اختفى مركز المفاتيح داخل الشجرة، ولم تختف السلطة: RFC 1949

الخلاصة

• بدأ القلب الأساسي بوصفه مركز توزيع مفاتيح المجموعة، ثم أمكن للعقد الموثَّق بها أن ترث القائمة والمفاتيح وتخدم طلبات الانضمام اللاحقة.
• لم تلغِ قابلية التوسع السلطة؛ بل زادت عدد حامليها. وعندما بدا افتراض الثقة بكل الموجّهات واسعاً، اقترح النص إبقاء التوزيع لدى القلوب وحدها.
• لا يعيّن المفتاح المشترك مرسلاً بعينه، ولا يمحو حذف العضو من القائمة السر الذي تسلّمه؛ لذلك احتاج إثبات المصدر والاستبعاد إلى حالة تشفيرية جديدة.

السلطة التي تتحرك عكس اتجاه طلب الانضمام

يتجه طلب الانضمام إلى أعلى، نحو قلب شجرة CBT. ثم يعود الإقرار إلى أسفل، على المسار نفسه، حاملاً أكثر من الموافقة. في تصميم RFC 1949، كان من الممكن أن يحمل قائمة عضوية موقّعة ومفتاح المجموعة ومفتاحاً لإعادة التشفير ومعلمات رابطة الأمان. هكذا تحوّل طريق العودة إلى قناة تفويض.

تسجل صفحة RFC Editor الحالية أن الوثيقة كتبها A. Ballardie ونشرت في مايو 1996 بوصفها تجريبية. هذه الصفة لا تثبت تنفيذاً أو انتشاراً؛ إنها تحدد نوع الدليل الذي بين أيدينا: اقتراح بآلياته وافتراضاته وحدوده.

كانت المشكلة الأصلية قابلة للعد. على مركز تقليدي لتوزيع المفاتيح أن يوثّق كل مستقبل، ثم يحمي نسخة من مفتاح الجلسة خصيصاً له. قد تُرسل النسخ المشفرة معاً بالبث المتعدد، لكن إنتاجها يبقى عملاً لكل عضو. ومع مجموعة كبيرة، يظل المركز موضع الضغط.

أما CBT فكان يملك بنية صريحة. يرسل الموجّه المحلي JOIN_REQUEST نحو القلب، ويعود JOIN_ACK ليحوّل حالة مؤقتة إلى فرع قائم. تشرح معمارية CBT علاقات الأبناء والآباء، بينما تشترط مواصفة CBTv2 وصول الإقرار قبل اعتبار الموجّه جزءاً من الشجرة. هذا الترتيب أعطى التوزيع الأمني جيراناً معروفين ومساراً للرجوع.

ينشئ بادئ المجموعة قائمة وصول موقعة ويرسلها إلى القلب الأساسي. ينشئ القلب مفتاح المجموعة وKEK للتبديل اللاحق، ويعمل أولاً بوصفه GKDC. يرسل المضيف رمزاً موقعاً، وتتحقق الموجّهات من رسائل التحكم. فإذا نجح الانضمام، يحمي كل جزء من حزمة الوصول للمستلم التالي.

قابلية التوسع كانت وراثةً للوظيفة

لم يكن الابتكار مجرد إرسال الحزمة على الشجرة. العقدة التي تم توثيقها قد تحتفظ بالقائمة والمفتاح وKEK، ثم تتحقق من منضم آخر وتعيد تغليف المواد له. لم يعد القلب مضطراً إلى خدمة كل ورقة. وفي المقابل، أصبح قرار «يجوز لهذا الطرف معرفة السر» موجوداً في عقد أكثر.

تعرض مواصفة GKMP ترتيباً آخر: متحكم مجموعة ينشئ المفاتيح ويوزعها ويجمع إقرارات الاستلام ويفحص شهادات الإذن ويتابع قوائم الاختراق. لا يلزم أن تكون جهة التحكم جهازاً مركزياً مخصصاً، لكنها لا تختفي. لا تعني عبارة «لا KDC مركزياً» أن المجموعة بلا صاحب قرار.

تتضح المشكلة حين تتطابق شجرة البيانات وشجرة الثقة في الرسم. قدرة موجّه على تمرير الرزم تجيب عن المسار. قدرته على تسليم السر تجيب عن الامتياز. JOIN_ACK لا يثبت أن نسخة ACL لدى العقدة هي الأحدث، والتوقيع لا يثبت أن العقدة ستمحو مفتاحاً قديماً أو ستبقى سليمة غداً.

النص يضيّق دائرة الثقة بنفسه

سأل RFC 1949 صراحة هل من المعقول افتراض أن كل الموجّهات على الشجرة لا تسيء التصرف ومحمية بما يكفي. في النسخة الأوسع توزيعاً، قد تفك عقدة عادية مواد المفاتيح وتتحقق منها وتعيد تشفيرها. اختراقها يؤثر في العضوية والسرية، لا في التوجيه فقط.

لذلك قدم نسخة أشد: تمر طلبات الانضمام الآمن حتى قلب، وتبقى قدرة توزيع المفاتيح في الموجّهات القلبية. يقل التوزيع، لكن تقل معه مجموعة الامتياز. القرار العملي هو عدد العقد التي تستحق وراثة سلطة القلب مقابل مقدار العمل الذي نريد إبعاده عنه.

السر الجماعي لا يسمّي المتكلم

إذا عرف كل الأعضاء مفتاحاً واحداً، تثبت رسالة صحيحة أن مرسلها يملك مادة المجموعة. لكنها لا تحدد أي عضو أرسلها. فصل RFC 1949 لذلك مفاتيح خاصة بالمرسل. يستطيع المرسل العضو نشر مادته الموقعة تحت حماية مفتاح المجموعة؛ أما المرسل غير العضو فيتفاوض أولاً مع القلب الأساسي، ثم يوزع القلب مادته على المجموعة.

حق القراءة وحق الإرسال ونسبة رزمة إلى مصدر بعينه ثلاث دعاوى. المفتاح المشترك لا يدمجها، ولا يثبت تفويض أمر تالٍ أو هوية شخص طبيعي أو تمثيل مؤسسة.

حذف الاسم لا يسترجع المعرفة

يمتلك التصميم KEK وتجديداً قبل انتهاء عمر المفتاح، لكنه يعترف بأن استبعاد عضو من الاتصال المستقبلي يتطلب مفاتيح جديدة عبر مجموعة/شجرة جديدة. فالعضو المحذوف يعرف الجيل الحالي بالفعل.

أظهرت شجرة المفاتيح المنطقية في RFC 2627 لاحقاً مبدأ الاستبعاد بطريقة أخرى: يجب تغيير كل مفتاح يعرفه المستخدم المحذوف بين ورقته والجذر، وإرساله إلى الباقين فقط. ليست هذه شجرة توجيه CBT ولا دليلاً على نسب سببي؛ لكنها تبيّن أن تعديل السجل لا يغير القدرة التشفيرية.

ثم فصلت معمارية MSEC في RFC 4046 بين التسجيل والإزالة والمصدر المأذون وإعادة التشفير القابلة للتوسع ومقاومة تواطؤ المستبعدين والتعافي من الاختراق. إدارة المجموعة ليست لحظة تسليم واحدة، بل تاريخ أجيال.

ما لا تستطيع كلمة «موزع» إثباته

تمنع فكرة Heng Lu عن أولوية الشيفرة العاملة ترقية الوثيقة التجريبية إلى واقع تشغيلي. يلزم رصد تقارب القوائم، ومن يحمل المفاتيح، وهل تمحى النسخ القديمة، وهل يصل الجيل الجديد إلى الفروع الباقية، وهل يفقد العضو الخارج قدرته فعلاً.

وتوضح المواصفة الأولية الدنيا والتبني الطوعي جاذبية إعادة استخدام JOIN وACK الموجودين وجعل وظيفة المفاتيح اختيارية. لكن الحد الأدنى الجيد يصرّح بموضع القرار. لا ينبغي أن يصبح توريث سلطة التوزيع أثراً خفياً للدخول إلى مسار توجيه.

أما فصل طبقات الواقع فيكشف ما تحت الرمز: قلب أساسي، ACL موقعة، عقد موثوق بها، مفتاح مجموعة، KEK، بيانات مرسل وأحداث تبديل. اختفى المركز كجهاز يخدم الجميع، لكنه عاد كحالة موزعة وسلطة قابلة للنسخ.

القيمة التاريخية لـRFC 1949 هي أنه يجبرنا على قياس نوعين من التوسع. أحدهما عدد الرسائل وعمليات التشفير. والآخر عدد حراس السر، ونسخ السياسة التي قد تشيخ، ومسارات الاختراق، والكلفة اللازمة كي لا يقرأ الخارج اليومَ رسالة الغد.

المصادر

1. RFC Editor — السجل الحالي لـRFC 1949
2. RFC 1949 — Scalable Multicast Key Distribution
3. RFC 2093 — Group Key Management Protocol Specification
4. RFC 2189 — Core Based Trees version 2 Protocol Specification
5. RFC 2201 — Core Based Trees Multicast Routing Architecture
6. RFC 2627 — Key Management for Multicast
7. RFC 4046 — MSEC Group Key Management Architecture
8. Heng Lu — Running-Code Primacy
9. Heng Lu — Minimum Initial Specification, Localized Future Decision, and Voluntary Adoption
10. Heng Lu — On Reality Layers, Symbolic Power, and Why Clarity Feels So Hostile