بطاقة هوية للمحتوى: من سمح للجهة المصدرة بتوقيعها؟

Summary

• تقترح مسودة فردية نُشرت في 23 أكتوبر سجلات DNS للتحقق من مفاتيح توقيع المحتوى وحالة إلغاء ملفات تعريف الجهات الناشرة.
• يستطيع الناشر وضع أسماء الجهات التي يقبل منها إصدار ملفه الأساسي في نطاقه؛ وإذا ثبتت القائمة عبر DNSSEC، تُرفض وثيقة صادرة عن جهة خارجها.

وصل حامل بطاقة إلى باب صحيفة. البطاقة أصلية، والجهة التي طبعتها معروفة. يبقى على الحارس سؤال واحد: هل طلبت الصحيفة من تلك الجهة إصدار بطاقات باسمها؟ هذا السؤال هو قلب المسودة التي قدمها Shigeya Suzuki في 23 أكتوبر. يصفها سجل IETF بأنها Internet-Draft فردية نشطة، بلا إقرار رسمي من المؤسسة. الغرض المعلن تجريبي، والباب المرسوم في الوثيقة لم يصبح إجراءً عاماً بعد.

يقوم تصور Originator Profile على ملف أساسي تصدره جهة للناشر، ويحمل المفاتيح العامة التي تُفحص بها توقيعات محتواه. تستطيع جهات أخرى إضافة سمات موثقة في ملحقات. فحص التوقيع يجيب عن صاحب المفتاح، لكنه لا يخبر القارئ إن كان المفتاح أو الملف لا يزال صالحاً. تقترح المسودة سجلات OPKEY تحت الاسم _op لحفظ بصمات المفاتيح والتحقق من وضع الملف الأساسي. وتستخدم سجل TXT للإشارة إلى إلغاء أحد الملحقات. لا تضع الوثائق الكاملة في DNS.

تظهر مسألة التفويض في نطاق الناشر نفسه. يمكنه نشر سجل SVCB عند _op.<originator> يسمي الجهات المسموح لها بإصدار ملفه الأساسي. إذا تحقق المدقق من القائمة بواسطة DNSSEC، فعليه مقارنة جهة إصدار الوثيقة المقدمة بالأسماء الواردة فيها. قد تكون الجهة مقبولة في المنظومة العامة، لكنها لا تحصل بذلك على إذن للتحدث باسم هذه الصحيفة. القائمة اختيارية في المسودة؛ فإذا لم يفرضها استعمال محدد ولم توجد قائمة موثوقة، ظل الناشر من دون جهة إصدار مثبتة. الاختيار في يد صاحب النطاق، لا في يد قائمة مفترضة يكتبها غيره.

يحتاج هذا الباب إلى حارس يميز بين «لا يوجد سجل» و«تعطلت وسيلة السؤال». لا يقبل OPKEY إلا جواباً تحقق منه DNSSEC على أنه آمن. جواب من منطقة غير موقعة، أو إثبات فاسد، أو فشل في حل الاسم، يؤدي إلى فشل التحقق. أما قائمة SVCB الاختيارية فقد يسمح غيابها المثبت بأمان باستمرار الفحص من دون تثبيت جهة إصدار؛ الجواب الفاسد أو انتهاء المهلة يوقفه. الخلط بين الحالتين يحول العطل إلى دعوة مفتوحة.

للإلغاء ساعة أيضاً. تفترض المسودة ساعة واحدة لعمر السجلات وللتخزين المؤقت للإجابات السلبية في نموذج تشغيل مقترح. قد يواصل مخزن مؤقت تقديم جواب قديم حتى نهاية مدته؛ ويمكن لإجابة موقعة سابقة أو لخدمة الإجابات القديمة أن تمدد فترة الالتباس. في مختبر ضُبط على قيم قدرها 60 ثانية، ظهرت إضافة السجل وحذفه لدى محلل يتحقق من DNSSEC خلال 63 ثانية. هذه مشاهدة تجريبية، وليست موعداً مضموناً لإلغاء بطاقة كل ناشر في العالم.