الخلاصة

  • تبحث مسودة Internet-Draft فردية بتاريخ 27 أكتوبر انتحال أسماء الدعم والموظفين المسؤولين عن التوظيف داخل منصات العمل والتجارة والتعليم. تقدم اعتبارات هندسية ولا تضع بروتوكولاً جديداً.
  • تحدد المسودة مشكلتين: الاقتصار على تطابق «هيكل» Unicode قد يفوّت تشابهاً بصرياً، وبعض مدققات أسماء المضيفين التي تناولها الكاتب قَبِلت قيماً أبقت حروفاً غير مرئية. يتطلب الحكم جمع بيانات المرسل والرابط وطلب الرسالة.

يصل طلب إلى مستخدم منصة توظيف من حساب يظهر باسم «الدعم». الاسم المعروض ليس بطاقة تعيين؛ أي حساب يستطيع اختيار كلمات شبيهة. تضع المسودة الجديدة عن المرسلين المتشابهين السؤال عند الرسالة الواحدة: من أرسلها، ما عنوانه، أين يقود الرابط، وما الذي يطلبه من القارئ؟ في تبادل الرسائل داخل التطبيق لا تقف بوابة بريد الشركة المستقبلة بين الحسابين. المنصة هي التي تُظهر الاسم وتعرف أي الحسابات منحتها صفة رسمية.

تقترح المسودة ثلاثة أنواع من الإشارات. يُقارن نطاق المرسل ومضيف الرابط بالهويات التي تحميها المنصة. ثم يُفحص وضع اسم العلامة في عنوان لا يخصها أو في الاسم الظاهر. ويُقرأ الطلب: تسليم كلمة مرور، الخروج إلى موقع آخر، أو الامتثال لسلطة تزعمها الرسالة. تزداد قيمة الإشارات عندما تجتمع. مكتب التوظيف في جامعة قد يستعمل مفردات قريبة من حساب توظيف حقيقي؛ تشابه الاسم وحده أساس سيئ لعقوبة ثقيلة.

الفخ الأول في اختزال فحص Unicode إلى علامة مساواة واحدة. يعرّف المعيار UTS #39 تحويل «الهيكل» للأحرف المتشابهة بصرياً ويصف كشف مزج أنظمة الكتابة. تشرح المسودة كيف يفوت فحص تطابق الهيكل تماماً بعض المقلدات: حرف كابا اليوناني الصغير وحرف «تي» السيريلي الصغير ينتقلان إلى نموذجين لاتينيين غير ASCII. قد يبدو الاسم قريباً من علامة مكتوبة بأحرف ASCII بينما يختلف هيكله عنها. لذلك تقترح إضافة كشف الكتابة المختلطة ومسافة تحرير محدودة بين الهياكل.

الفخ الثاني حرف لا يُرى أصلاً. تقول المسودة إن عدداً من مدققات الإدخال في مراجعتها قبل أسماء مضيفين تحمل U+00AD أو U+200B أو U+2060 أو U+FEFF، ثم أعاد القيمة مع الحرف الخفي باقياً. يحدد RFC 5890 إطار أسماء النطاقات الدولية، ويبين RFC 5892 قواعد نقاط الترميز، وتصف وثيقة Unicode UTS #46 معالجة التوافق. تطلب المسودة معالجة اسم المضيف وفق IDNA2008 أو UTS-46 قبل مقارنته بالقائمة المسموح بها، ورفض الملصقات التي تحتوي حرف تنسيق أو حرفاً يُتجاهل افتراضياً. ختم «صالح» على سلسلة تحتفظ بالجزء المخفي يرسل الالتباس إلى البرنامج التالي.

صاحب القرار هنا هو مشغّل المنصة. يختار أسماء الدعم التي يحميها، ويربطها بحسابات مخولة، ويحدد متى تكفي رسالة تنبيه ومتى يتوقف الإرسال. تسمح المسودة باستعمال نموذج لغوي لإضافة سياق، لكنها تعتبر نص الرسالة مدخلاً غير موثوق وتقدم الأدلة الحتمية عن المرسل على حكم النموذج. تسجل Datatracker الوثيقة مسودة فردية في حالة I-D Exists ومقصود بها الوضع Informational.

لم تنشر المسودة أسماء المكتبات المفحوصة وإصداراتها وجدولاً قابلاً لإعادة اختبار المدخلات والنتائج. هذا الجدول يحدد مدى استمرار عيب الحرف الخفي في الإصدارات الحالية.