الخلاصة

  • يعيد RFC 9827 تسمية نوع التحويل 5 ومعرّفيه الأصليين من دون تغيير بت واحد على السلك أو معالجة AH وESP؛ وبذلك يحوّل خيار ESN الضيق إلى حيّز يصف خصائص أرقام التسلسل.
  • يَعِد المعرّفان 0 و1 بأرقام متزايدة، لا تلتف، وفريدة على مستوى رابطة الأمان عند دخول الشبكة. هذه خصائص تصلح لمنع الإعادة، لكن المستقبل يقرر محلياً ما إذا كان سيشغّل نافذة المنع.
  • الاتفاق، وسلوك المرسل، والمجرى الكلي عند الإدخال، والمصادقة، وحالة النافذة، وقرار الرفض، وسلامة المستهلكين اللاحقين طبقات إثبات مستقلة. يحتاج IV الضمني إلى التفرد، فيما يحتاج AGGFRAG إلى تسلسل متتالٍ أشد صرامة.

تغيير اسم كشف افتراضاً قديماً

نشر IETF الوثيقة RFC 9827 على مسار المعايير في نوفمبر 2025. فعلها المعياري صغير ظاهرياً: أصبح اسم Extended Sequence Numbers هو Sequence Numbers، وأصبح المعرّف 0 «أرقاماً متسلسلة 32 بت»، والمعرّف 1 «أرقاماً متسلسلة 64 بت منقولة جزئياً». لم تتغير القيم ولا صيغة IKEv2 ولا معالجة AH أو ESP.

غير أن الاسم القديم كان يجعل اختيار امتداد العداد يبدو كأنه الموضوع كله. النوع 5 هو في الحقيقة موضع إعلان الخصائص التي سيتحلى بها مجرى الحزم المحمي. وتعرض سجلات IANA اتساع هذا المجال الآن: يحتفظ 0 و1 بعقديهما المعروفين، بينما يضيف RFC 9838 المعرّف 2، «أرقام 32 بت غير محددة»، حيث يوجد الحقل لكن التفرد على مستوى رابطة الأمان غير مضمون. وهكذا لم يعد وجود حقل التسلسل مرادفاً لوجود أساس صالح لمنع الإعادة.

ينتهي العقد عند مدخل الشبكة

يحدد RFC 9827 الخصائص لحزم IPsec التابعة لرابطة أمان معينة حين تدخل الشبكة. هذا الحد مهم. قد يكون الرقم منطقياً لا القيمة الظاهرة كاملة؛ ففي المعرّف 1 تُرسل البتات الدنيا فقط ويستنتج المستقبل البتات العليا من تاريخ موثّق. كما أن الخاصية تخص مجموع حزم الرابطة، لا سلامة عداد كل مرسل على حدة. قد يدير مرسلان عدادين محليين صحيحين ثم ينتجان القيمة نفسها تحت المفتاح والرابطة نفسيهما.

وبعد الدخول تستطيع الشبكة إسقاط الحزم أو إعادة ترتيبها أو نسخها. لذلك لا يثبت ظهور رقم واحد مرتين أن المرسل أعاد استخدامه: ربما نسخت الشبكة حزمة واحدة، أو سجل نقطتا التقاط الحزمة نفسها، أو أعاد خصم إرسال حزمة قديمة. يلزم أثر عند الإدخال، وبصمة للحزمة ومكان الالتقاط ونتيجة المصادقة وقرار نافذة الإعادة لتعيين السبب.

خصائص التسلسل ليست سياسة تنفيذ

يفرض المعرّف 0 عداداً متزايداً من 32 بت، منقولاً في الحزمة، فريداً للرابطة ولا يلتف. أما المعرّف 1 فيفرض عداداً من 64 بت تُنقل نصفه الدنيا ويُستنتج نصفه العليا، مع الخصائص نفسها. وهذا يجعلهما مناسبين لمنع إعادة الإرسال، لا دليلاً على أن المنع يعمل.

تجعل RFC 4301 و4302 و4303 خدمة منع الإعادة اختياراً محلياً للمستقبل لكل رابطة أمان. وعندما تكون مفعلة، يحتفظ المستقبل بنافذة انزلاقية: القيم القديمة جداً تقع يسارها، والقيمة المعلّمة داخلها نسخة مكررة، والقيمة الموثقة الأحدث تحرك الحد الأيمن. حجم النافذة محلي ولا يبلّغ للمرسل.

يمكن إجراء فحص أولي رخيص قبل التحقق التشفيري، لكن لا يجوز تحديث حالة النافذة تحديثاً نهائياً إلا بعد نجاح السلامة أو فك التشفير الموثق. وإلا استطاع مهاجم إرسال رقم مرتفع غير موثق ودفع الحركة الصحيحة خارج النافذة. ومع ESN يلزم توثيق الحزمة حتى إذا كان منع الإعادة معطلاً، لأن التاريخ الموثق هو أساس استنتاج البتات العليا. إثبات الانتماء للرابطة ليس إثبات الحداثة.

التفاوض ليس تسجيلاً للحزم

يختار IKEv2 التحويل عند إنشاء Child SA. يجب أن يحفظ سجل التدقيق القيم المعروضة والمختارة، واتجاه الرابطة وSPI وهوية النظير وبنية البرنامج والسياسة. لكنه لا يثبت أن عدادات الأنوية أو المسرّعات أو قوائم الانتظار خصصت مجالات غير متداخلة، ولا أن التحويل إلى جهاز احتياطي نقل آخر حد تخصيص، ولا أن إعادة إنشاء المفاتيح سبقت نفاد العداد.

المسألة التشغيلية هي حيازة الحالة. فسلامة كل عداد محلي لا تكفي لإثبات التفرد في المجرى الكلي. وهذا بالضبط سبب نسبة RFC 9827 الخاصية إلى الحزم عند الحد، لا إلى نية كل مرسل.

مستهلكان يحتاجان إلى أكثر من إشارة خضراء

يستعمل RFC 8750 رقم التسلسل لبناء IV ضمني مع بعض خوارزميات AEAD. يجب ألا يتكرر IV تحت المفتاح نفسه. فإذا تداخل مرسلان في الأرقام، لا يجعل تعطيل نافذة الإعادة التصادم آمناً؛ فقد تكرر nonce تشفيري. لذلك يجب وصل معرّف النوع 5 الفعلي بتصميم التخصيص وحد إعادة إنشاء المفتاح.

ويعتمد نمط التجميع والتجزئة AGGFRAG في RFC 9347 على ترتيب حزم ESP الخارجية لإعادة بناء الحزم الداخلية. الزيادة الرتيبة لا تعني التتالي: يمكن لمجرى يستعمل الأرقام الزوجية فقط أن يفي بعقد رتيب وفريد. يضيف AGGFRAG شرط الزيادة بمقدار واحد، وله نافذة إعادة ترتيب قد تختلف عن نافذة منع الإعادة. كما لا يجوز أن يبدأ جزء داخلي تحت رابطة أمان ويكتمل بعد إعادة إنشاء رابطة أخرى.

يوضح المعرّف 2 في RFC 9838 لماذا كان التوسيع ضرورياً. ففي رابطة جماعية متعددة المرسلين قد يبقى الحقل موجوداً من دون ضمان التفرد. لذلك لا يناسب منع الإعادة التقليدي، ويُحظر معه IV المشتق من التسلسل حيث يمكن التداخل، ولا يناسب AGGFRAG الذي يحتاج مجرى واحداً متتالياً.

ثمانية إيصالات بدلاً من ادعاء واحد

ينبغي أن يكون الادعاء التشغيلي قابلاً لإعادة البناء من ثماني طبقات: دلالة سجل IANA؛ التفاوض الفعلي؛ مالك توليد العداد واستمراريته؛ خصائص المجرى الكلي عند نقاط الإدخال؛ سياسة المستقبل وحجم نافذته؛ الحزم المرصودة ومواقعها؛ قرار منع الإعادة بعد المصادقة؛ وسلامة المستهلكين مثل IV الضمني وAGGFRAG. لا يجوز ملء طبقة بنسخ نتيجة الطبقة السابقة.

قيمة RFC 9827 أنه يضيق معنى الإثبات. «تم اختيار تحويل تسلسل» لا تعني «منع الإعادة مفعّل». و«شوهدت نسخة» لا تعني «اصطدم عداد المرسل». و«رُفضت حزمة» لا تعني أن التطبيق حُمي ما لم تُحفظ سلسلة القرار. يوفر المعيار المفردات؛ أما البرهان فتنتجه السجلات التشغيلية المترابطة.

المصادر