اكتشاف الوكلاء يكشف النية قبل الاختيار

Summary

قد يكشف اكتشاف الوكلاء نية المؤسسة قبل الاختيار، لأن مرشحات القدرة والموقع والثقة والتوقيت وسلسلة التعديلات تصف العمل المزمع حتى حين يكون نص الاستعلام مشفراً.
تسمي draft-iannone-dawn-privacy-considerations-00 مخاطر المراقبة والتخزين والترابط والتعرّف، لكنها مسودة إنترنت فردية غير مكتملة؛ فما زالت مقارنة DNS، والموازنة بين الخصوصية وقابلية التدقيق، واستبيان RFC 6973، وتهديدات عدة تحمل علامة TBD.
يقترح Daniel Kade «ميزانية إفصاح للاختيار» تشمل دقة الصفات، والحد الأدنى لعدد المرشحين، ونافذة الربط، وفصل الأدوار، ومسار التهيئة، وجمهور النتائج، والاحتفاظ. هذا مقترح تحريري وليس مطلباً من DAWN أو IETF.

الإفصاح الأول يسبق التفاعل الأول

يُرسم الاكتشاف عادة كسهم بريء بين النية والتنفيذ. يعرف العميل ما يحتاج إليه، ويسأل دليلاً عمّن يستطيع توفيره، ويقارن الإجابات، ثم يختار. تأتي الثقة والتفويض وتنفيذ المهمة لاحقاً، ولذلك يبدو الاكتشاف مجرد تمديدات تقنية.

لكن مفردات DAWN المقترحة تجعل هذا السهم أثقل كثيراً بالمعلومات. قد يكون الكيان القابل للاكتشاف وكيلاً أو عبء عمل أو مورداً مسمى. وقد تصف خصائصه الوظيفة والقدرات والبروتوكولات والمالك والمشغل والموقع والولاية القضائية وإشارات الثقة. قيمة التشغيل البيني هي أن يتمكن البرنامج من تضييق آلاف الاحتمالات من دون علاقة سابقة. وهذه البنية نفسها تجعل طلب الاكتشاف نسخة مضغوطة من سياسة قرار الطالب.

البحث عن «ترجمة» عام. أضف زوجاً لغوياً، وقيداً على البيانات الطبية، ونظام إثبات غير شائع، وولاية أوروبية، وحداً أقصى للتأخير، وتوافراً فورياً، وقد يصبح ممكناً استنتاج مسار علاجي محدد. إذا أزيل قيد التأخير في المحاولة التالية ثم تغيرت الولاية في الثالثة، تكشف السلسلة أي الشروط قابل للتفاوض. لا يلزم أن يرى المراقب الوكيل المختار؛ فطريق البحث قد شرح الغاية مسبقاً.

تضع مسودة متطلبات DAWN آليات وسياسات الاختيار خارج النطاق. هذا حد مفهوم لوثيقة متطلبات لا تنتقي بروتوكولاً. لكنه لا يجعل سياسة الاختيار غير مرئية. إذا شاهدت خدمة الاكتشاف الصفات التي اختُبرت، وترتيب تخفيفها، والمرشحين الذين أعادتهم، ووقت الطلب، أمكنها استنباط السياسة التي امتنعت الوثيقة عن تحديدها.

تشفير العبارة لا يمحو هيئة البحث

تمنح draft-iannone-dawn-privacy-considerations-00، المؤرخة في 22 مايو 2026، المشكلة اسماً واضحاً. قد ترى بنية الاكتشاف أي المؤسسات تستعلم عن أي قدرات، فتستدل على الاهتمامات وأنماط الحمل والسلوك التشغيلي. يكشف سجل الاستعلامات المحفوظ سير العمل. وتمكّن الطلبات المتكررة من الترابط. وقد تؤدي أسماء المؤسسات والملكية والمشغلون وبيانات القدرة إلى التعرّف.

لا يجوز مع ذلك تقديم النص على أنه سياسة مكتملة للـIETF. فهو مسودة فردية جارية، بلا مسار RFC أو مدير منطقة مسؤول أو موعد لمناقشة IESG. لا تزال أقسام الاقتحام، وسوء الإسناد، والاستخدام الثانوي، والإفشاء، والاستبعاد غير مطورة. كما بقيت مقارنة DNS، و«الخصوصية مقابل قابلية التدقيق»، واستبيان RFC 6973، وتدابير DAWN الخاصة، واعتبارات الأمن أعمالاً مستقبلية. قيمتها الحالية أنها تعرض مواضع القرار المفتوح، لا أنها حسمتها.

قد يمنع التشفير مراقباً من قراءة معنى الرسالة. لكنه لا يزيل الوجهة والحجم والوقت والتكرار والفشل وعدد النتائج. يذكّر RFC 7258 بأن جمع السمات الخارجية وربطها يمكن أن يكون مراقبة أيضاً، بصرف النظر عن الدافع المعلن. والسؤال عما إذا استُخدم TLS أضيق من سؤال الحوكمة: من يستطيع جمع أي شظايا، وإلى متى؟

يقدم RFC 9458 الخاص بـOblivious HTTP مقارنة مفيدة. يستطيع المرحّل رؤية العميل من دون قراءة الطلب، وتستطيع البوابة قراءة الطلب من دون رؤية العميل مباشرة. غير أن أحجام الرسائل والتزامن ومعرّفات المفاتيح وإعادة استخدام الاتصال والمعاملة المختلفة تظل قرائن. وإذا كانت مجموعة إخفاء الهوية صغيرة ضعف الفصل، كما أن الحماية تفترض عدم التواطؤ. لا يكفي رسم صندوقين منفصلين إذا كانت السجلات والسحابة والتحليلات مشتركة في التشغيل.

قد تقول مجموعة المرشحين أكثر من نص الطلب

حماية عبارة البحث لا تكفي حين تعيد الإجابة كياناً واحداً. عندها يفسر المرشح الوحيد معنى الشرط. لذا فإن بقاء المجموعة واسعة ومتنوعة خاصية خصوصية، لا مجرد خاصية توافر. وفي الاتجاه المعاكس، قد تتحول خدمة تسمح بتركيبات نادرة جداً وتعيد عدد المطابقات فوراً إلى أداة لاختبار وجود صفات بعينها في قاعدة بياناتها.

يفصل Oblivious DoH في RFC 9230، ضمن افتراضات محددة، بين من يعرف العميل ومن يعرف طلب DNS الصريح. ويساعد RFC 9156 على التفكير في التقليل والدقة. غير أن اكتشاف الوكلاء يعتمد على تركيب صفات كثيرة لا على حل اسم واحد. ويمكن للبحث المتدرج من فئات واسعة إلى تفاصيل ضرورية أن يتجنب وضع الخطة كلها في استعلام واحد. لكن استخدام المعرّف نفسه أو الاتصال نفسه أو توقيت متطابق عبر المراحل يعيد تركيب الخطة. لا يمكن ضبط دقة الصفات ومدة الربط كمسألتين منفصلتين.

يبين RFC 9540 أيضاً أن مسار التهيئة قد يتسرب قبل الطلب المحمي. فجلب المفتاح وعنوان الإعداد وإعادة التوجيه ومسار شبكة فريد قد تكشف أي خدمة اكتشاف ينوي العميل استعمالها. ومن يدقق ما داخل النفق فقط يفوته أثر الوصول إلى مدخله.

وليست نتائج الاكتشاف ذات جمهور واحد. تختلف مساحة التسريب بين المعلومات العامة، والمعلومات المقيدة لطالب مخوّل، والإجابة المخصصة لطالب بعينه. يحمي التقييد بيانات المزود الحساسة لكنه يربط الهوية المصادَق عليها بالمرشحات ربطاً أقوى. ويزيد التخصيص الفائدة، لكن اختلاف الإجابات قد يكشف فئات العملاء أو القواعد الداخلية. تغيير الجهة المحمية ينقل التسريب ولا يلغيه بالضرورة.

لا ينبغي أن تصبح الخصوصية والتدقيق خياراً زائفاً

يشير العنوان غير المكتمل «Privacy vs Auditability» في المسودة إلى أصعب قرار مؤسسي. يريد المشغل التحقيق في الإساءة والكشط والاستبعاد الخاطئ وتدهور الجودة، وقد يطلب عقد أو جهة رقابية تفسيراً. إذا كانت الإجابة حفظ كل طلب وكل مرشح ومعرّف دائم، تحولت منصة التدقيق إلى سجل زمني لنوايا المستخدمين.

ولا يحل إلغاء كل سجل المشكلة. فمن دون دليل يصعب إثبات المعاملة المختلفة أو الخلل المنهجي أو إساءة استعمال الاستثناء. البديل هو تقييد الدليل بحسب الغرض: من يصل إليه، وبأي درجة تفصيل، وحتى أي تاريخ. يمكن لعدادات محلية قصيرة العمر أن تسجل نطاق عدد المرشحين، ونسبة الفشل، وتوزيع زمن الاستجابة، وتكرار المرشحات النادرة، وإصدار السياسة، وانتهاء الاستثناء، من دون الاحتفاظ بنص الاستعلام أو هوية كل مرشح.

تفصل بنية Privacy Pass في RFC 9576 بين سياقات الإصدار والإثبات والاسترداد لتفادي الربط غير الضروري. ويوزع RFC 9614 معرفة «من اتصل» و«بماذا اتصل» على مشاركين مختلفين. لكن أياً منهما ليس ضمانة سحرية. فالتواطؤ، وصغر المجموعة، وتطابق الوقت، والمعرّفات المستمرة تعيد جمع القطع. وينبغي لتصميم التدقيق أيضاً أن يختبر ظروف إعادة الجمع، لا أن يعلن فصل الأدوار فحسب.

ميزانية إفصاح للاختيار

يقترح Daniel Kade ميزانية لإفصاح الاختيار، لا سجلاً مركزياً لكل عمليات البحث. تحدد الميزانية مسبقاً مقدار ما يجوز أن يظهر من سياسة الاختيار في طلب أو سلسلة طلبات، وتقيس النتيجة التشغيلية، وتجعل كل استثناء محدد المدة وخاضعاً للمراجعة.

البند الأول هو أقصى دقة للصفات. قد تعمل تركيبة من الخصائص النادرة كمعرّف حتى لو بدا كل حقل منفرداً عادياً. يمكن أن تبدأ العملية بفئات قدرة واسعة أو نطاقات للولايات، ثم تسمح بالتفصيل عند الحاجة. والبند الثاني هو حد أدنى لحجم مجموعة المرشحين وسلوك معلن عند النزول تحته. بدلاً من إرجاع كيان واحد، يمكن توسيع الشرط أو تأخير الجواب أو قول إن المجموعة غير كافية من دون كشف العدد الدقيق.

البند الثالث هو نافذة الربط: كم دقيقة أو ساعة أو يوماً يمكن نسبة الاستعلامات المتعاقبة فيها إلى الطالب نفسه؟ يصبح التجميع والتقريب الزمني وتدوير المعرّفات والحشو مفيداً حين يقترن بسقف مؤسسي. والبند الرابع مصفوفة رؤية تبين، للطالب والمرحّل والفهرس والمزود وموزع المفاتيح والمدقق، من يرى الهوية والصفات والمرشحين والوقت والنتيجة.

البند الخامس يسجل افتراضات عدم التواطؤ ومسار التهيئة. فقد تستخدم شركتان منفصلتان قانونياً حساب السحابة أو جامع السجلات أو مزود التحليلات نفسه، فيصبح الفصل الاسمي ضعيفاً. والبند السادس يحدد هل النتائج عامة أو مقيدة أو خاصة بطالب، ويحدد الاحتفاظ والحذف والتصحيح وسلطة الاستثناء وتاريخ انتهائه وإعادة تقييمه.

يجب ألا تجمع هذه الميزانية الاستعلامات الخام، أو بيانات الاعتماد، أو نص المهمة، أو البيانات الشخصية، أو الأوزان المملوكة، أو هوية كل المرشحين. تستطيع المجاميع الخشنة والعدادات المحلية القصيرة والاستعلامات الاصطناعية وفحص الإعداد المستقل تلبية قدر كبير من الحاجة. عدم امتلاك البيانات غير الضرورية أقوى من وعد بعدم استعمالها.

ما لا يمكن للوثائق إثباته بعد

لا تقدم المصادر التي فُحصت دليلاً على تطبيق DAWN في الإنتاج أو تبنيه أو أدائه أو وقوع حادث خصوصية فعلي أو نتيجة قانونية. يرد PIR بوصفه مكوّناً محتملاً، لا اختياراً متفقاً عليه ولا حلاً مثبتاً بهذا الحجم. ولا يصح استنتاج الامتثال لقانون محدد من هذه الوثائق التقنية.

ميزانية الإفصاح المقترحة هنا ليست إجماع IETF ولا متطلب تنفيذ ولا التزاماً قانونياً. إنها طريقة لتحويل فجوة ظاهرة إلى أسئلة تشغيلية قابلة للفحص. أما الملاحظة الثابتة فهي أن فائدة الاكتشاف تأتي من مقارنة الصفات آلياً، وأن تركيب تلك الصفات وترتيب المقارنة يعبّران عن النية.

ما دام التصميم مفتوحاً، يمكن إدخال حجم المجموعة والزمن وفصل المشاركين والتهيئة والاحتفاظ والاستثناءات في نموذج الخصوصية، بدلاً من إلقاء العبء على تشفير لاحق. عبارة «لم نختر بعد» لا تعني «لم نفصح بعد». في الاكتشاف، البحث نفسه هو أول فعل قرار ظاهر.

اكتشاف الوكلاء يكشف النية قبل اختيار أي وكيل

لماذا هذا مهم

Summary

الإفصاح الأول يسبق التفاعل الأول

تشفير العبارة لا يمحو هيئة البحث

قد تقول مجموعة المرشحين أكثر من نص الطلب

لا ينبغي أن تصبح الخصوصية والتدقيق خياراً زائفاً

ميزانية إفصاح للاختيار

ما لا يمكن للوثائق إثباته بعد

Sources

سياق أعمق للملف الشخصي

الدائرة الاستراتيجية

تحالف القيادات

إحاطة الدائرة الاستراتيجية

إحاطة تحالف القيادات