الخلاصة

  • يجمع تقرير APNIC الصادر في أكتوبر بين قراءة من يوليو لإشارات المحللات وفق RFC 8145 واختبارات جديدة وفق RFC 8509 على أنظمة طرفية. تصف نسبتا 90٪ و70٪ مساري رصد مختلفين، ولا يجوز طرح إحداهما من الأخرى أو حساب متوسطهما.
  • جدول الشبكات قائمة لمتابعة الفحص، وليس درجة جاهزية لمزود أو تقديراً لعدد العملاء المعرضين للخطر. على كل مشغل أن يختبر محللاته المتحققة بنفسه.

تحليل

كل نسبة تحتاج إلى مسار رصد واضح

قبل يومين من تغيير مجدول لمفتاح DNSSEC الجذري، تبدو نسبة الجاهزية كأنها الإجابة التي يريدها الجميع: إذا كانت أغلبية المحللات تملك المفتاح البديل، فالتغيير آمن؛ وإذا لم تكن كذلك، فعلى جهة ما إيقافه. لكن المشكلة تكمن في معنى «الأغلبية». فإشارة المحلل، واختبار يمر عبر شبكة مستخدم، والأشخاص الذين يعتمدون على تلك الشبكة وحدات مختلفة لا يمكن استبدال إحداها بالأخرى.

يعرض تقرير APNIC المنشور في 9 أكتوبر، والمكتوب في اليوم السابق، نوعين من الرصد المتعلق بـ KSK-2024. يعتمد الأول على RFC 8145: تستطيع المحللات التي تتحقق من DNSSEC الإشارة إلى معرّفات المفاتيح التي تثق بها ضمن استعلامات يراها مشغلو الخوادم الموثوقة. أما الثاني فيستخدم آلية Root Key Trust Anchor Sentinel الواردة في RFC 8509. يرسل نظام طرفي الاختبار، ثم تساعد الاستجابة على استنتاج حالة ثقة المحلل. الموضوع هو المفتاح الجذري نفسه والموعد نفسه، لكن محل القياس مختلف.

هناك تفصيل مهم في وصف RFC 8145. تقول APNIC إن رسم يوليو يشير إلى أن نحو 90٪ من المحللات التي ترسل إشارات أضافت KSK-2024. ويقول تحديث Verisign في 28 يوليو إن التبني بين المصادر التي ترسل الإشارات تجاوز 95٪ بعد نحو 500 يوم. وتنسب APNIC الرسم إلى Verisign، لكن النصين المنشورين لا يحددان تاريخ استخراج وتعريف قياس مشتركين يتيحان مطابقة الرقمين. ربما يشيران إلى لقطتين أو ملخصين مختلفين؛ ولا يحسم النص المتاح ذلك. هذه فجوة توثيق ينبغي الإبقاء عليها، وليست دليلاً على فشل القياس.

أما نسبة 70٪ الأحدث فأبعد عن المقارنة المباشرة. تفيد APNIC بأن منصة القياس المعتمدة على الإعلانات أجرت في المتوسط نحو 16 مليون اختبار يومياً على أنظمة طرفية. وأظهرت قرابة 6 ملايين اختبار يومياً أن النظام الطرفي يقع خلف محلل تكراري يتحقق من DNSSEC، بينما قدم نحو 1.8 مليون اختبار إشارة واضحة إلى دعم RFC 8509. ومن الاختبارات التي بدا أنها تدعم آلية الاستشعار، أبلغ نحو 70٪ عن تحميل KSK-2024. هذا المقام هو مجموعة الاختبارات التي أصدرت إشارة واضحة، لا الاختبارات الستة عشر مليوناً كلها، ولا جميع المحللات المتحققة، ولا جميع مستخدمي الإنترنت.

آليتان وسؤالان

يسمح RFC 8145 للمحلل المتحقق بالإبلاغ عن معرّفات المفاتيح في سلسلة الثقة. ويحدد طريقتين اختياريتين: خيار EDNS أو استعلاماً خاصاً. وفي حالة منطقة الجذر، يستطيع مشغلو البنية التحتية الموثوقة رصد هذه الإشارات. وتبين البيانات كيف تتغير حالة المفاتيح التي تعلنها المصادر المرسلة للإشارات.

لكنها لا تكشف عدد الأسر أو الشركات أو الخدمات التي تعتمد على كل محلل. فبعض المحللات التكرارية تخدم ملايين المستخدمين، بينما يخدم بعضها الآخر مؤسسة واحدة أو جهازاً واحداً. كما قد تؤثر المحللات الوسيطة في ما يراه مشغل خادم الجذر. لذا تجيب نسبة الإشارات المبلّغ عنها عن سؤال يتعلق بتلك الإشارات، لا عن حجم تعرض المستخدمين.

يسلك RFC 8509 طريقاً مختلفاً. يرسل الاختبار استعلامات DNS بصيغة خاصة، ويستجيب المحلل المتحقق الداعم وفقاً لما إذا كان يثق بمفتاح جذري محدد. وتستخدم APNIC منصة قياس إعلانية لإجراء الاختبارات عبر مجموعة من الأنظمة الطرفية. يقترب هذا الرصد أكثر من مسار الحل الذي يمر به النظام المختبر، لكنه يظل رهناً بدعم المحلل وبإمكان تصنيف الاستجابة. ولا يحدد جميع المحللات خلف ذلك النظام، ولا يحصي جميع المستخدمين الذين يتشاركونها.

ويقدم اختبار RIPE Atlas في 5 أكتوبر منظوراً ثالثاً، لا تحققاً شاملاً. أظهرت المجسات في 2,900 نظام مستقل 1,230 سلوكاً يتوافق مع تحميل المفتاح الجديد، و47 سلوكاً يتوافق مع عدم تحميله. هذه نتائج مجسات داخل تلك الشبكات؛ ولا تعني فحص كل أنظمة 2,900 شبكة، ولا تكشف عدد العملاء الذين يعتمدون على كل نتيجة.

تظل القياسات الجزئية مفيدة حين نربط كل واحدة بالسؤال الذي تجيب عنه. يبيّن RFC 8145 ما تعلنه المحللات التي ترسل الإشارات باتجاه الجذر؛ ويختبر RFC 8509 سلوك مسارات داعمة خلف أنظمة طرفية؛ وتضيف RIPE Atlas نقاط رصد من مواقع أخرى. ولا يوفر أي منها وحده مقاماً كاملاً موزوناً بعدد المستخدمين للإنترنت كله.

قائمة متابعة وليست حكماً

الجزء الأكثر قابلية للاستخدام في تقرير APNIC ليس النسبة العامة. يسرد الجدول 3 خمسين شبكة ذات أدنى معدل قبول مرصود لـ KSK-2024 خلال الأسبوع السابق، بعد استبعاد الشبكات التي لم تسجل 1,000 اختبار على الأقل أظهر دعم المحللات لآلية الاستشعار. يجعل هذا الشرط الصفوف أكثر دلالة من رصد منفرد، لكنه لا يحولها إلى تدقيق جاهزية.

تشمل القائمة شبكات في آسيا والمحيط الهادئ، منها National Telecom في تايلاند وTeletalk في بنغلادش. وتورد APNIC نسبة 48.4٪ لـ National Telecom ضمن 1,355 اختباراً داعماً للاستشعار، و48.2٪ لـ Teletalk ضمن 2,046 اختباراً. تشير الأرقام إلى مجموعات اختبار قد تستحق فحصاً إضافياً. لكنها لا تثبت أن جميع محللات المشغلين في الحالة نفسها، أو أن كل استجابة تمثل شخصاً مختلفاً، أو أن النسبة نفسها من العملاء ستفقد الوصول.

تقترح APNIC على الشبكات الواردة في القائمة اختبار مسارها بنفسها، بما في ذلك عبر صفحة الفحص التي تديرها Cloudflare، ومراجعة إعدادات DNS. هذا هو الاستخدام المناسب للجدول: إشارة يتابعها المشغل، لا حكم خارجي. فقد يشغل المزود عدة خدمات تكرارية، أو يمرر بعض الحركة، أو يعتمد على مفاتيح توزعها جهة موردة. ولا يستطيع الجدول العام الفصل في هذه الإعدادات.

يتضمن الجدول الزمني ثلاثة انتقالات منفصلة

يقول الجدول الحالي لـ IANA إن KSK-2024 أُدخلت إلى منطقة الجذر في 11 يناير 2025، وكان متوقعاً أن تبدأ المحللات التي تتبع RFC 5011 الثقة بها بعد شهر. وفي 11 أكتوبر 2026، من المقرر أن تبدأ KSK-2024 توقيع الجذر وأن تتوقف KSK-2017 عن التوقيع. أما إلغاء المفتاح القديم فمقرر في 11 يناير 2027، وإزالته في 22 مارس.

تمثل هذه التواريخ حالات مختلفة. فبدء المفتاح الجديد بالتوقيع لا يعني إلغاء القديم، والإلغاء لا يعني أن المفتاح أزيل بالفعل من المنطقة. تمنح فترة الانتظار في RFC 5011 المحلل وقتاً لمراقبة المفتاح البديل والتحقق منه قبل قبوله تلقائياً. لكن وجود البروتوكول لا يثبت أن تثبيته فعّل التحديث التلقائي، أو احتفظ بحالة قابلة للكتابة، أو تلقى الملاحظات المطلوبة.

الأدوار مختلفة أيضاً. تنشر IANA ملفات مراسي الثقة والجدول الحالي؛ وتشغل ICANN/PTI عملية KSK الجذر؛ وتتولى Verisign، من بين أدوار أخرى، صيانة منطقة الجذر ونقطة رصد على خادم جذري؛ وتنشر APNIC تحليلات قياسها. ويظل كل مشغل شبكة مسؤولاً عن المحللات التكرارية التي يستخدمها عملاؤه. تستطيع APNIC تقديم أدلة، لكنها لا تتحكم بمفتاح الجذر ولا تقرر استمرار الانتقال العالمي.

بالنسبة إلى المشغل، يبدأ الفحص الفوري محلياً: التأكد من أن المحلل المنشور يثق بالمفتاح البديل الصحيح، واختبار عمل التحديث التلقائي أو المسار اليدوي المعتمد، وفحص مسارات DNS التي يستخدمها العملاء في الإنتاج. تنشر IANA ملفات مراسي الثقة، وتوثق الجهات الموردة إجراءاتها. قد يشير القياس العام إلى مواضع الفحص، لكنه لا يجريه نيابة عن المؤسسة.

تدعم الأدلة المتاحة في 9 أكتوبر استنتاجاً محدوداً. فالمفتاح البديل منشور منذ أكثر من عام، وتشير نسبة كبيرة من الإشارات ومسارات الاختبار المرصودة إلى تحميله، وحددت APNIC شبكات قد يفيدها المتابعة الموجهة. ولا تتحول أوصاف 90٪ وأكثر من 95٪ و70٪ إلى درجة جاهزية واحدة. سيكون السؤال العملي في 11 أكتوبر هو ما إذا كان مسار تحقق بعينه يقبل الجذر الموقع بالمفتاح الجديد، لا أي نسبة تصلح عنواناً.

المصادر

تقرير قياسات APNIC في 9 أكتوبر؛ جدول مراسي الثقة والتغييرات لدى IANA؛ RFC 8145؛ RFC 8509؛ RFC 5011؛ تحديث Verisign في 28 يوليو؛ أسئلة ICANN التشغيلية لعام 2026؛ اختبار محللات Cloudflare لـ KSK-2024.