الخلاصة

  • تسمح draft-ietf-emu-pqc-eap-tls-02 بحذف الشهادات الوسيطة من المصافحة بعد جلبها عبر EST موثوق أثناء تهيئة الجهاز.
  • تبقى شهادة الطرف النهائي وCertificateVerify في كل اتصال؛ الذي ينتقل إلى الحالة السابقة هو الوسطاء فقط.
  • الإصدار 02 مسودة عمل، ولا يعرّف إشارة TLS يتفاوض بها الطرفان على الحذف داخل الاتصال الحي.

الاتصال القصير يحمل تاريخاً أطول

تكبر سلاسل ما بعد الكم قبل حصول الجهاز على خدمة الشبكة العادية. وفي EAP-TLS قد تجعل التجزئة وإعادة الإرسال سلسلة صحيحة تشفيرياً غير قابلة للعمل. تنقل المسودة العبء: يجلب العميل وسطاء الخادم من /.well-known/est/eapservercertchain، ويستطيع الخادم جلب وسطاء العملاء من /.well-known/est/eapclientcertchain ضمن النطاق الإداري نفسه.

وهكذا تفترض المصافحة الأصغر مرساة ثقة مثبّتة، وخادم EST جرى توثيقه، وبايتات دقيقة بقيت في الذاكرة، ومسار إصدار ما زال مناسباً، وإعداداً حُصر في الفئة الصحيحة. هذا نقل للمسؤولية لا ضغط للبيانات.

المسودة مؤرخة في 23 سبتمبر 2026 وتنتهي في 27 مارس 2027. يعرض Datatracker حالتي WG Document وI-D Exists. يذكر رأس النص Standards Track، بينما لا تعرض الخلاصة وضع RFC مقصوداً. لا تثبت هذه الحالات إجماعاً أو نشرًا عملياً.

القراءة بلا هوية عميل لا تعني مصدراً بلا ثقة

يجب أن تستجيب الموارد من دون توثيق العميل، لكن على طالبها توثيق خادم EST عبر HTTPS بمرساة أُنشئت بواسطة BRSKI أو EST أو قناة خارجية. ولا يجوز استعمال سلسلة من خادم غير موثوق للتحقق من TLS.

حتى HTTP 200 لا يبني المسار. إذا استخدم خادم EAP عدة جهات إصدار، فقد يشمل الرد وسطاءها جميعاً. يبقى على العميل اختيار ما يصل شهادة الطرف النهائي المعروضة حياً بمرساته. وإذا تعذر المسار يفشل التوثيق. نجاح التنزيل لا يثبت الحداثة أو الإلغاء أو حيازة المفتاح أو وصول الشبكة.

الذاكرة المخبأة تدخل حدود الإتاحة

تذكر المسودة إعادة الجلب دورياً وCache-Control وETag وفترة صلاحية الشهادة. يصف ETag تمثيلاً لدى مصدر واحد، وتحدد الصلاحية زمناً لشهادة. لا يثبت أي منهما أن شهادة نهائية جديدة ترتبط بالمجموعة القديمة أو أن جهازاً كان غير متصل تلقى التدوير.

للنظام ساعتان: تتغير السلسلة في مستوى التهيئة، وتأتي محاولات الدخول في مستوى EAP. جهاز نائم أو تبديل جهة الإصدار أو صورة إدارة قديمة يمكن أن يحول توفير البايتات إلى انقطاع توثيق.

الحذف يُضبط ولا يُتفاوض عليه

من دون إعداد إداري صريح يجب على العميل إرسال السلسلة الكاملة. ولا يحذفها الخادم إلا بعد تأكد المسؤول من جلب العملاء لها. أما امتداد TLS الذي يثبت هذه الحالة المشتركة فمذكور كحل مستقبلي خارج النطاق.

لذلك لا يصلح مفتاح عالمي مبني على نسخة البرنامج. يجب ربط القدرة بفئة أطراف وجهات إصدار وجيل تهيئة وسياسة حداثة. والرجوع الآمن هو استئناف إرسال السلسلة الكاملة.

ما بعد الكم لا ينتهي عند الشهادة النهائية

تحتاج السرية الطويلة إلى TLS 1.3 واتفاق مفتاح لما بعد الكم أو هجين. ويحتاج التوثيق إلى تواقيع مناسبة حتى المرساة المثبتة خارجياً. لا تجعل شهادة نهائية لما بعد الكم وسيطاً تقليدياً آمناً تلقائياً، ولا يزيل الجلب المسبق الشهادة النهائية أو CertificateVerify.

يجب فصل الإيصالات: المرساة، هوية EST، الرد والبصمات، الحداثة، مسار الإصدار، التفعيل، التحقق الحي، اكتمال EAP، ثم نتيجة الوصول.

المصادر والحدود

لا تقدم المصادر عدد عمليات نشر أو نسبة فشل مقاسة أو وفراً مضموناً أو فترة تحديث أو اتفاق رجوع. ولا تُنسب هنا واقعة أو تطبيق إلى منتج.