الخلاصة

  • يتيح إجراء test استخدام المفتاح والخوارزمية المضبوطين لمقارنة رمز MAC مرشح بنتيجة حساب محلي. المخرَج قيمة منطقية فقط؛ لا يعيد الإجراء بايتات المفتاح أو رمز MAC الذي حسبه محلياً.
  • يتطلب الاستدعاء، عند تطبيق NACM، قراءة جميع مثيلات العقد السلفية التي تحدد الإجراء، وحق exec على الإجراء نفسه. حماية الحقل الشقيق value لا تحسم هذا الحق. تفصل القواعد المطابقة في الطلب، وعند غيابها للتنفيذ تُطبَّق exec-default، وقيمتها المعيارية permit.
  • يمكن للاختبار أن يدعم التحقق من التهيئة دون كشف السر للمشغّل. لكنه لا يثبت استقبال نظير لحزمة، أو نجاح المصادقة الحية، أو سلامة المسارات، أو جاهزية سحب مفتاح قديم أثناء التدوير.
  • المسؤولية العملية مزدوجة: تعيين من يستطيع إجراء المقارنة، وتحديد الاستنتاج الذي يجوز له أو لأداة آلية أن يبنيه عليها. الوثائق تحدد الآلية؛ أما توزيع الأدوار وحفظ أدلة القرار فهما اختياران مؤسسيان يحتاجان إلى تبرير.

سر محجوب، وصلاحية مستقلة لاستخدامه

المشغّل الافتراضي الذي يختبر مفتاحاً لا يقرؤه يمارس قدرة محددة: يطلب من الجهاز أن يستخدم سراً محفوظاً لديه للإجابة عن مقارنة اختار مدخلاتها. حجب القراءة يمنع استرجاع القيمة عبر هذه الواجهة؛ أما المقارنة فتنتج معلومة عن توافق مدخلين مع المفتاح والخوارزمية. لذلك يبقى السؤال عن صاحب صلاحية الطلب قائماً حتى بعد التأكد من أن السر لا يظهر في نتائج القراءة.

في نموذج YANG المنشور ضمن RFC 9647، القسم 2.3، يتضمن كائن المفتاح الاسم name، وعلامتي use-send وuse-verify، والخوارزمية algorithm، وحقل القيمة value. يحمل الأخير الوسم nacm:default-deny-all. ويقع إجراء test داخل كائن المفتاح نفسه، إلى جانب تلك الحقول. لهذا الموضع أثر مباشر في احتساب الصلاحية: حقل القيمة شقيق للإجراء في الشجرة، وليس عقدة سلفية يمر بها المسار المحدد له.

يرسل المستدعي test-string، وهي سلسلة ثنائية، وmac، وهو رمز MAC مرشح بصيغة ثنائية أيضاً. يحسب التنفيذ محلياً رمزاً باستخدام القيمة والخوارزمية المضبوطتين، ثم يعيد indication: القيمة true عند التطابق وfalse عند عدمه. لا يختار المستدعي مفتاح الحساب عبر مدخل جديد، ولا يتلقى الرمز المحسوب محلياً؛ إنه يستدعي الإجراء المرتبط بكائن مفتاح بعينه. هذه هي حدود واجهة الاختبار المنشورة في RFC 9647.

ويوضح RFC 9046، القسم 3.8، الأصل المعلوماتي لهذا الترتيب: يُستخدم اسم المفتاح للتعرف على الكائن لأن قيمته لا يجوز أن تكون قابلة للقراءة. ويشترط النص منع قراءة القيمة، مع إتاحة وسائل منها الصلاحيات أو إعادة سلسلة فارغة. لذلك لا تثبت استجابة قراءة فارغة أن المفتاح المضبوط فارغ أو غير موجود. كما يعرّف الاختبار وسيلة للتحقق من أن المفتاح والخوارزمية ينتجان النتيجة المتوقعة.

الاسم هنا أداة تعيين. لا يثبت من أنشأ المفتاح أو من يتحمل مسؤوليته، ولا يمنح حق قراءته أو اختباره. وعلامتا use-send وuse-verify تتعلقان باستخدامه لحساب MAC للحزم المرسلة والتحقق من الحزم الواردة؛ لا تعرّفان عضوية المستخدمين أو صلاحيات استدعاء إجراء الإدارة. هذه الفروق واردة في تعريف الكائن في RFC 9046. ومن ثم لا يصح أن تحل عبارة «هذا مفتاح فريق التشغيل» محل تقييم الحقوق الفعلية لجلسة محددة.

من يقرر أن هذا المشغّل يستطيع الاختبار؟

يضع RFC 8341، القسم 3.1.3، شرطين لاستدعاء إجراء YANG: حق قراءة جميع مثيلات عقد البيانات السلفية التي تحدد الإجراء في مخزن البيانات، وحق التنفيذ exec على الإجراء المطلوب. في حالة مفتاح Babel، يلزم احتساب القراءة على كامل المسار المحدد لمثيل الإجراء، وصولاً إلى مجموعة المفاتيح وكائن المفتاح المعنيين. السماح بالتنفيذ لا يعوض منع قراءة عقدة سلفية لازمة، كما أن السماح بقراءة المسار لا يمنح التنفيذ تلقائياً.

أما حقل value المحمي فليس ضمن تلك العقد السلفية. وسْمه لا ينتقل أفقياً ليقرر مصير الإجراء الشقيق. لذلك يمكن أن تُحجب قيمة المفتاح عن مستخدم، بينما تسمح له السياسة الفعلية باختباره. ويمكن أيضاً أن تُحجب القيمة ويُمنع الاختبار معاً. الفارق بين الحالتين يقع في مسار التفويض الذي يخص الاستدعاء، ولا يمكن استنتاجه من صورة تعرض حقلاً سرياً مخفياً. هذا استنتاج من بنية RFC 9647 وشروط RFC 8341.

في جلسة عادية يُطبَّق فيها NACM، تتحدد القواعد المنطبقة وفق هوية الجلسة ومجموعاتها ونطاق الطلب. وتُفحص قوائم القواعد ثم قواعدها بحسب ترتيبها؛ أول قاعدة مطابقة تحسم السماح أو المنع. يشمل التطابق العملية المطلوبة والمسار والوحدة المعنية. وجود قاعدة منع في ملف الإعداد لا يكفي وحده لإثبات أنها ستقرر هذا الطلب، إذا سبقتها قاعدة سماح مطابقة. هذه نقطة جوهرية في إجراءات التحقق بالقسم 3.4.5 من RFC 8341.

عندما لا توجد قاعدة مطابقة تحسم التنفيذ، يُرجع إلى exec-default، وقيمتها المعيارية في القسم 5.1 هي permit. يبقى شرط قراءة العقد السلفية قائماً. وقد تكون القيمة الفعلية أو القواعد المضبوطة أكثر تقييداً. لذلك لا تعني القيمة المعيارية إتاحة الاختبار للجميع، ولا تثبت تجاوزاً لـNACM أو خللاً في نشر معين. إنها تبيّن أن غياب قرار صريح بشأن التنفيذ قد يترك القرار للقيمة الافتراضية، وفق بقية شروط RFC 8341.

الجهة التي تعتمد سياسة الوصول وتربط الهويات بالمجموعات وتضبط القواعد هي التي توزع هذه القدرة مؤسسياً؛ والخادم يطبق السياسة على الطلب. لا يسمي المعيار وظيفة بشرية بعينها مالكة لحق الاختبار. وقد يأتي التفويض الفعلي من قاعدة خاصة، أو نطاق أوسع، أو المسار الافتراضي. لذلك ينبغي أن تستطيع المؤسسة شرح سبب وصول الهوية إلى الإجراء، حتى عندما لم يكتب أحد قاعدة تحمل اسم «اختبار مفتاح Babel».

ومن المفيد فصل نية السياسة عن أثرها. قد تقصد المؤسسة منح فريق التشخيص قدرة ضيقة، لكن نطاقاً واسعاً في قاعدة أو عضوية إضافية في مجموعة يغير من يستطيع استخدامها. وقد تقصد الإتاحة لفريق مخول، بينما يمنع تقييد القراءة على إحدى العقد السلفية وصوله إلى الإجراء. في الحالتين يُقيَّم القرار عند الهوية والمسار والعمل المطلوب، لا عند اسم الدور وحده.

قيمة حق الاختبار عند التهيئة

الفائدة المشروعة واضحة: يمكن التحقق من إعداد محلي دون توزيع قيمة المفتاح على كل من يراجع ذلك الإعداد. ويشير القسم 4 من RFC 9647 إلى استخدام الإجراء للتحقق من ضبط المفتاح وخوارزميته. ومن التطبيقات الإدارية الممكنة أن توفر جهة التهيئة زوجاً اختبارياً معروف المصدر، بينما تنفذ جهة التشخيص المقارنة على الكائن المقصود. هذا توزيع ممكن للعمل تستفيد المؤسسة فيه من الواجهة.

تمنح هذه القسمة المشغّل مادة كافية لسؤال محدد: هل ينتج الإعداد المحلي، لهذه السلسلة، الرمز المتوقع؟ وتتيح لجهة التهيئة الاحتفاظ بمسؤولية إنشاء المرجع، وللمراجع الاحتفاظ باستقلاله في تنفيذ الفحص. لكن قيمة النتيجة تعتمد على معرفة مصدر الزوج الاختباري وصلته بالمفتاح المقصود. إذا اختُبرت مدخلات مجهولة الغرض، فقد تكون المقارنة صحيحة حسابياً مع بقاء سبب الاعتماد عليها في قرار التهيئة غير واضح.

تحديد الغرض قبل الطلب يضبط قيمة السلطة الممنوحة. فالموافقة على «فحص وصول الإعداد المقصود إلى هذا الكائن» تضيق مجال الاستنتاج. أما الموافقة على عبارة فضفاضة مثل «اعتماد المفتاح» فتترك مساحة لضم أحكام أخرى إليها: اكتمال توزيعه، واستخدامه لدى الأطراف، وإمكان سحب سابقه. لا تنتج هذه الأحكام من المقارنة وحدها. وضوح العبارة التي سيوقع عليها المراجع يمنع النتيجة الصغيرة من اكتساب معنى أكبر عبر سلسلة التسليم.

وتختلف قيمة النتيجة بحسب من يفسرها. يستطيع مشغّل مخول تسجيل وقوع التطابق على مدخل معروف. وتحتاج جهة قبول التهيئة إلى ربط ذلك بالطلب الأصلي وبالكائن المستهدف. وتحتاج جهة قرار الانتقال التشغيلي إلى دليل يناسب انتقالها. يمكن لشخص واحد أن يشغل أكثر من دور، لكن جمع الأدوار لا يدمج الأدلة: معرفة نتيجة الفحص المحلي لا تجعل القرار التالي محسوماً.

والمنع نفسه يحتاج إلى تفسير منضبط. رفض استدعاء الإجراء يعني أن المقارنة المطلوبة لم تُنجز للمستدعي على ذلك المسار؛ وهو يختلف عن نتيجة false الصادرة بعد مقارنة مكتملة. كذلك لا تشرح عدم المطابقة وحدها أي عنصر خالف التوقع: قد يلزم التحقق من مرجع الاختبار أو الكائن المقصود أو الإعداد. هذه حدود للاستدلال من تصميم الواجهة.

النتيجة المحلية وحدود قرار التدوير

تنتمي مصادقة حزم Babel إلى سياق أوسع. يصف RFC 8967، الأقسام 4 إلى 6، حساب MAC على ترويسة زائفة ومحتوى الحزمة، ثم إجراءات الإرسال والاستقبال. ويتضمن القبول لدى المستقبل، إلى جانب مقارنة MAC، معالجة عداد الحزم والفهرس وآلية التحدي بحسب الحالة. استدعاء الإدارة الذي يقارن سلسلة يختارها المستخدم لا ينفذ بذاته هذا التبادل مع نظير.

لذلك تؤيد true ادعاءً ضيقاً عن المقارنة المحلية التي أُجريت. لا تثبت أن حزمة حية أُرسلت، أو أن نظيراً استقبلها، أو أن معالجة المصادقة لديه اكتملت، أو أن مساراً دخل حالة معينة. ولا تنتج شهادة عن صحة الشبكة. ينبغي أن يتناسب كل انتقال في الاستنتاج مع دليل جديد: أثر محلي للمقارنة، ثم دليل خاص بالطرف المعني والحزم الفعلية إذا كان القرار يتعلق باتصال حي. هذا الفصل التحليلي يتبع اختلاف العمليتين في RFC 9647 وRFC 8967.

وتصبح الحدود أشد أهمية أثناء التدوير. يسمح الترتيب الموضح في القسم 5 من RFC 8967 بتداخل المفتاح القديم والجديد قبل إزالة القديم. وخلال التداخل قد تحمل الحزم رموز MAC محسوبة بكليهما؛ المقصود الرموز الناتجة، لا إرسال بايتات المفاتيح السرية. وبما أن اجتياز فحص MAC لدى المستقبل يمكن أن يتحقق بوجود تطابق واحد، فإن استمرار المرور قد يبقى معتمداً على القديم.

من هنا لا يكفي جمع ملاحظتين محدودتين: نجاح اختبار محلي للجديد، واستمرار المرور خلال فترة التداخل. الأولى لا تثبت أن النظراء قبلوا حزماً موثّقة بالمفتاح الجديد؛ والثانية لا تعزل دور الجديد عن دور القديم. قد تدعمان مواصلة التحقيق في الجاهزية، لكن قرار سحب القديم يحتاج إلى دليل يميز كفاية الجديد في النطاق المعني. ولا يفرض هذا التحليل وسيلة قياس بعينها؛ إنه يحدد ما ينبغي أن يثبته الدليل حتى يسند القرار.

وتبقى تسمية المفتاح مسألة إدارة. لا يتضمن تعريف حقل MAC في القسم 6.1 من RFC 8967 اسم كائن المفتاح المستخدم في نموذج الإدارة. لذلك لا يصح افتراض أن مشاهدة رمز في حزمة أو تسجيل قبول إجمالي يربط تلقائياً ذلك القبول باسم المفتاح المحلي. إن احتاج قرار التدوير إلى هذا الربط، وجب تفسير مصدره وحدوده، بدلاً من ملء الفراغ بالاسم الظاهر في لوحة الإعداد.

كما أن ثبوت قبول حزم باستخدام الجديد ضمن نطاق محدد لا يثبت وحده اكتمال الانتقال في كل النطاقات. فالدليل يحمل حدود مكانه وزمنه والجهات التي يغطيها. توسيع الحكم يحتاج إلى توسيع التغطية. ويظل حق إجراء الاختبار مفيداً داخل هذه العملية، لأنه يوفر فحصاً محلياً قابلاً للتفويض؛ غير أن المؤسسة هي التي تحدد أي خطوة تليه، ومن يملك إقرارها، وما الأدلة التي تظل ناقصة عندها.

اتساع الصلاحية وضيقها يحملان تكلفة

إذا امتد حق الاختبار إلى هويات أوسع مما يتطلبه العمل، اتسعت دائرة من يستطيعون طلب حسابات مقارنة باستخدام السر. هذا هو الأثر المباشر الذي ينبغي مناقشته، حتى مع بقاء البايتات محجوبة. ولا يلزم افتراض استخراج مفتاح أو وقوع هجوم لإثبات أن المؤسسة منحت قدرة إضافية. المطلوب تبرير الحاجة إلى هذه القدرة لكل نطاق من الهويات، وتحديد صاحب المسؤولية عن بقائها.

ويشدد القسم 4 من RFC 9647 على ضبط الوصول إلى الإجراءات الحساسة، ويحذر من قنوات جانبية، منها زمن الاستجابة. ويوصي بأن تستخدم التطبيقات مقارنة بزمن ثابت بين MAC المدخل والمولّد محلياً، بصيغة معيارية هي SHOULD. ولا يرفع النص هذه التوصية إلى MUST، كما لا يقدم قياساً لتسرب زمني في تطبيق محدد. وهي تخص المقارنة؛ لا تعني أن المدة الإجمالية لكل طلب إدارة ستكون متطابقة.

يقود ذلك إلى سؤالين منفصلين عن التنفيذ: هل الوصول مقصور على من تسمح لهم السياسة الفعلية، وهل تراعي المقارنة التوصية ذات الصلة بالقناة الجانبية؟ لا تعوض إجابة أحدهما غياب الآخر. وبالمثل، لا يكفي وصف المخرَج بأنه منطقي لإغلاق بحث الصلاحية. ضيق المخرَج يحدد ما تعيده الواجهة مباشرة؛ أما منح شخص حق استدعائها فهو قرار آخر يحتاج إلى غرض واضح.

وعلى الطرف المقابل، قد يرفع المنع الأوسع من الحاجة تكلفة التحقق المشروع. إذا لم يستطع المراجع المخول إجراء المقارنة، تصبح أعمال التهيئة مرتبطة بجهة صغيرة تحتفظ بحق التنفيذ. وقد يطول انتظار الفحص أو يُطلب توسيع دور إداري لتجاوز العائق. هذه احتمالات تنظيمية ينبغي وزنها عند تصميم الدور؛ لا تقدم المصادر قياساً لوقوعها أو لحجم تكلفتها.

المقارنة المفيدة بين السياسات تسأل عن إنجاز المهمة المبررة بأضيق نطاق عملي من السلطة. منح دور التشخيص حقاً مفهوماً ومحدداً قد يدعم توزيع العمل مع بقاء السر محجوباً. وقصره على جهة التهيئة قد يناسب غرضاً آخر إذا أمكنها تقديم دليل قابل للمراجعة في الوقت المطلوب. يتوقف الترجيح على حاجة المؤسسة وسرعة الاستجابة المطلوبة وجودة المساءلة التي تستطيع توفيرها، ولا يستخلص مباشرة من القيمة الافتراضية في المعيار.

تقييم الحقوق الفعلية وإسناد الاستدعاء

يبدأ تقييم الحقوق بسؤال ملموس: أي هوية، في أي جلسة، تستطيع استدعاء test على أي مثيل مفتاح؟ ثم تُربط الإجابة بالمجموعات المنطبقة، وقراءة المسار السلفي، والقاعدة التي حسمت التنفيذ أو القيمة الافتراضية التي استُخدمت. وتدخل حالة تطبيق NACM وسياق الجلسة في التقييم. لا تقدم مراجعة اسم حساب أو اسم مجموعة منفرداً الإجابة نفسها التي يقدمها تتبع قرار التفويض كاملاً، وفق آلية RFC 8341.

ويمكن للمؤسسة، بوصفه اختياراً تدقيقياً، أن تختبر هذا التوقع باستخدام هويات تمثيلية مخولة بالمراجعة: هوية يفترض السماح لها، وأخرى يفترض منعها، وعلى الكائنات التي يغطيها القرار. الغرض التحقق من تطابق السياسة المقصودة مع الحقوق الفعلية. نجاح مشغّل ذي صلاحيات واسعة في تنفيذ الاختبار لا يجيب عن حقوق بقية الحسابات، كما أن فشل حساب واحد لا يثبت منع جميع الهويات الخارجة عن النطاق.

ويزداد وزن الإسناد عندما يكون المستدعي حساب خدمة. اسم الحساب يبين هوية التنفيذ التي وصلت إلى الخادم؛ لكنه لا يفسر بمفرده من بدأ المهمة، أو أي مسار عمل أجازها، أو لماذا استُهدف هذا المفتاح. وقد تكون المهمة مجدولة بلا مبادرة بشرية آنية. في هذه الحالة تكون المساءلة عن الجهة التي اعتمدت الجدول والغرض والنطاق، وعن التشغيل المحدد الذي أنتج النتيجة، دون اختراع شخص خلف كل طلب آلي.

يمكن أن يربط سجل مناسب بين هوية التنفيذ، ومعرف الجلسة أو المهمة، ووقت الطلب، ومثيل المفتاح والخوارزمية، ومرجع الزوج الاختباري، وقرار التفويض، ثم النتيجة والقرار الذي استند إليها. هذه عناصر مقترحة لبناء دليل قابل للمراجعة، وليست حقول تدقيق يفرضها إجراء test. ولا يستلزم ذلك تضمين بايتات المفتاح في السجل؛ فالغرض حفظ صلة النتيجة بسياقها، مع إبقاء السر خارج سلسلة المراجعة.

والسجل ذو القيمة يميز بين طلب مرفوض، ومقارنة انتهت بعدم تطابق، ومقارنة انتهت بتطابق. دمج الحالات تحت كلمة «فشل» يطمس الفرق بين مشكلة التفويض وعدم تحقق التوقع الحسابي. ودمجها تحت رقم إجمالي لا يشرح من مارس السلطة وعلى ماذا. لذلك تكون قابلية التدقيق مرتبطة بجودة الربط بين الوقائع، لا بكثرة السجلات وحدها.

تبقى حدود هذا التقرير واضحة: المصادر تنشر تعريفات وإجراءات معيارية؛ لا تعرض إعدادات مؤسسة بعينها أو عضويات مستخدميها أو نتائج قياس لتطبيق محدد. ويمكن منها إثبات انفصال صلاحية الاختبار عن حماية حقل القيمة، وشرح شروط الاستدعاء وحدود المخرَج. أما تحديد من يستطيع الاختبار فعلاً في بيئة ما فيحتاج إلى سياسة تلك البيئة وسياق جلساتها ودليل التنفيذ فيها.

النتيجة العامة أن حماية بايتات المفتاح تترك قراراً إدارياً مهماً مفتوحاً: توزيع القدرة على استخدامه في اختبار محدود. يصبح هذا التوزيع قابلاً للمساءلة حين يمكن بيان سبب السماح، وهوية من مارس الحق، والغرض الذي خدمته المقارنة، وحد الاستنتاج الذي بُني عليها. عندئذ يحافظ الاختبار على فائدته في التهيئة دون تحميل جوابه المنطقي قراراً لا يستطيع إثباته.

المصادر