الخلاصة

  • يتيح draft-ietf-ippm-ioam-data-integrity-20 لجهة تحقق موثوقة إعادة حساب سلسلة AES-GMAC تراكمية وكشف تعديل الحقول الثابتة المشمولة.
  • لا تثبت النتيجة الصحيحة وصول كل Option-Type متوقع، ولا صدق العقدة المخترقة، ولا سلامة التصدير، ولا غياب التأخير، ولا شمول كل الحركة.
  • يلزم وصل القرار بجرد المتوقع والمرصود، وحكم إعادة التشغيل، ومنشأ جهة التحقق، وسلسلة حفظ التصدير، ونسبة التغطية، وقياس مستقل للخدمة.

تنتهي العملية بمساواة: القيمة المعاد حسابها تساوي ICV الواردة. هذا يثبت حكماً محدوداً حول مجموعة معلنة من البايتات. عندما تعرض الشاشة عبارة «المسار موثوق»، تكون قد وسعت الحكم إلى أمور لم يرها الحساب.

النسخة 20 مؤرخة في 19 يوليو 2026، وهي Internet-Draft نشطة لمجموعة IPPM في طابور RFC Editor، وما زالت تنتظر المحرر الأول. وتسجل IANA أن النسخة المعدلة تحتاج إلى مراجعة. لا يثبت ذلك وجود نشر أو توافق تنفيذي أو إدارة مفاتيح سليمة.

تعرّف الوثيقة نسخاً محمية من trace المسبق والتزايدي وProof of Transit وedge-to-edge. لكل عقدة تحدث السلسلة مفتاح متناظر خاص. ويجمع nonce معرف المفتاح ومعرف عقدة التغليف وعداداً من 64 بت. تبدأ العقدة الأولى ICV فوق حقول ثابتة، ثم تدمج كل عقدة مشاركة ICV المستلم مع مساهمتها الثابتة.

لا يحمل المسار إلا القيمة الأخيرة. وعلى جهة التحقق تحديد المشاركين واستخراج مفاتيحهم وإعادة الترتيب. أما ربط معرف العقدة بالمفتاح فخارج النطاق. لذلك يعتمد الحكم على سجل هوية محلي لا تنشئه الخوارزمية.

يمكن لمفتاح صحيح أن يحمي ادعاء كاذباً

لا تستطيع عقدة مخترقة انتحال عقدة أخرى أو تعديل مساهمتها المحمية دون كشف، إذا كانت المفاتيح والروابط صحيحة. لكنها تستطيع إسقاط الحزم أو كتابة قياس كاذب عن حالتها هي.

إذا كتب صاحب المفتاح الشرعي عمق طابور مختلقاً، فقد تبقى السلسلة صحيحة. السلامة تحفظ نسبة القول وصورته؛ لا تعاير المستشعر ولا تجعل البرنامج صادقاً.

لهذا يجب فصل مساهمة منسوبة عن قياس موثوق. يحتاج الثاني إلى إصدار البرنامج، وإعداداته، وإثباته، وعدادات مستقلة، واتساق مع مراقبين آخرين.

جهة التحقق مركز سلطة

تسمي الوثيقة Validator كياناً موثوقاً يملك مواد المفاتيح ويصدر القرار النهائي. وتوضح أيضاً أن Validator المخترق يستطيع تزوير البيانات أو إصدار نتيجة خاطئة، وأن الطريقة لا تمنع هذا السلوك.

إذا كان النظام نفسه يحدد المجموعة المتوقعة، ويمتلك خريطة المفاتيح، ويحكم، وينفذ العلاج، فقد جمع المراقبة والقضاء والتنفيذ. استخدام GMAC لا يصنع استقلالاً مؤسسياً.

يجب أن يسجل الإيصال هوية جهة التحقق، وإصدار البرنامج، وبصمة الإعداد، وعصر المفتاح، ونسخة الخريطة، والسياسة. وتحتاج القرارات عالية الأثر إلى مراقب ثان أو إذن منفصل.

ما حُذف لا يدخل الحساب

يمكن لمهاجم على المسار حذف رأس IOAM Option-Type بالكامل. لا تعالج الطريقة هذا الهجوم؛ يفترض أن يوفر بروتوكول التغليف الحماية. ويمكن أيضاً استبدال الخيار المحمي بخيار غير محمي إذا لم يعرف Validator ما يجب أن يظهر.

لذلك تبدأ العملية بقائمة متوقعة: Namespace-ID، وعقدة التغليف، وأنواع الخيارات، والمشاركون. ثم تقارن بما شوهد قبل حساب ICV. التحقق من الباقي فقط يعطي نتيجة كاملة لملف ناقص.

الخيار الغائب ليس نتيجة صحيحة. قد يكون غير مدرج أو خارج العينة أو محذوفاً أو ضائعاً في التصدير. ينبغي إبقاء هذه الحالات منفصلة.

العينة الصحيحة لا تمثل كل الحركة

يمكن أن تتعايش خيارات محمية وعادية، وأن تستخدم namespaces مختلفة سياسات مختلفة. ويمكن حصر الإدراج في جزء من الحركة لتجنب الحمل.

عدد النتائج الصحيحة لا يعطي المقام. قد تكون ألف عينة صحيحة بينما لم يُرصد التدفق الحرج مطلقاً. يجب قياس التغطية حسب الفئة وnamespace والخيار والزمن ونسخة السياسة.

ولا تشمل الحماية حقول الرأس القابلة للتغيير. يجب أن يذكر الإيصال الحقول والأقنعة بدلاً من قول «IOAM محمي» بإطلاق.

بعد فك التغليف تبدأ سلسلة حفظ أخرى

هجمات الإدارة وسلامة البيانات المصدرة خارج النطاق. وDirect Export لا يحمل IOAM-Data-Fields ولا يجوز أن يستخدم هذه الطريقة.

بعد ICV صحيح قد يغير التحليل أو التطبيع أو النقل أو التخزين أو التجميع معنى السجل. يجب حفظ الخيار الخام، وإيصال التحقق، وبصمة كل تحويل. عند انقطاع السلسلة تكون النتيجة سلامة التصدير غير مثبتة.

قد تصل البايتات الصحيحة متأخرة

لا تمنع الطريقة التأخير الانتقائي. يستطيع المهاجم تأخير حزم IOAM وصنع وهم ازدحام من دون تغيير بت محمي.

تحتاج الحداثة إلى وقت الالتقاط والتحقق وحد العمر وجودة الساعة ومقاييس مستقلة للتأخير والفقد. يمنع anti-replay إعادة nonce، لكنه لا يجعل الحزمة الفريدة آنية.

إذا لم تحتفظ العقدة بالعداد بعد إعادة التشغيل فلا يجوز إعادة المفتاح القديم؛ يلزم تدويره قبل استئناف الحماية. وتحدد نافذة replay مدى تحمل إعادة الترتيب المشروع.

إيصال متعدد الطبقات

يسجل Domain وNamespace-ID وOption-Type والطريقة والقناع وهوية الحزمة وقاعدة الاختيار والمشاركين والخيارات المتوقعة والمرصودة. ثم يضيف nonce والمعرفات غير السرية وعصر المفتاح ونسخة الخريطة وحكم replay ومنشأ Validator.

تربط البصمات بين فك التغليف والتصدير والتخزين. وتضاف قياسات التأخير والفقد والمسار والخدمة والفعل والسلطة وخطة التراجع والنتيجة.

تكون الحالات محددة: صحيح للمجموعة المعلنة، خيار متوقع غائب، ربط هوية مجهول، منشأ Validator غير متحقق، تغطية جزئية، سلامة التصدير غير مثبتة، نتيجة الخدمة معلقة.