الخلاصة

  • ساعد Kenneth J. Klingenstein مؤسسات التعليم والبحث على الانتقال من تكاملات ثنائية متفرقة إلى اتحاد يفصل بين المصادقة المحلية والسمات المشتركة والبيانات الوصفية الموقعة وقرار التفويض المحلي.
  • لا يحوّل الاتحاد الثقة إلى نتيجة آلية؛ بل يوزع الأدلة والواجبات بين مزوّد الهوية ومزوّد الخدمة ومشغّل الاتحاد.

يطلب باحث مورداً رقمياً لدى مؤسسة أخرى. يعيده المتصفح إلى جامعته، فيدخل عبر الصفحة التي يعرفها، ثم يرجع إلى المورد وقد فُتح. من منظور المستخدم حدثت عملية واحدة. أما من منظور التشغيل فقد صدرت قرارات من مجالات إدارية مستقلة.

تتحقق المؤسسة الأصلية من الشخص وفق إجراءاتها، ثم تصدر تأكيداً وقد تضيف سمات عن الانتماء أو الاستحقاق. يتحقق الموقع المستقبل من الرسالة ويطبق سياسة وصول يملكها هو. وبينهما يلزم وصف للأدوار ونقاط الاتصال ومفاتيح التحقق ومعاني السمات، إلى جانب قواعد تحدد من يشارك. لا يوجد طرف واحد يسيطر على السلسلة كلها.

تقع مساهمة Klingenstein في هذه المساحة الوسطى. يسجل Internet Hall of Fame دوره المبكر في توسيع الإنترنت في غرب الولايات المتحدة، ثم عمله منذ أواخر التسعينيات في طبقات الهوية والثقة. وفي 1999، عندما كان يشغل منصب chief technologist في جامعة كولورادو بولدر، تولى قيادة Internet2 Middleware Initiative. وتربط Internet2 ذلك المسار بـ Shibboleth وInCommon وeduPerson وأدوات مجتمعية أخرى.

لكن التاريخ لا يدعم رواية المخترع المنفرد. ففي استعادته لمرور عشرين عاماً على InCommon، يذكر Klingenstein أن R. L. “Bob” Morgan قاد المجموعة الأولى. وشارك معماريون من الجامعات ومطورون ومكتبات ومشروعات بحثية وخبراء معايير OASIS في بناء النظام. تمثلت مساهمته في منح هذا التعاون اتجاهاً واستمرارية ومؤسسات، لا في اختراع SAML أو كتابة كل البرمجيات بمفرده.

اختصر الفريق طموحه في عبارة: المصادقة محلياً والعمل عالمياً. كانت الجامعات تملك حساباتها وأدلتها وإجراءات الالتحاق والمغادرة وممارساتها الأمنية. إنشاء مستودع عالمي موحد كان سينقل حيازة الهوية ويفرض نموذجاً تشغيلياً واحداً. اختار الاتحاد إبقاء التحقق الأساسي لدى المؤسسة الأم، ونقل ادعاء محدود قابل للتفسير.

نشأ Shibboleth من مبادرة Internet2 للبرمجيات الوسيطة عام 2000، واتصل في العام نفسه بعمل OASIS على SAML. صدرت النسخة 1.0 في 2003. وفي 2004 شرح Morgan وScott Cantor وSteven Carmody وWalter Hoehn وKlingenstein مكوّنين منفصلين: Identity Provider لدى مؤسسة المستخدم وService Provider أمام المورد البعيد.

يتولى IdP عملية الدخول المألوفة ويصدر التأكيد. يتحقق SP منه ويمرر السمات إلى التطبيق. ثم يتخذ التطبيق قرار السماح وفق قاعدته الخاصة. لذلك لا تعني المصادقة أن التفويض صحيح. قد يكون التوقيع سليماً والتأكيد صادراً من الجهة المتوقعة، بينما تكون قاعدة الخدمة قديمة أو واسعة أو مبنية على فهم خاطئ للسمة.

أتاحت السمات تجنب إرسال اسم مستخدم دائم في كل مرة. قد تحتاج مكتبة تجارية إلى معرفة أن الزائر ينتمي إلى مؤسسة مشتركة فقط. وقد تحتاج منصة علمية إلى entitlement محدد. إذا لم يغيّر الاسم أو البريد أو الرقم الجامعي القرار، فإن نقله يوسع مساحة الكشف بلا فائدة تفويضية.

قدم eduPerson مفردات مشتركة لقطاع التعليم والبحث. وتوضح مواصفاته أن سمة الانتماء لا تكتسب قيمة بين المؤسسات إلا إذا وجد توافق واسع على تعريفها وممارستها. كما تميز الوثيقة بين نطاق المعرّف واستمراره وخصوصيته وتفرده وإمكان إعادة تخصيصه.

هذه الفروق تشغيلية وليست لغوية فحسب. قد تعني كلمة «عضو» الموظف الحالي في جامعة، وتشمل الخريج أو المتعاقد في جامعة أخرى. وقد يربط معرّف أعيد استخدامه شخصاً جديداً بسجل قديم. ويساعد المعرّف الدائم في حفظ سجل مطلوب، لكنه قد يتيح ربطاً لم يتوقعه المستخدم. لذلك تحتاج دلالة السمة إلى مالك ونسخة وسجل تغيير مثلما يحتاج المفتاح.

أضاف Shibboleth سياسات لإطلاق السمات بحسب الجهة المستقبلة، وأتاح استخدام معرّفات معتمة أو مؤقتة عندما لا يلزم الاسم المعروف. تلك أدوات لتقليل البيانات، وليست ضماناً مطلقاً للخصوصية. الإعدادات الافتراضية وقرار المدير ووضوح الموافقة وسجلات الخدمة والربط اللاحق للبيانات تحدد النتيجة الفعلية.

ولم تكن قابلية التحدث بلغة SAML كافية. تعدد ورقة 2004 اتفاقات لازمة بشأن آليات الأمن وتعريف السمات والعثور على الخوادم ودقة إدارة المستخدمين والتعامل مع المعلومات الشخصية وأهلية المؤسسات. لو تفاوضت كل جامعة مع كل خدمة على حدة، لتضاعفت الاتفاقات والإعدادات وصعبت صيانتها.

حوّل InCommon جزءاً من هذا التفاوض إلى مؤسسة مشتركة. يروي Klingenstein أن الفريق أدرك الحاجة إلى آلية تنظيمية تمنح الطرف المعتمد سبباً للوثوق بمعلومات المصادقة والسمات القادمة من مؤسسة أخرى. تشمل الآلية التعرف إلى المؤسسات ومسؤوليها المخولين، ومعالجة البيانات الوصفية، ووضع التوقعات، وتشغيل الخدمات، وتسوية النزاعات، وإنهاء المشاركة عند الضرورة.

تجعل البيانات الوصفية جزءاً من المؤسسة قابلاً للقراءة آلياً. تتيح مواصفة OASIS وصف دور الكيان ونقاط الخدمة وطرق الربط ومواد المفاتيح المستخدمة للتحقق من التوقيع أو التشفير. وتشرح سياسة InCommon أنها تجمع بيانات المشاركين وتقيّم التغييرات وتوقّع المجموعة رقمياً وتنشرها كي يسترجعها المشاركون.

لهذا يمكن أن يكون للشهادة الموقعة ذاتياً دور في هذا النموذج: لا تأتي الثقة من الشهادة منفردة، بل من التسجيل المنضبط ومن ربط المفتاح بالمؤسسة داخل بيانات وصفية موزعة بتوقيع الاتحاد. وفي المقابل، لا يثبت وجود المفتاح في السجل أن كل ممارسة داخلية آمنة. تفصل Baseline Expectations واجبات IdP وSP ومشغل الاتحاد لمنع هذا التوسع في الاستنتاج.

السجل الواقع بين نطاقي الدخول ليس قاعدة مركزية للأشخاص. إنه يسجل أوصاف الأنظمة والتفويضات التي تسمح بالتعاون. تبقى المؤسسة الأم مسؤولة عن المصادقة وما تطلقه. وتبقى الخدمة مسؤولة عن التحقق والتفويض. ويبقى المشغل مسؤولاً عن سطح التسجيل والتوزيع المشترك.

كان الإنجاز التاريخي تقليل الوصلات اليدوية من دون محو استقلال المؤسسات. خفّضت البيانات الوصفية تبادل العناوين والمفاتيح واحداً واحداً. خفّض eduPerson ترجمة المعاني. خفّضت القواعد المشتركة إعادة فحص الأهلية. وقدمت البرمجيات المفتوحة تطبيقاً يمكن للمؤسسات تشغيله وفحصه. لم تختف الحاجة إلى الحكم؛ أصبحت لها بنية قابلة للتكرار.

يصف «تسجيل الدخول الموحد» ما يراه المستخدم، لا سجل القرار. عند الاعتراض على وصول ما، يلزم معرفة أي IdP صادق على الشخص ومتى وبأي سياق؛ ومن أصدر التأكيد ولأي جمهور ومدة؛ وما السمات التي خرجت وتحت أي تعريف وسياسة؛ وأي نسخة من البيانات الوصفية والمفتاح وثقت بها الخدمة؛ وأي قاعدة محلية أنتجت السماح أو الرفض.

فتح الصفحة لا يحتفظ بهذه الإجابات تلقائياً. إرث Klingenstein الأعمق هو المساعدة في تحويل حدود مؤسساتية مخفية إلى واجهات ثقة يمكن تسميتها وحوكمتها. يستطيع النطاقان البقاء مستقلين، لكن قرارهما المشترك لا يكون قابلاً للمساءلة إلا إذا أمكن إعادة جمع أجزائه.

المصادر