معرّف اتصال QUIC ليس هوية المشترك

الخلاصة

• يوجّه معرّف اتصال QUIC الحزم إلى حالة نقل، لكنه لا يصادق على مشترك أو حساب أو مالك جهاز.
• يتطلب الضمان الموثوق ربطاً صريحاً وقصير الأجل بين أحداث النقل وهوية المستخدم التي تحقق منها التطبيق، مع حدود واضحة للخصوصية والاحتفاظ.

يغادر هاتف نطاق شبكة Wi-Fi في المكتب ويواصل جلسة قائمة عبر شبكة الهاتف المحمول. يتغير عنوان IP ومسار UDP، بينما يستطيع QUIC إبقاء الاتصال واستخدام معرّف مختلف على المسار الجديد. قد تستنتج لوحة الضمان عندئذ أن المعرّف يثبت بقاء المشترك نفسه طوال الانتقال.

هذا الاستنتاج يتجاوز ما يعرّفه البروتوكول. تحدد RFC 9000 وظيفة أضيق لمعرّف الاتصال: منع تغيّر عناوين الطبقات الأدنى من إيصال الحزم إلى نقطة النهاية الخاطئة. تختار كل نقطة نهاية معرّفاتها بأسلوب يخص التنفيذ أو النشر. ولذلك فهو قيمة تساعد على التوجيه وتمييز الاتصالات، وليس إثباتاً تصدره جهة مسؤولة عن التحقق من الهوية.

كما أن دورة حياته تنفي صفة الهوية الدائمة. قد يملك الاتصال الواحد عدة معرّفات نشطة. تصدر نقاط النهاية قيماً جديدة وتسحب القديمة وتغيّر معرّف الوجهة المستخدم. وبالنسبة إلى الحزم التي ترسلها نقطة النهاية عمداً أثناء الانتقال، لا يجوز إعادة استخدام القيمة نفسها عبر أكثر من عنوان محلي أو عنوان وجهة. تتعلق هذه القاعدة بالإرسال لا بكل تغير غير مقصود في المسار؛ فقد تؤدي إعادة ربط NAT إلى وصول حزم من مصدر جديد تحمل معرّف الوجهة نفسه، ويجوز للمستقبِل مواصلة استخدام المعرّف مع العنوان البعيد الجديد ما دام يرسل من العنوان المحلي نفسه. لذا قد يؤدي عدّ المعرّفات إلى عدّ اتصال واحد مرات عدة، بينما يؤدي افتراض ثباتها إلى فقدان جزء من الاتصال بعد الانتقال.

الخصوصية جزء أصيل من التصميم. تشترط RFC 9000 ألا تتضمن المعرّفات معلومات تتيح لمراقب خارجي ربط قيم مختلفة تعود إلى الاتصال نفسه. يهدف التبديل بين المسارات إلى تقليل قابلية التتبع. وتحويل هذه القيم إلى مفتاح عميل طويل الأجل يقلب وسيلة تشغيلية مريحة إلى أداة تضعف تلك الخاصية.

يثبت التحقق من المسار حقيقة أخرى مفيدة: أن الطرف قادر على تلقي الحزم عند عنوان وإعادة الرد المطلوب. لكنه لا يصادق على المشترك المتعاقد أو مستخدم الجهاز الحالي أو حساب التطبيق أو استمرار صلاحية التفويض. إمكانية الوصول ليست هوية.

تحذر RFC 9312 وظائف الشبكة من الاعتماد القطعي على المعرّف لربط التدفقات. قد تتغير القيمة مرات عدة خلال اتصال واحد. كما أن ظهور المجموعة الخماسية نفسها مع معرّفات مختلفة، أو المعرّف نفسه مع مجموعات خماسية مختلفة، لا يحسم وحده ما إذا كانت الحركة تعود إلى الاتصال نفسه. ويجب التعامل مع القيمة على أنها مبهمة من دون تعاون صريح مع نقطة النهاية.

لا يعني ذلك أن المعرّف عديم الفائدة تشغيلياً. يمكن لسجلات نقطة النهاية استخدامه مادة ربط قصيرة الأجل إلى جانب الإصدار والتسلسل والسحب والتحقق من المسار وجلسة التطبيق. الخطأ هو تحويل حقل نقل إلى حكم هوية من دون هذه الروابط.

يصبح الفرق حاسماً عندما يرتبط الإجراء بحق أو مسؤولية: تعديل حساب، أو إجازة دفعة، أو فتح قناة إدارية، أو تطبيق رقابة لمكافحة الاحتيال، أو إسناد حركة مسيئة. عندها يجب أن يحتفظ التطبيق بهوية المستخدم التي تحقق منها وبحالة التفويض التي حكمت ذلك الإجراء بعينه.

الدليل المناسب هو سجل موثق لاستمرارية الهوية عبر النقل. يربط مرجعاً مستعاراً لهوية المستخدم التي تحقق منها التطبيق، وجلسة التطبيق، وحالة التفويض، ودور نقطة نهاية QUIC، والطرف الذي أصدر المعرّف ورقمه التسلسلي وإصداره وسحبه، والمسارين القديم والجديد، ونتيجة التحقق، والتصنيف القابل للرصد بوصفه إعادة ربط NAT أو انتقالاً متعمداً، ونقطة الرصد، ونتيجة الإجراء، وأساس الربط، وموعد حذف السجل، والمسؤول عن أي استثناء. يمكن أن يكون معرّف الاتصال جزءاً من السجل، لكنه لا يصبح مرجع إثبات الهوية.