الخلاصة

  • يضع SNI اسم DNS المقصود في TLS ClientHello، كي يختار مدخل مشترك الشهادة والخدمة قبل وصول HTTP المشفّر.
  • الاسم أداة اختيار لا إثبات هوية أو صلاحية. جعله موقعه المبكر مرئياً على المسار؛ ويفصل ECH لاحقاً بين اسم خارجي عام واسم داخلي محمي.

على البوابة أن تختار الختم قبل فتح الرسالة

تصل رسائل مختومة إلى بوابة واحدة تخدم مؤسسات عدة. قبل فتح الرسالة، يجب على البوابة أن تعرض ختم المؤسسة الصحيحة. لكن اسم المؤسسة مكتوب داخل الرسالة. لا يمكن قراءة الاسم من دون فتحها، ولا يمكن فتحها بأمان قبل اختيار الهوية الصحيحة.

ظهرت هذه المعضلة عندما التقت الاستضافة الافتراضية بـ TLS. تحدد RFC 2246 في TLS 1.0 المصادقة ومفاتيح الجلسة قبل بيانات التطبيق المحمية. أما اسم المضيف في HTTP فلا يصل إلا بعد إنشاء القناة، متأخراً عن قرار الشهادة.

قدّمت RFC 3546 سنة 2003 آلية Server Name Indication. يذكر العميل اسم الخادم في ClientHello، فيستطيع مدخل TLS المشترك اختيار الشهادة والمعلمات والخدمة المناسبة.

لم يكن الإنجاز اختراع اسم جديد، بل نقله إلى لحظة يمكن فيها استخدامه. وكانت تلك اللحظة تسبق الحماية التي سيساعد الاسم على إنشائها.

لم يعد العنوان الواحد يعني هوية واحدة

كان HTTP يوزع المواقع بحسب الاسم بعد قراءة الطلب. أما TLS فيحتاج إلى تقديم هوية تشفيرية أولاً. من دون SNI، كان المشغل يخصص عنواناً لكل هوية، أو يجمع أسماء كثيرة في شهادة واحدة، أو يعيد شهادة افتراضية قد لا تطابق مقصد العميل.

ربطت هذه البدائل تخصيص العناوين بدورة حياة الشهادات وبنية الاستضافة. أضاف SNI مستوى آخر للاختيار: يوصل DNS والتوجيه الاتصال إلى المدخل، ثم يحدد اسم ClientHello أي سياق TLS يجيب.

أصبح بوسع الاستضافة المشتركة وشبكات توزيع المحتوى والوكلاء العكسيين وبوابات السحابة تشغيل خدمات HTTPS مستقلة خلف عنوان واحد. لم يفقد عنوان IP دوره؛ بل توقف عن كونه وصفاً كاملاً لهوية التطبيق.

دلالة توجيه وليست تفويضاً

وحّدت RFC 6066 تعريف server_name ونوع DNS المسمى host_name. إذا فهم الخادم الامتداد ولم يتعرف على الاسم، فله أن ينهي التفاوض بتنبيه unrecognized_name أو أن يواصل وفق سياسته.

يكشف هذا الخيار حدود المعنى. لا يمنح إرسال الاسم حق الوصول، ولا يثبت نزاهة DNS، ولا يجعل الشهادة المختارة صالحة تلقائياً. يجب على العميل التحقق من الشهادة، وعلى التطبيق التحقق من الصلاحيات، وعلى سلطة HTTP اللاحقة أن تتسق مع سياق الاتصال.

يشبه SNI اسم القسم المكتوب خارج الظرف. يساعد على التسليم، لكنه ليس توقيع المرسل ولا إذناً بفتح الخزنة. الخلط بين الاختيار والسلطة خطر خاص في البنى متعددة المستأجرين.

الاسم المفيد ظهر قبل الحماية

يصل ClientHello الأول قبل اشتقاق مفاتيح المصافحة. لو شُفّر الاسم بهذه المفاتيح، لاحتاج الخادم إلى اختيار السياق الذي يفك التشفير من دون معرفة قيمة الاختيار. إنها حلقة مغلقة.

لذلك بقي SNI الأصلي واضحاً. قد يعجز مراقب المسار عن قراءة الصفحة والمحتوى، لكنه يستطيع غالباً معرفة النطاق. وثقت RFC 8744 تسريب الخصوصية والاستعمالات التشغيلية التي نشأت حول SNI المكشوف، من التصنيف إلى التصفية والمراقبة.

تشفّر TLS 1.3 في RFC 8446 قدراً أكبر من المصافحة بعد ServerHello. لكنه لا يستطيع حماية ClientHello الأول بمفاتيح لم توجد بعد. كانت المشكلة في ترتيب الاعتماد، لا في قوة الخوارزمية وحدها.

ما يُرى يتحول إلى بنية تحتية

توجّه المنصات الحركة بحسب SNI، وتجمع أنظمة الرصد القياسات بحسب النطاق، وتتخذ أجهزة الشبكة قرارات السماح والمنع. تحولت الإشارة التي احتاجها المدخل إلى سطح تحكم تستخدمه جهات على امتداد المسار.

لهذا لا يكفي تشفير حقل واحد. ما زالت الواجهة بحاجة إلى معلومة عامة بالحد الأدنى للوصول إلى الخدمة القادرة على فك ClientHello الخاص. وفي المقابل، قد تتعامل الوسائط التي اعتادت الاسم المكشوف مع فقدانه كعطل.

تنشأ هنا تبعية مزدوجة: حل المشاركة خلق رؤية جديدة، والممارسات المبنية على تلك الرؤية رفعت كلفة إخفائها لاحقاً.

يفصل ECH بين الواجهة العامة والوجهة الخاصة

تحدد RFC 9849 Encrypted ClientHello. يبني العميل ClientHello داخلياً يحمل المعلومات الحساسة، ثم يشفّره داخل ClientHello خارجي. يقود الاسم العام الخارجي إلى خدمة تدعم ECH، ويبقى اسم المصدر الحقيقي في الداخل.

لا يختفي عنوان IP ولا الاسم العام. لا يعد ECH باتصال بلا بيانات وصفية، بل يقلل دقتها: يمكن لواجهة مشتركة أن تمثل مصادر خاصة عديدة من دون كشف كل مصدر على الطريق.

يعالج البروتوكول القبول والرفض وإعدادات إعادة المحاولة صراحة. يتأكد العميل داخل المصافحة المحمية من قبول ECH. وإذا تعذر فك التشفير، فلا يجوز أن يتحول الاسم الخارجي بصمت إلى المصدر الذي قصده المستخدم.

الجواب الجديد عن معضلة الترتيب القديمة هو إظهار أقل اسم مطلوب للوصول إلى حد الخصوصية، ثم كشف الوجهة الدقيقة وراء ذلك الحد.

توقيت الحقل يوزع القدرة على المعرفة

وفّق SNI بين اقتصاد الاستضافة بالاسم وترتيب المصادقة في TLS. أتاح لهويات HTTPS متعددة مشاركة عنوان واحد من دون مشاركة الشهادة والسياسة نفسيهما.

لكنه لم يصادق على الاسم، ولم يمنح صلاحية تطبيق، ولم يخف الوجهة. جاءت الفائدة والتسريب من الموقع المبكر نفسه. ينقل ECH الحد ولا يلغي الحاجة إلى مسار عام.

الدرس التاريخي أن ترتيب البروتوكول يحدد من يستطيع أن يعرف. كل معلومة مطلوبة قبل التشفير تصبح متاحة لجهات على ذلك الجانب من الحد. تقليص المعرفة يحتاج إلى دلالة عامة دنيا، وإلى رفض تحويلها إلى سلطة على الوجهة الخاصة.

المصادر وحدود الأدلة

يعتمد السجل المعياري على RFC 2246 وRFC 3546 وRFC 6066 وRFC 8446 وRFC 8744 وRFC 9849. أما استنتاجات كلفة الاستضافة وحوافز المراقبة والتبعية التشغيلية فهي تحليل لترتيب الرسائل وظهورها، وليست قياساً لمشغل بعينه.