الخلاصة

  • تعتمد نتيجة APNIC البالغة نحو 70٪ على الاختبارات التي أصدرت بوضوح إشارة RFC 8509 الإشارية؛ أما نسبة Verisign البالغة نحو 90٪ فتخص المحلّلات التي أبلغت وفق RFC 8145. ليستا تقديرين للمجموعة السكانية نفسها.
  • بدأ الجذر التوقيع باستخدام KSK-2024 في 11 أكتوبر 2026. تؤكد المعلومات العامة حدوث التبديل وعدم رصد اضطراب واسع النطاق، لكنها لا تحصي جميع المحلّلات أو الأشخاص الفريدين أو الإخفاقات المنفردة.

النسبة تحتاج إلى مقامها

أكثر القراءات إغراءً لأرقام تبديل المفتاح هي أقلها قابلية للدفاع: إذا كانت نحو 70٪ من المجموعة المقاسة تثق بالمفتاح الجديد، فربما كان 30٪ من المستخدمين الباقين معرّضين للخطر. يستبدل هذا الاستنتاج المقام من دون دليل. لم تقل APNIC Labs إنها أحصت جميع المحلّلات أو الأشخاص. فالنتيجة تصف اختبارات أظهرت قدرة محددة على القياس.

تقول APNIC إن نظام الاختبار القائم على الإعلانات يجري نحو 16 مليون اختبار يوميًا. وتشير نحو ستة ملايين نتيجة يومية إلى محلّل يتحقق من DNSSEC، بينما تعرض قرابة 1.8 مليون نتيجة بوضوح الإشارة RFC 8509. وتُحسب نسبة 70٪ تقريبًا ضمن الاختبارات التي يبدو أنها تدعم الإشارة وتُبلغ عن الثقة بـ KSK-2024. الاختبار ملاحظة، وليس مستخدمًا فريدًا جرى التحقق منه. قد تتكرر الأحداث للشخص نفسه أو الشبكة أو المحلّل؛ ولا تحوّل المنهجية المنشورة هذه الأحداث إلى تعداد سكاني موزون.

تظل هذه قرينة مفيدة. ففي المجموعة القابلة للقياس التي تستطيع الاستجابة للاختبار، لم يكن مرساة الثقة الجديدة معممة وقت جمع APNIC للملاحظات. ويمكن للنتيجة أن تكشف أنماطًا وتوجّه الفحص اللاحق. لكن قيمتها تعتمد على إبقاء الشرط ملازمًا للرقم.

رصدت Verisign إشارة مختلفة

تأتي نسبة 90٪ تقريبًا التي لخّصتها APNIC من تقارير Verisign وفق RFC 8145. ويمكن للمحلّل المتوافق أن يرسل إلى منظومة خوادم الجذر إشارة عن وسوم المفاتيح التي يتعرف إليها بوصفها مراسي ثقة. تختلف نقطة الرصد هذه عن استعلام RFC 8509 الإشاري الموجّه إلى جانب المستخدم النهائي. وتشمل المجموعة المحلّلات التي تدعم آلية الإبلاغ وتنتج تقارير قابلة للرصد؛ ولا تشمل، بحكم التعريف، كل محلّلات الأسماء العودية.

كما أن المحلّل المُبلّغ لا يساوي شخصًا واحدًا. فقد يخدم منزلًا أو شركة أو مزود وصول أو شبكات عديدة في المراحل اللاحقة. ولا يقدّم التقرير المتاح عدد المستخدمين خلف كل محلّل بما يسمح بترجيح المشاهدات وفق السكان. لذا لا يثبت الفرق بين 70٪ و90٪ تناقضًا أو اتجاهًا بين عينتين متكافئتين أو زيادة عالمية بعشر نقاط. فالبروتوكولات وشروط الإدراج ونوافذ الجمع ومسارات الشبكة مختلفة.

يوفر قياس RIPE Atlas الصغير تحققًا ثالثًا، لكنه لا يفصل بين النسبتين. ففي 5 أكتوبر، شملت المجسّات المنتشرة عبر 2,900 نظام مستقل 1,230 حالة يتوافق سلوكها مع تحميل المفتاح الجديد و47 حالة يتوافق سلوكها مع عدم تحميله. كانت المجموعة محدودة ولم تُوزن بعدد المستخدمين. كما تضع قائمة APNIC للشبكات ذات معدلات القبول المنخفضة حدًا أدنى لاختبارات الإشارة لتسهيل القراءة؛ غير أن هذا الحد لا يثبت انقطاعًا في الشبكة كلها.

توقيع الجذر لا يكشف حالة الثقة المحلية

تدرج IANA المفتاح KSK-2024، ذي الوسم 38696، على أنه نشط ويوقّع منطقة الجذر منذ 11 أكتوبر. وما زال KSK-2017، ذي الوسم 20326، في مرحلة ما بعد النشر ويظل مرساة ثقة صالحة. موعد إبطاله المقرر هو 11 يناير 2027، وإزالته مقررة في 22 مارس. هذه حالات تشغيلية منفصلة: يمكن للمفتاح الجديد أن يوقّع فيما يحتفظ مدقق بالمفتاح القديم مرساةً صالحة.

تفيد صفحة حالة ICANN بأن المفتاح الجديد بدأ التوقيع في 11 أكتوبر عند الساعة 14:00 بالتوقيت العالمي، وأن تحديثها لم يرصد مؤشرات على اضطراب تشغيلي واسع النطاق، مع استمرار المراقبة. يصف ذلك الصورة التشغيلية المرصودة، ولا يثبت أن كل مدقق محلي قبل المفتاح. كما لا يثبت غياب كل إخفاق منفرد. وبالمثل، فإن اختبارًا لا يُظهر المفتاح الجديد لا يثبت وحده فشل استعلام DNS.

آلية الإخفاق مشروطة. فالمحلّل الذي يتحقق من DNSSEC ولا يملك مسار ثقة صالحًا إلى الجذر قد يرفض البيانات الموقعة. أما المحلّل الذي لا يتحقق من DNSSEC فلا يتعطل عبر هذا المسار المحدد. وحتى لدى المدقق، تعتمد النتيجة على حالة مراسي الثقة المحلية والإعداد ومسار الاستعلام. يجيب توقيع الجذر عن المفتاح الذي وقّع المنطقة؛ ولا يكشف حالة كل مدقق في الشبكات اللاحقة.

ما الذي تسمح القياسات باستنتاجه؟

تدعم الأدلة ثلاث خلاصات محدودة. أولًا، جرى التبديل وفق الجدول. ثانيًا، رصدت أدوات متعددة اعتمادًا ملموسًا، لكن كل أداة تصف مجموعتها القابلة للرصد. ثالثًا، لم يشر بيان ما بعد التبديل الذي راجعناه إلى اضطراب واسع النطاق. ولا تسند الأدلة القول إن 30٪ من المستخدمين كانوا معرّضين للخطر، أو إن 10٪ من جميع المحلّلات افتقرت إلى المفتاح، أو إن الاستعداد بلغ 100٪.

المقدار الناقص ليس نسبة أخرى لافتة، بل ربط يمكن الدفاع عنه بين المشاهدات وعدد المحلّلات المدققة المتأثرة وتوزيعها، ثم بين تلك المحلّلات والمستخدمين والخدمات خلفها. يتطلب ذلك تحديد التغطية وإزالة التكرار ونوافذ زمنية وترجيحًا ومقياسًا للنتائج بعد التبديل. وإلى أن تتوافر هذه العناصر، ينبغي إظهار المقام مع كل معدل وفصل حالة المفتاح المرصودة عن أثرها المستنتج على المستخدمين.

المصادر