الخلاصة

  • تقيد النسخة 1.6.8 من FORT، المنشورة في 31 مايو، مراجع اللقطات والملفات التزايدية بين الأصول. يبدأ التنزيل قبل حذف مساحة العمل المحلية، ويصبح الحذف والتحليل مشروطين بإشارة تغير المحتوى.
  • المسار السريع في الذاكرة المؤقتة يظل يعيد نتيجة محاولة محفوظة. لا يفحص من جديد وجود الملف، كما أن تطابق البصمة لا يمنح وحده صلاحية إعادة البناء ولا يحدد ما سيفعله الموجه.

يمكن أن تكون البيانات أصلية، وأن تطابق بصمتها القيمة المنتظرة، ثم تختفي من الصورة المحلية التي ينتجها عميل التحقق. هذه ليست مفارقة في التشفير، بل فرق بين سلامة المحتوى والسياق الذي يستخدمه فيه البرنامج.

هذا هو الجانب المهم في مشكلة اللقطات التي نشرها مشروع FORT. لم يكن سرقة مفتاح توقيع الجهة الضحية شرطًا لاختفاء كائناتها من الخرج المحلي. الحالة المنشورة تخص جهات تصديق مفوضة تحت مرساة ثقة مشتركة، لا أي مستخدم للإنترنت بلا مصادقة.

FORT مشروع من LACNIC وNIC.MX. يصنف التنبيه الرسمي مشكلة الذاكرة المشتركة بدرجة خطورة عالية، ويذكر النسخ حتى 1.6.7 باعتبارها متأثرة و1.6.8 باعتبارها مصححة. هذه قراءة للمصادر المنشورة في 14 سبتمبر، وليست تنفيذًا للهجوم أو قياسًا للنسخ المنتشرة أو خبرًا عن إصدار جديد في سبتمبر.

ما الذي تغير في إعادة البناء؟

في شيفرة RRDP المثبتة على إصدار 1.6.7، يبدأ handle_snapshot باستدعاء delete_rpp لحذف مساحة نقطة النشر المحلية. يأتي cache_download بعد ذلك، ويتبعه parse_snapshot عند عودة نتيجة نجاح، من دون اشتراط أن يكون هذا الاستدعاء قد جلب محتوى جديدًا.

تبدأ وظيفة الإصدار 1.6.8 بالتنزيل وتطلب كذلك مؤشر changed. إذا أخفق التنزيل تخرج الوظيفة قبل عملية الحذف هذه. أما حذف المساحة وتحليل اللقطة وحذف ملفها، فتقع داخل فرع تغير المحتوى.

النتيجة الدقيقة ليست أن الذاكرة صارت تعرف الحاضر، بل أن الجهة المستهلكة لنتيجتها تعمل تحت شرط مختلف. نجاح مستعاد من الذاكرة، من دون تغير معلن، لم يعد أمرًا غير مشروط بتنفيذ سلسلة الاستبدال هذه.

تتحقق محللات بيانات الإشعار في الإصدار نفسه من أصل مراجع اللقطة والملفات التزايدية، وترفض المرجع إذا اختلف عن أصل الإشعار. تقييد الموارد التي يستطيع الإشعار إشراكها يختلف عن تقييد وقت هدم مساحة محلية وإعادة بنائها. لا يصح اختزال الحمايتين في عبارة «تحقق أقوى من البصمة».

نتيجة قديمة ليست شهادة جديدة بوجود الملف

تظل شيفرة الذاكرة في 1.6.8 تحتوي على عودة سريعة إلى نتيجة مسجلة. بعد بناء URI قابل للتنزيل في سياق مرساة الثقة، تبحث عن السجل بمسار محلي يعيده uri_get_local بوصفه مفتاح جدول التجزئة. وصف هذا المفتاح حرفيًا بأنه مجرد عنوان HTTPS عالمي يتجاهل بناء المسار المحلي في الشيفرة.

إذا كانت المحاولة حديثة بالنسبة إلى بدء الذاكرة، تعيد الوظيفة نتيجتها المحفوظة. لا يوجد عند هذه العودة فحص جديد لوجود الملف المطلوب فعليًا على القرص.

هناك فحوص ملفات في مسارات أخرى، ومنها cache_check وتنظيف سجلات غابت ملفاتها. لذلك لا تعني هذه الملاحظة أن FORT لا يفحص الملفات مطلقًا. لكنها لا تسمح أيضًا باعتبار كل نجاح محفوظ ملاحظة آنية لوجودها.

وبقاء المسار السريع ليس دليلًا على أن الهجوم المنشور ما زال يعمل في النسخة المصححة. الإصلاح يغير شروط استخدام النتيجة في وظيفة اللقطة. هذه قراءة لآلية التصحيح، لا اكتشاف لتجاوز جديد لها.

التنزيل قبل الحذف ليس التحقق قبل الحذف

تفحص parse_snapshot في النسخة المصححة البصمة المتوقعة قبل تحليل XML. لا يدعي هذا التحقيق أن لقطة ذات بصمة مختلفة تُقبل.

لكن ترتيب العمليات يحدد نطاق ضمان آخر. داخل فرع changed، يحذف handle_snapshot مساحة العمل ثم يستدعي parse_snapshot، حيث يقع فحص البصمة. في هذه الوظيفة، نقل التنزيل قبل الحذف لا يعني نقل التحقق قبله، ولا يثبت وحده معاملة كاملة تحفظ آخر حالة سليمة دائمًا.

لم يُشغل العميل الكامل هنا، ولم تختبر آليات الرجوع والاستعادة الأوسع أو نشر الخرج النهائي. لا يمكن من ترتيب التنظيف في وظيفة واحدة استنتاج فقدان دائم للكائنات، فضلًا عن فقدان المسارات أو حركة المرور.

تطابق البصمة يربط البايتات بقيمة متوقعة. لا يستبدل التحقق من توقيعات وموارد RPKI، ولا يعطي إشعارًا صلاحية التعامل مع مساحة مستودع آخر، ولا يقرر سياسة التحقق من الأصل في الموجه.

الأصل الواحد لا يعني جهازًا واحدًا

نُشر RFC 9674 في ديسمبر 2024 تحديثًا لـRFC 8182. يفرض تطابق المخطط والمضيف والمنفذ في المراجع، ويمنع إعادة التوجيه إلى أصل مختلف. هذا الحد ليس شركة واحدة أو حساب دخول واحدًا أو خادمًا ماديًا واحدًا.

يمكن لشبكة توزيع محتوى أن تخدم خلف الأصل المطلوب. المقارنة هنا تثبت فحوص مراجع اللقطات والملفات التزايدية التي تمت قراءتها، لا تدقيقًا شاملًا لإعادة توجيه HTTP أو شهادة امتثال كاملة.

والاحتفاظ بالذاكرة المؤقتة له مبرر قوي. عدد كبير من العملاء يجلب بيانات من مجموعة أصغر من المستودعات. إعادة كل نقل أو حظر التوزيع عبر تلك الشبكات سيزيد الحمل. القرار المعقول هو الفصل بين ذاكرة محاولة تنزيل والإذن بعملية إعادة بناء محددة، لا الاختيار البسيط بين الأداء والأمن.

المصادر