الخلاصة

  • يحدد RFC 9420 انتقال مجموعة MLS من حقبة إلى أخرى عبر Proposals وCommit يعالجه عملاء موثّقون.
  • يثبت ذلك حالة بروتوكول محددة، ولا يثبت علم البشر أو إجماعهم أو سلطة المؤسسة أو اكتمال التسليم أو أثر العمل المنجز.

عبارة «المجموعة قررت» تخفي في كثير من الأحيان سلسلة من الوقائع المتباينة. قد تعني أن رسالة أُرسلت، أو أن طرفية استقبلت تحديثاً، أو أن تطبيقاً اجتاز قاعدة، أو أن مشاركين أكدوا المعالجة، أو أن جهة مخوّلة اعتمدت عملاً، أو أن أثراً خارجياً وقع فعلاً. ليست هذه أسماء متعددة للحقيقة نفسها، ولذلك لا ينبغي أن تصبح علامة الحالة التشفيرية الدقيقة برهاناً صامتاً عليها جميعاً.

يعالج Messaging Layer Security، كما يحدده RFC 9420، مسألة أضيق وأهم: استمرار إقامة حالة مفاتيح مشتركة وموثّقة بين عملاء. فالمجموعة في هذا البروتوكول تجمع منطقي من العملاء الذين يتشاركون سراً مشتركاً، وتاريخها سلسلة خطية من الحِقب. وفي كل حقبة تحمل مجموعة محددة من العملاء الموثّقين حالة تشفيرية مشتركة.

كلمة «عميل» هنا حدّ يجب احترامه. يعرّف RFC العميل بالمفاتيح التشفيرية التي يحملها، لا بكونه شخصاً أو موظفاً أو إدارة أو مؤسسة أو صاحب صلاحية. يستطيع Authentication Service أن يتحقق من credentials ضمن سياسة التحقق التي يقدمها. وقد يثبت هذا ربطاً بين مفتاح ومشارك مسموح به في ذلك السياق. لكنه لا يثبت أن إنساناً قرأ Proposal، أو أنه يملك تفويضاً لإلزام منظمة، أو أنه عبّر عن موافقة.

أما انتقال الحالة في MLS فله معنى تقني واضح. تقترح Proposal تغييراً في المجموعة، كإضافة عضو أو تحديثه أو إزالته. وينفذ Commit التغييرات المقترحة في مجموعة من Proposals. حين ينشئ العميل Commit أو يعالجه، يتقدم ratchet tree وGroupContext من الحالة القديمة إلى الحالة التي تبدأ الحقبة الجديدة. يتضمن GroupContext، من بين قيمه، معرف المجموعة ورقم الحقبة وtree hash وconfirmed transcript hash. وعند إضافة عملاء، ينشئ صانع Commit في الوقت نفسه Welcome المقابل كي يتمكنوا من بناء نسختهم من الحالة الناتجة.

تسمح هذه السلسلة بقول دقيق وقوي: عالج عميل انتقال حالة MLS معيناً وفق قواعد التحقق في البروتوكول. تربط آليات transcript وconfirmation مواد البروتوكول المعرّفة عبر الحِقب، وتحمي آليات المفاتيح أسرار المجموعة ضمن الشروط التي يصفها RFC. لكن Commit ليس محضراً لاجتماع أو نتيجة تصويت أو توقيع عقد أو اعتماد ميزانية أو دليلاً على تنفيذ تغيير تشغيلي. إنه رسالة بروتوكول تُدخل Proposals في حالة المجموعة التشفيرية.

ونموذج التسليم في RFC يجعل توسيع هذا الاستدلال خطراً. يفترض MLS Authentication Service موثوقاً للتحقق من credentials، وDelivery Service يوجّه الرسائل لكنه غير موثوق إلى حد كبير. لا يستطيع Delivery Service مخترق أن يزوّر رسالة MLS صالحة. لكنه يستطيع تأخير الرسائل أو إزالتها انتقائياً، وحجب الرسائل من عضو أو إليه على نحو دائم، والتأثير في Commit الذي يطبق إذا ترك التطبيق له حل التعارض بين Commits المتزامنة.

لذلك لا يعدّ Commit الصالح إيصالاً بأن كل المعنيين تلقوا المادة في الوقت الملائم. قد يثبت انتقال حالة من دون أن يثبت اكتمال التداول. وباستثناء قيمة generation في بيانات المرسل، يترك RFC كشف الفقد للتطبيق. إذا كان النظام يحتاج إلى دليل على الوصول أو التوقيت أو من بقي خارج النطاق، فعليه تسجيل تلك الوقائع في طبقة التسليم والتطبيق. إن عدم العثور على تزوير ليس دليلاً على تسليم كامل.

ويفصل RFC أيضاً بين Commit وتأكيد المعالجة. ففي تطبيق غير متزامن قد يكون الأعضاء القادرون على كشف Commit مشوّه غير متصلين. وقد تصبح الحالة الناتجة أساساً لـ Commits لاحقة، ثم يعجز هؤلاء الأعضاء عند عودتهم عن اللحاق بالمجموعة. يستطيع التطبيق اشتراط تأكيدات على المعالجة الناجحة قبل أن يعدّ Commit مقبولاً، لكن MLS لا يقدم آلية مدمجة لهذا النوع من التأكيد.

ينبغي إذاً إبقاء أربع قضايا منفصلة: وجود Commit، واعتبار التطبيق له مقبولاً، وتوافر التأكيدات التي تطلبها قاعدة التطبيق، واتخاذ مؤسسة مخوّلة قراراً. يتعامل البروتوكول مع الأولى في نطاقه. يملك التطبيق قواعد الثانية والثالثة. أما القرار الذي يرتب التزامات أو ينقل موارد أو يحدث أثراً خارجياً، فيبقى عند المؤسسة التي تتخذه.

السجل القابل للمراجعة لا يدمج هذه الطبقات. فهو يحتفظ بمعرف مجموعة MLS والحقبة، وCommit وProposals، وسياق credentials، ومشاهدات التسليم، وقاعدة التأكيد وحدها ومهلتها، والقرار المحلي، والفعل المنفذ. وعندئذ فقط يمكن أن تسأل مراجعة لاحقة، على نحو مستقل، عما تغيّر في البروتوكول، وما الذي عالجته الطرفيات، وما الذي قبله التطبيق، وما الذي قررته الجهة، وما الذي وقع خارج النظام.

إن الفصل الذي يطرحه Lu Heng بين التمثيل والقرار المحلي والنتيجة المنفذة يصلح هنا كضبط تحليلي. حقبة MLS تمثيل تقني دقيق وقابل للفحص. وحمايتها من الادعاء الزائد هي ما يبقي دقتها جديرة بالثقة.

Sources