الخلاصة

  • يعالج RFC 3554 حماية اقتران SCTP متعدد العناوين بواسطة IPsec. يجب التحقق من كل عنوان في المحددات؛ نجاح Phase 1 يثبت النظير ولا يثبت حقه في استقبال الحركة عند كل عضو.
  • لا تكتمل الحجة التشغيلية إلا إذا بقي إصدار المجموعة نفسه ظاهراً في تصحيح IKE، وتثبيت SPD، وعمليات بحث SAD لكل وجهة، والمسار الذي اختاره SCTP فعلياً.

يظهر اقتران SCTP كعلاقة واحدة، لكنه يتحول في طبقة الشبكة إلى ادعاءات توجيه متعددة. وقد لا تقع العناوين في شبكة فرعية واحدة أو نطاق سهل. إنشاء سياسة لكل زوج مصدر ووجهة واضح لكنه يتضاعف بسرعة؛ جمعها في محدد واحد أقل كلفة لكنه يجعل القائمة سطح ثقة مركزياً.

نشر RFC 3554 في يوليو 2003 بصفة Proposed Standard. واقترح مجموعات العناوين كمحددات، على أن يعيد البحث في SAD باستخدام أي وجهة متفاوض عليها مع SPI وبروتوكول الحماية نفسيهما، الـSA نفسها.

التوثيق يثبت الشخص، والتفويض يحد المكان

يثبت IKE Phase 1 هوية النظير وفق بيانات اعتماد وسياسة. لكن RFC 3554 يشترط دليلاً على أن المبادر مخول باستقبال الحركة عند جميع العناوين التي يقترحها.

يمكن أن يأتي الدليل من شهادات وهويات Phase 1 أو من سياسة خارج النطاق. قد تحمل شهادة واحدة عدة subject alternative names، أو تستخدم شهادات متعددة المفتاح العام نفسه. هذه أدوات لربط الهوية بالنطاق وليست سبباً لإلغاء القرار الخاص بكل عنوان.

من دون هذا الحد يستطيع نظير صحيح أن يدعي عنوان نظير آخر. ستعمل الحماية التشفيرية، لكنها ستحمي حركة جرى توجيهها إلى وجهة لم يكن ينبغي قبولها. لذلك يجب الفصل بين إيصال الهوية وإيصال سلطة مجموعة العناوين.

يسجل الثاني كل عضو، وأساس التفويض، وصاحب القرار، ومدة الصلاحية، وإصدار المجموعة. لا يجوز استنتاج هذه التفاصيل لاحقاً من نجاح SA.

عكس الأدوار يحفظ اختلاف المعرفة

قد لا يعرف مبادر Quick Mode الأول مجموعة المستجيب الكاملة. إذا كانت المحددات ناقصة أو غير دقيقة، يعكس المستجيب الأدوار ويبدأ Quick Mode جديداً، حاملاً سياق SA مع تصحيح جانبه من المجموعة. ويطلب RFC 3554 من تطبيقات IKE الداعمة لـSCTP قبول هذا المسار.

ليست العملية إعادة إرسال. فقد تغير صاحب الادعاء لأن المستجيب أدرى بعناوينه. السجل الصحيح يحتفظ بالاقتراح الأول، وتشخيص النقص، والفرق، وقرارات التحقق، والاتفاق النهائي.

يتيح ID_LIST نقل عدة Identification Payloads في محدد واحد، ويمنع القوائم المتداخلة. نجاح التحليل النحوي لا يثبت أن الأعضاء كاملون أو مملوكون أو مثبتون في السياسة.

يجب ألا تنقسم المجموعة بين قواعد البيانات

بعد الاتفاق ينبغي أن تطابق SPD القائمة النهائية. وفي SAD يجب أن يصل كل عنوان وجهة متفاوض عليه إلى SA نفسها. ثم على SCTP اختيار مسار مسموح بذلك الوضع.

يمكن أن ينجح IKE فيما تغيب وجهة عن SPD، أو يعمل بحث SAD للعنوان الأساسي فقط، أو تتقدم قاعدة قديمة بأولوية أعلى. لذلك لا يكفي فحص النفق أو المسار الأول.

يحفظ الإثبات إصدار المجموعة وبصمتها، وإيصال تثبيت SPD، ونتيجة بحث SAD لكل وجهة. ويختبر تحويلاً مضبوطاً إلى مسار احتياطي، ويرسل اختباراً سلبياً إلى عنوان خارج المجموعة. الإثبات الإيجابي بلا رفض قابل للملاحظة لا يرسم حدود السلطة.

تغيير العنوان قرار تفويض جديد

لم يكن SCTP الأساسي المستخدم سنة 2003 يغير مجموعة العناوين أثناء الاقتران، لكن RFC 3554 تنبه لخطر إعادة التوجيه: إضافة عنوان يسيطر عليه مهاجم حتى تصل إليه الحركة التالية.

جاء RFC 5061 لاحقاً بـDynamic Address Reconfiguration وكتل تحكم موثقة. هو سياق مجاور لا يثبت أي نشر. كما أن توثيق طلب الإضافة يجيب من طلبها، لا هل يملك العنوان.

كل إضافة أو حذف يحتاج إصداراً جديداً، وتحققاً لكل عضو، وتحديثاً منسقاً لـSCTP وIPsec، وإخراجاً موثقاً للحالة القديمة، ورصداً للمسار. قبول التحديث ليس إيصالاً بانتهاء الانتقال.

سلسلة أدلة قابلة لإعادة البناء

يبدأ الملف بهوية Phase 1: الشهادة والسلسلة والمفتاح والسياسة ووقت الفحص. ثم يسجل كل عنوان مع مصدر سلطته وقراره. يحمل اقتران SCTP مجموعتي الطرفين وإصدارهما.

يحفظ Phase 2 الاقتراح الأول وأعضاء ID_LIST والمنافذ والبروتوكول وSPI والتحويلات وصاحب الاقتراح. يرتبط عكس الأدوار به كسجل مشتق. تثبت إيصالات SPD وSAD الإسقاط، ويثبت رصد الحزم الوجهة والـSA ونتيجة الحماية والمستقبل المقصود.

يحدد RFC 2960 وRFC 4960 سياق SCTP، وتحدد RFC 2401 وRFC 2409 وRFC 2407 سياق IPsec/IKE آنذاك، بينما يعطي RFC 4301 السياق اللاحق. لا يثبت أي منها حادثاً أو تطبيقاً مسمى.

حدود الدليل

لا تسمي هذه المقالة مشغلاً أو منتجاً أو شهادة أو عنواناً أو SA أو هجوماً أو ضحية. ولا تدعي تبنياً أو استغلالاً مشاهداً أو كلفة مقاسة. السيناريوهات احتمالات مشتقة من البروتوكول.

تستخدم مقالتا Heng Lu عن أولوية الشيفرة العاملة والمواصفة الأولية الدنيا كعدستين تحريريتين معلنتين. تساعدان على فصل النص عن التثبيت والنتيجة، ولا تثبتان قصد مؤلفي RFC أو حقيقة تشغيلية.

الخلاصة محدودة: يستطيع IKE توثيق النظير والتفاوض على قائمة سليمة الصياغة. ولا تثبت أهلية كل عضو إلا سلطة العنوان، والإسقاط المتسق، والمشاهدة على المسار.

Sources