الخلاصة

  • في الصيغة التقديمية الصارمة لـDNS ينتهي الاسم المؤهل بالكامل بنقطة تمثل وسم الجذر؛ أما العرض الشائع فيحذفها. تكافؤ الصيغتين في DNS لا يُلزم سياسات التطبيق تلقائياً.
  • توصي مسودة DNSOP المعروضة في الدعوة الأخيرة بتخزين الأسماء وعرضها بلا النقطة النهائية، وتحذر من معالجة النصوص العامة. وطالب مراجع بقاعدة تنفيذية لمقارنة الصيغتين.
  • تقدم CVE-2026-8924 دليلاً محدوداً من برنامج فعلي: اختلاف معالجة النقطة في curl سمح بتجاوز فحص Public Suffix List الخاص بنطاق cookie. موضع التوحيد في سلسلة القرار هو الذي حرّك الحد.

النقطة بعد uk لا تنشئ اسماً جديداً، بل تُظهر وسم الجذر الفارغ. يوضح RFC 9499 أن الصيغة الصارمة تتضمن هذا الوسم ونقطة الفصل، بينما تجعل الصيغة الشائعة إظهاره اختيارياً. يمكن للمحلل أن يصل عبر الصيغتين إلى الموضع نفسه في شجرة DNS. لكن مخزن cookie أو مدقق الشهادة أو الذاكرة المخبأة أو سجل الحسابات لا يرث هذه المساواة من DNS.

دخل هذا الفاصل الآن في نقاش معياري قائم. ففي 24 أغسطس وضعت مجموعة DNSOP المسودة draft-ietf-dnsop-integration-04 في الدعوة الأخيرة للمجموعة، وحددت 7 سبتمبر موعداً للنهاية. الغاية المعلنة وثيقة معلوماتية؛ ليست المسودة RFC ولا دليلاً على تحقق إجماع. وهي تجمع اعتبارات استخدام اسم من DNS العالمي معرّفاً داخل بيئة تطبيقية.

تشمل القائمة دورة حياة النطاق، والتحقق من السيطرة عليه، والشمول، والمزامنة، وتطور البروتوكول، واختلاف واجهات الإدارة، ودعم أنواع السجلات. وتربط الفقرة 3.3 بين قاعدتين مهمتين: ينبغي عادة تخزين الاسم المؤهل وعرضه من دون النقطة الأخيرة، إلا عند الحاجة إلى نطاقات بحث محلية؛ كما أن العرض والتوحيد والمقارنة والترميز وفك الترميز تحتاج معالجة متخصصة، ولا يصح تركها لعمليات نصية عامة.

هذه صياغة جيدة لمكان الخطر، لكنها لا تحدد بعد ترتيباً قابلاً للاختبار لكل حاجز أمني. لم يعترض Paul Wouters رسمياً على النشر، لكنه رأى أن الإرشاد التقني الملموس قليل. وذكر مقارنة الاسم بالنقطة ومن دونها، وعدم حساسية DNS لحالة الأحرف، والتحويل بين A-label وU-label، والتخزين السلبي المخبأ، والأسماء المستعارة المعلقة، والحفاظ على اسم الاستعلام الأصلي عند اتباع CNAME أو DNAME. أيد Wes Hardaker النشر مع اعتباره سياقاً للمستقبل أكثر من كونه مساعدة فورية. وأيد Tim Wicinski التقدم أيضاً، مع ملاحظة أن أجزاء متأخرة من القسم الثالث تقترب من الاعتبارات التشغيلية. هذه آراء أفراد، لا قرار للمجموعة.

تكشف CVE-2026-8924 سبب الحاجة إلى ترتيب صريح. نشر curl إخطاره الرسمي في 24 يونيو 2026، وصنف الخلل منخفض الخطورة، وحدد الإصدارات المتأثرة من 7.46.0 إلى 8.20.0 والإصلاح في 8.21.0. عندما كان curl يعالج مضيف URL ينتهي بنقطة، مثل example.co.uk.، استطاع خادم تعيين cookie لنطاق مثل co.uk.. لم يمنع فحص Public Suffix List هذا النطاق الواسع كما ينبغي، فأمكن إرسال cookie لاحقاً إلى نطاقات غير مرتبطة.

لم يكن على DNS أن يعيد وجهتين مختلفتين. تحرك الحد لأن محرك السياسة فحص تمثيلاً لا يطابق الصيغة التي تتوقعها بيانات اللواحق. ويذكر الإخطار أيضاً أن النقطة النهائية لا تنتقل في TLS SNI. وهكذا قد تمر مدخلة واحدة عبر DNS وcookie وTLS بثلاث قواعد نصية مختلفة. سبق أن وثقت CVE-2022-30115 اختلافاً مستقلاً في حالة HSTS بسبب النقطة. لا يثبت ذلك أن كل البرامج معيبة، لكنه يثبت أن الوصلة نفسها تتكرر عندما يصنع كل مكوّن معياره الخاص.

تضيف حالة الأحرف والأسماء الدولية طبقات أخرى. يفرض RFC 4343 مقارنة غير حساسة لحالة الأحرف لوسوم DNS ASCII المعتادة، لكنه يحذر من أن الاسم قد يصبح خارج DNS مفتاح قاعدة بيانات حساساً للحالة أو مدخلة لنظام توثيق. ويفصل RFC 5890 بين U-label المكتوب بيونيكود وA-label المتوافق مع ASCII، ويستبعد عرف النقطة الأخيرة من نطاقه. لذلك لا تصلح دالة واحدة تحول الأحرف وتحذف النقطة كعقد هوية لكل الاستخدامات.

يحتاج التكامل القابل للمراجعة إلى إيصالات متتابعة: المدخلة الأصلية وهل كان الجذر ظاهراً وهل سُمح بتوسيع البحث المحلي؛ الوسوم التي حُللت وحالة الاسم المطلقة أو النسبية؛ الصيغة المعيارية المختارة لقرار محدد؛ نسخة Public Suffix List أو ملف IDNA أو قاعدة الشهادة؛ ثم القرار والأثر المرصود، كالمفتاح المخزن أو الاعتماد المرسل أو الطلب المرفوض.

وتمنع هذه الطبقات تضخيم أي إثبات. تساوي اسمين في DNS لا يثبت سيطرة المسجل. إثبات السيطرة على النطاق لا يثبت شهادة كل خدمة. الشهادة لا تفوض كل فعل. وقبول نطاق cookie لا يثبت من استلمه أو ما النتيجة التي أحدثها.

إذن لا تترك الدعوة الأخيرة سؤالاً عن قيمة علامة ترقيم، بل عن صاحب سلطة تحديد الصيغة المعيارية وموعد استهلاكها. إذا اتخذ التطبيق قرار اللاحقة أو الأصل أو الاعتماد أولاً ثم وحّد سجل التدقيق، فقد تغير حد الثقة بالفعل. الذي أصبح متناسقاً هو السجل، لا القرار.

المصادر