للإجراء، وطلب الاستكمال، والاستكمال، ثم القابل للإجراء. من دونه قد يصل ادعاء مفصل يوم الاثنين، يُستكمل برقم يوم الجمعة، فيبدو السجل كأن القضية وُلدت يوم الجمعة. قد تنجح كل خطوة محلية وتضيع الرحلة كاملة.

الإيصال المطلوب ضيق، لكنه يربط التحولات

لا يلزم نشر ملف الحادث، بل حفظ الوصلات بين الحالات التي تنشئها المسودة نفسها.

الحالة الحد الأدنى في الإيصال
الاستلام الرسمي القناة، وإصدار التعليمات، ووقت الوصول، ومعرّف تقرير يحمي الخصوصية
التصنيف الأولي وقت القرار، والعناصر الموجودة أو الناقصة، ورمز سبب محدود
النتيجة الموضوعية فئة المخالفة أو سبب الإلغاء، منفصلة صراحة عن actionability
المجموعة الأولية العدد، والمعرّفات المحمية، وفئة 24 ساعة أو خمسة أيام
تقييم المجموعة النطاق، وإصدار الطريقة، والبداية، والنهاية، وعدد المفحوص والجديد والاستثناءات
الاكتشافات الإضافية وقت أول تعرف وفئة مهلة لكل عنصر محمي أو دفعة مجمعة
النشر كل موقع CRL أو OCSP معني وأول رصد ناجح للحالة الملغاة
الحالة المتبقية استثناءات الانتشار، والتنسيق مع المشتركين، والتصحيحات، وصاحب الإجراء التالي

يمكن للطبقة العامة أن تعرض الأوقات والأعداد ورموز الحالة. ويمكن تجزئة معرّفات الشهادات أو تأخيرها عندما يضر الكشف بالمشتركين أو التحقيق. المفاتيح الصريحة ونصوص التقارير وبيانات الحسابات واستعلامات الكشف الداخلية وضوابط النموذج الأمنية تبقى محمية. ويستطيع المدقق أو برنامج الجذور فحص الطبقة التفصيلية عند الحاجة.

يفيد تمييز Lu Heng بين طبقات الواقع هنا كاختبار تحريري محدود، لا كعقيدة لـWeb PKI ولا كبديل عن قرار CA/B Forum. يجب وصل اسم الحالة بالحدث القابل للتنفيذ الذي يمنحه أثراً. يغير Actionable الساعة؛ ويغير Revoked ما يجوز للطرف المعتمد قبوله. كلاهما يحتاج إلى وقت ورصد، لا إلى تسمية فقط.

تاريخ مقترح في الفرع ليس تاريخ نفاذ

عند تجميد المصادر، ظل العنوان Draft Ballot SC-XX. كان head عند ef1dda7b7652d439c3b4b8db2328c4afd4a31ec0، والـbase عند 6aba16d239d793d547c9397c50a3013257107bb6. أما نسخة main المستخدمة للمقارنة فجُمّدت عند 5c13e270b4e0b6aaef258acf0a642d1c5a36cf97، وكانت تحمل الإصدار 2.2.9.

مع ذلك ما يزال ملف PR head يصف نفسه بأنه 2.2.2، ويحتوي 15 سبتمبر 2026 كتاريخ مقترح. هذا التناقض نفسه إنذار: الحقل جزء من فرع عمل، وليس موعداً مُعتمداً. تثبت محاضر SCWG في 13 أغسطس أن الموضوع نوقش، لكنها لا تثبت اكتمال رقم الاقتراع، والمناقشة الرسمية، والتصويت، وIPR، والنشر المطلوب بموجب الميثاق واللوائح.

يستطيع المشغلون اختبار سجلات الاستلام والفحص الآن، لكن لا يجوز لهم عرض 15 سبتمبر على أنه التزام نافذ. ما ينبغي مراقبته هو الرقم النهائي، والفترة الرسمية، والتصويت، وحالة IPR، والنسخة المعيارية المدمجة، ونص النفاذ الصريح.

المصادر

  1. Heng Lu، “On Reality Layers, Symbolic Power, and Why Clarity Feels So Hostile”
  2. طلب السحب 622 في مستودع servercert التابع لـCA/Browser Forum
  3. متطلبات Baseline Requirements المقترحة عند head المجمد ef1dda7b…
  4. متطلبات Baseline Requirements الحالية عند commit main المجمد 5c13e270…
  5. issue 252 في servercert: توضيح المعنى التقني للإلغاء
  6. Mozilla Bugzilla 1910322: حادث تحقق CNAME لدى DigiCert
  7. Mozilla Bugzilla 1942270: شكوى آلية الإبلاغ لدى SSL.com
  8. Mozilla Bugzilla 1942241: شكوى المرفقات لدى GoDaddy
  9. محضر اجتماع SCWG في 13 أغسطس 2026
  10. ميثاق Server Certificate Working Group
  11. لوائح CA/Browser Forum