الخلاصة

  • المراجعة 12 هي Internet-Draft تجريبية نشطة، وليست RFC ولا دليلاً على تنفيذ أو نشر.
  • ملف HTTPS يعبّر عن الحالة التي تريدها المنشأة؛ التسجيل وسياسة zone factory يحتفظان بسلطة الكتابة في DNS.
  • لا تحدد المسودّة إدخال المنشآت إلى قائمة polling أو إخراجها ولا طلب حذف كل سجلات HTTPS.
  • سحب التفويض، تحديث المنطقة، انتهاء cache ونجاح ECH ونتيجة التطبيق إيصالات مختلفة.

الاستمرار في الوصول ليس استمراراً في التفويض

تسمح سجلات SVCB وHTTPS بنشر معلمات الاتصال عبر DNS. ولأن إعدادات ECH قد تتغير في نظام منفصل عن المنطقة الموثوقة، تقترح المسودّة مورداً well-known تقرؤه zone factory وتتحقق منه ثم تحوله وفق السياسة.

لكن بقاء المورد متاحاً لا يعني أن المنشأة ما زالت مشاركة. قد يظل ملف قديم بعد تغيير مزود أو إنهاء خدمة أو نقل السلطة. وإذا استمرت zone factory في polling فقد تواصل نشر نقاط لم تعد مرغوبة.

يجب أن يكون التسجيل عقداً ذا مالك وepoch ونطاق، وأن يكون السحب عقداً مماثلاً. لا يكفي أن تنجح آخر قراءة أو أن يبقى الملف موجوداً.

المسودّة تترك آلية الخروج للتشغيل

لا تحدد المراجعة كيف تضاف المنشأة إلى قائمة polling أو تحذف منها، ولا كيف يطلب client-facing server إزالة جميع سجلات HTTPS. هذه ليست ثغرة صغيرة في الواجهة؛ إنها قرار سلطة واستمرارية.

كما لا يصلح 404 وحده أمراً بالحذف. قد يكون خطأً مؤقتاً أو مساراً خاطئاً. وفي المقابل، الاحتفاظ إلى الأبد بسبب الغموض يثبت بيانات قديمة.

يحتاج السحب إلى هوية المصرح، ووقت السريان، والبديل أو الإزالة، وآخر polling، وserial المنطقة، وفحوص السلطات، ومراقبة انتهاء cache. قد تختلف سياسة ECH عن hints أو aliases.

الملف المقروء ليس تحديث DNS

HTTPS يثبت أن منشأة محددة قدمت مستنداً تحت شهادة مقبولة. لا يثبت أن zone factory سجلتها، أو أن JSON صالح، أو أن السياسة سمحت به، أو أن المنطقة تغيرت، أو أن العملاء شاهدوه.

الحالة المرغوبة في JSON، وقرار التحقق، والـRRset المتولد، والحالة المطبقة في السلطة، والحالة الموزعة عند العملاء طبقات مستقلة. لكل منها وقت وhash.

لوحة تعرض «آخر fetch ناجح» فقط تخلط بين طلب مرفوض وتغيير لم يطبق ونشر متقارب فعلاً.

الإعداد الافتراضي يحمي السلطة

ينبغي ألا تنشئ zone factory سجلات من الملفات المكتشفة في وضعها الافتراضي. التفعيل يحتاج تغييراً من المشغل. المورد العام ليس تفويض DNS.

يسجل العقد المنشأة والمنفذ وowner name ونوع السجل والسياسة والمسؤول. وللأسماء العشوائية المتوافقة مع SVCB لا توجد عادة منشأة HTTP مخولة طبيعياً؛ يجب تعيين الاسم والنوع إلى URL كامل أو مصدر محلي.

كما لا يخول ملف على 443 خدمة في 8443 لمجرد اشتراكهما في المضيف. المنفذ جزء من حدود السلطة.

JSON الصحيح قد يفشل السياسة

يحتوي الكائن regeninterval وendpoints؛ المفاتيح العليا المجهولة تُهمل والقائمة الفارغة خطأ. ServiceMode وAliasMode لا يعفيان الناتج من قواعد SVCB/HTTPS.

إذا فشل التحويل أو لم تفهم zone factory مفتاحاً أو رفضت fragment، فيجب ألا تحدث DNS. ربما لا ترى المنشأة هذا الرفض. لذلك يجب الإبلاغ عن body hash وparse والتطبيع والحقول المرفوضة وRRset والسياسة والقرار.

«لا تغيير» و«تغيير غير صالح» و«صالح لكن مرفوض» حالات مختلفة، وكذلك الانسحاب ليس واحداً منها.

اختبار واحد لا يغطي القائمة

ينبغي اختبار ECH قبل النشر، وقد يلزم عميل خاص يستخدم ECHConfigList غير منشورة. لكن بعض القيم قد تفشل قصداً بسبب GREASE، وقد يضم multi-CDN عناوين لم يصل الاختبار إليها.

إذا اختلفت hints عن A/AAAA فينبغي التحقق من webPKI في كل عنوان مهم. يسجل الإيصال endpoint والعائلة وECHConfig والشهادة وALPN والمنفذ والنتيجة.

نجاح اتصال واحد لا يوقع كل العناصر، كما أن فشل GREASE المتوقع لا يبطل القائمة كلها.

الوقت موزع بين أنظمة عدة

regeninterval تكرار محتمل للتوليد، وليس وقت انتهاء دقيقاً. ينبغي أن يكون TTL أقصر، وأن تحاول zone factory التحديث قبل ذلك.

مع ذلك تتحرك ساعة المنشأة وpolling وcommit وتكرار السلطات وcache والعملاء منفصلة. وتسمح retry_configs ببعض اختلاف النسخ. لا يمكن إعلان التقارب عند تغيير الملف.

قد تنتج عدة zone factories RRsets مختلفة بسبب فهم أو سياسة مختلفة. يجب مقارنة المعنى والserial والفحوص، لا نص JSON وحده.

العميل العام لا يستخدم قناة التحكم

حتى لو كان المورد عاماً، لا ينبغي للعميل HTTP العادي أن يستعمله بدلاً من HTTPS/SVCB عبر DNS المفضل. اتصال bootstrap لا يستطيع استعمال ECH فيكشف الاسم المراد حمايته.

وقد ترسل المنشأة إعداداً فريداً لكل قارئ فيصبح أداة tracking. توزيع DNS وتجميع cache يختلفان عن رد HTTPS فردي.

يحتفظ إيصال العميل بمسار resolver ونسخة RRset وعمر cache وendpoint وECHConfig وhandshake والنتيجة. أما JSON فهو لقناة المشغل.

اختراق قصير قد يترك أثراً بعد السحب

يمكن للقيم الخاطئة أن تسبب كشف خصوصية أو إفراطاً في retry_configs. ولأن webPKI قد يعتمد على DNS أو HTTP لإثبات السيطرة، فقد يمدد اختراق مؤقت أثره عبر hints في سلسلة تحقق ضعيفة.

هذا نموذج خطر وليس حادثاً مثبتاً. تقارن hints بـA/AAAA وتوثق في العناوين، ويمكن أن تضيف CAA سياقاً. لا يجب أن يغلق نفس الإدخال القابل للاختراق التوجيه والهوية معاً.

كما يجب منع traversal أو enumeration في filesystem كي لا يصل المورد العام إلى مفاتيح ECH الخاصة.

المصادر والحدود

تضم الحزمة المراجعة 12 وسجلها وتاريخها؛ TLS WG؛ SVCB/HTTPS؛ bootstrap ECH؛ ECH؛ well-known URI؛ TLS 1.3؛ ACME؛ CAA؛ سجلات IANA وkey-share prediction.

تثبت المصادر النصوص والمخاطر فقط. لا تثبت zone factory أو تحديث DNS أو ECH أو تقارباً أو شهادة أو tracking أو اختراقاً أو نتيجة تطبيق. البداية حالة مُنشأة.

المصادر