الخلاصة

  • تقترح المسودة draft-skoglund-epp-registry-lock-00 سير عمل معلّقاً في EPP، يوافق فيه واحد أو أكثر من جهات اتصال القفل على تغيير نطاق محمي قبل انقضاء مهلة.
  • يمكن للسياسة تحديد عدد الموافقات المطلوبة، ويمكن لرسالة الاستطلاع اللاحقة تسمية معرّفات الموافقين، إلا أن المسودة لا توحّد مستوى إثبات الهوية أو ربط التحدي بالطلب أو استقلال الأشخاص والقنوات ومسارات الاستعادة.
  • يحتاج المشغّلون إلى سجل مستقل لمراسم الموافقة يربط الحالة قبل التغيير وبعده، والسياسة وجهات الاتصال القديمة، ومجالات السيطرة، والتحديات، والردود، والاستثناءات، والتوقيت، والنتيجة النهائية. هذا اقتراح حوكمة وليس شرطاً صادراً عن IETF.

للنصاب جاذبية رقمية واضحة. موافقة واحدة نقطة فشل منفردة، أما اثنتان أو ثلاث فتبدوان أقوى. غير أن شخصين قد يستخدمان عنوانين مختلفين داخل مستأجر البريد المؤسسي نفسه، ويستعيدان حسابيهما عبر مكتب الدعم ذاته، ويتلقيان الرموز على هاتفين تديرهما الجهة الإدارية نفسها. يرى البروتوكول موافقتين؛ وقد لا يحتاج المهاجم إلا إلى اختراق نطاق سلطة واحد.

الفارق مهم لأن قفل السجل مخصص لنطاقات قد تتجاوز آثار العبث بها مسألة استرجاع حساب عادي. تغيير خوادم الأسماء قد يحوّل حركة المستخدمين والبريد. تغيير صاحب النطاق قد ينقل السيطرة القانونية. والنقل إلى مسجّل آخر قد يبدّل العلاقة التشغيلية كلها. يضيف القفل على مستوى السجل مؤسسة تقع خارج مسار بيانات الاعتماد المعتاد لدى المسجّل. ولا تكون أتمتة هذه الحماية مكسباً إذا ألغت الاستقلال الذي منح تلك المؤسسة الثانية قيمتها.

نُشرت النسخة 00، المسماة draft-skoglund-epp-registry-lock-00، في 30 يونيو 2026. يحمل رأس النص المعروض عبارة Standards Track، بينما يصفها Datatracker بأنها Internet-Draft فردية بلا مسار ولا حالة RFC مستهدفة ولا مكانة رسمية في عملية معايير IETF. لذلك فهي مقترح للنقاش، لا RFC نافذاً ولا إجماعاً مستقراً داخل REGEXT.

القفل ينشئ ساحة قرار ثانية

تعرض المسودة Registry Lock باعتباره حماية تطبقها جهة السجل، لا المسجّل وحده. خدمات كهذه موجودة بالفعل بإجراءات مختلفة وكثيراً ما تكون يدوية. ويحاول الامتداد تمكين عميل EPP الراعي من إنشاء نطاق مقفول وإدارته بدرجة أكبر من الأتمتة.

بعد وضع القفل يجب أن يحمل النطاق حالة serverDeleteProhibited. وعندما ينتظر أمر تغييري موافقة، يجب أن يحمل serverPendingUpdate. إنشاء القفل أو تحديث نطاق مقفول يعيد رمز نتيجة EPP رقم 1001، أي أن الأمر قُبل لكنه ما زال ينتظر عملاً لاحقاً. إذا جاءت الموافقة قبل المهلة، تصل رسالة poll بالنجاح؛ وإذا انتهت المهلة بلا تفويض، تصل رسالة بالفشل.

يتغير بذلك معنى الأمر زمنياً. لم يعد إرسال الطلب مرادفاً لاكتمال انتقال الحالة، بل صار بداية واقعة تفويض. على العميل لاحقاً أن يصل حدث الطابور بالأمر السابق، وعلى فرق التشغيل ألا تقرأ «مقبول ومعلّق» على أنه «نُفّذ».

تساعد بيانات poll المقترحة في هذا الربط. فهي تسمي النطاق والعملية ومعرّفاً سابقاً لمعاملة الخادم ومعرّفات جهات الاتصال المسجلة كموافقين. وتحمل الاستجابة الخارجية أيضاً معرّفات الطابور والمعاملة المعتادة في RFC 5730. يمكن إذاً وصل البداية بالنهاية على مستوى البروتوكول، لكن ما جرى في المسافة الحاسمة بينهما يبقى خارج الوصف.

كثرة المعرّفات ليست فصلاً للسلطة

قد تتضمن السياسة مهلة اختيارية وعدداً موجباً غير صفري من الموافقات، مكتوباً quorom في النسخة 00. ويجوز للخادم تقييد القيم المسموحة. ويمكن ربط عدة جهات اتصال بالقفل، فيما يقرر العدد كم واحدة منها يجب أن توافق.

للعدد فائدة حقيقية: فهو يمنع الخادم والعميل من تبني فهمين خفيين مختلفين عما إذا كانت إجابة واحدة أو اثنتان تكفيان. لكنه لا يقول إن أصحاب المعرفات أشخاص مختلفون، أو يعملون لجهات مختلفة، أو يستخدمون أجهزة منفصلة، أو يعتمدون مسارات استعادة مستقلة. قد تنتهي ثلاثة معرّفات في صندوق مشترك، وقد تعتمد شركتان تابعتان مزود الهوية نفسه، وقد يدير متعهد أمني واحد جميع الهواتف والرموز.

التعدد خاصية في سجل البيانات: توجد عدة صفوف اتصال. أما الاستقلال فخاصية في معمارية السيطرة: لا تستطيع واقعة فشل أو إكراه أو إجراء استعادة واحد إنتاج كل الموافقات المطلوبة.

ليس مطلوباً من بروتوكول تقني أن يحل حوكمة الشركات كلها. لكن لا ينبغي للمشغّل أن يسوّق quorom=2 باعتباره نزاهة قائمة على شخصين ما لم تفرض مراسمه الفصل بينهما. ويحتاج الادعاء، في الحد الأدنى، إلى سياسة استقلال معلنة وإلى دليل أن الموافقات الفعلية حققتها.

اسم قناة الاتصال لا يحدد قوة الضمان

لكل جهة اتصال لقفل السجل معرّف، وقد تسمي وسيلة للموافقة. تعرض المسودة أسماء مألوفة: البريد الإلكتروني، والرسالة النصية، والخطاب، والهاتف، والرمز؛ كما تسمح للخادم بقبول وسائل أخرى.

هذه أوصاف لمسارات توصيل وليست درجات ثقة. «البريد الإلكتروني» لا يبين إن استُخدم رابط موقّع أم رد بسيط أم دخول إلى بوابة أم حوار مع الدعم. و«الرسالة النصية» لا تثبت أن الرقم تحقق حديثاً أو أنه محمي من إعادة التخصيص أو مربوط بالشخص المعيّن. وقد يعني «الرمز» مفتاحاً مادياً أو رقماً قابلاً لإعادة الإرسال. والمكالمة لا تثبت هوية المتحدث، كما أن الخطاب لا يكفي بلا مستلم وتحدٍّ موثقين.

لا توحّد المسودة محتوى التحدي أو ربطه بالتغيير المطلوب أو منع إعادة الاستخدام أو تسجيل القناة أو إثبات الهوية أو استعادة الحساب. وقد يكون ترك هذه المسائل مفتوحة مناسباً في خريطة EPP مبكرة، إذ تعمل السجلات بنماذج خدمة مختلفة، وقد تعرقل مراسم عالمية واحدة التبني.

لكن هذا الفراغ يحد ما تثبته نتيجة poll. وجود معرّف في approvedBy يعني أن السجل احتسب موافقة وفق إجراءاته هو. ولا يجعل الإجراءات المختلفة متكافئة، ولا يتيح للمسجّل استنتاج مقاومة الموافقة لاختراق مشترك.

تجميد كائن الاتصال يغلق طريقاً واحداً فقط

تلزم المسودة برفض تحديث كائن اتصال ما دام مرتبطاً بنطاق محمي بصفته جهة اتصال للقفل، كما يجب رفض حذفه. ويغلق ذلك هجوماً مباشراً: تغيير البريد أو الهاتف في كائن الاتصال ثم الموافقة من الطرف البديل فوراً.

في المقابل، تستطيع صيغة تحديث Registry Lock إضافة جهات اتصال وحذفها وتغيير السياسة. يفترض أن يدخل أي تحديث للنطاق المقفول مسار التفويض المعلّق، لكن السؤال يصبح دائرياً: أي سلطة قائمة يحق لها الموافقة على تغيير قائمة السلطات ذاتها؟

إضافة موافق ثالث ليست كتغيير خادم أسماء. إزالة الشخص الوحيد الموجود خارج نظام هوية شركة واحدة قد تمحو الفصل. وخفض العدد أو تقصير المهلة قد يضعف المراسم قبل تغيير تشغيلي تالٍ. ولا تظهر عبارة عامة من نوع «نجح التحديث» بالضرورة أي سياسة قديمة أجازت السياسة الجديدة.

يجب لذلك تثبيت حالة البداية. تغيير السياسة أو جهات الاتصال ينبغي تقييمه وفق المجموعة والقواعد اللتين كانتا نافذتين عند بدء الطلب، مع قواعد صريحة لمن غادر أو تعذر عليه العمل أو صار غير متاح. وإلا أصبح الإجراء قادراً على تعديل دستوره في اللحظة التي يحتاج فيها إلى الاستمرارية أكثر من أي وقت.

الاستثناءات ترسم المحيط الحقيقي للحماية

القفل لا يعني منع كل فعل. تسمح المسودة بالتجديد، وتسمح للسجل بإعفاء تزويد DNSSEC الآلي من التفويض، مع ذكر فحص CDSS أو CSYNC مثالاً. أما إزالة القفل فتظل إجراءً تشغيلياً يدوياً خارج نطاق المواصفة.

لهذه الحدود مبررات معقولة. منع التجديد قد يحوّل أداة أمن إلى خطر انتهاء الصلاحية. وقد تحافظ صيانة DNSSEC الآلية على الاستمرارية وتقلل إخفاق تدوير المفاتيح. وإبقاء الإزالة خارج إصدار الأتمتة الأول قد يحفظ مراسم طوارئ أشد.

مع ذلك، كل استثناء جزء من السياسة الفعلية. قد يتغير نطاق يوصف اختصاراً بأنه «مقفول في السجل» من خلال ماسح آلي. وأقوى مخرج، أي إزالة القفل، تحكمه عملية أخرى. من يقرأ حالة EPP يحتاج إلى فهم أنها حاجز ذو فتحات مسماة وليست حالة سكون مطلق.

ينبغي لاستثناء DNSSEC أن يسجل هوية الماسح الذي بدأ التغيير، والسجلات التي رآها، والسياسة التي سمحت بالتجاوز، وحالة التفويض قبل العملية وبعدها. وينبغي للإزالة اليدوية أن تولد دليلاً يمكن ربطه بتاريخ EPP حتى لو كانت خارج البروتوكول. وإلا صار المسار الأقوى هو الأقل قابلية للتدقيق آلياً.

الخدمات القائمة تكشف اختلاف المراسم

يسرد سجل امتدادات EPP لدى IANA حالياً Swedish Internet Foundation Registry Lock Extension بوصفه مواصفة نشطة غير RFC للنطاقين .se و.nu. يثبت الإدراج وجود امتداد تشغيلي لدى مشغّل، ولا يثبت توحيد المسودة الفردية الجديدة.

تقول Internetstiftelsen في وصفها العام إن المسجّل يقرر كيف يتحقق من أن مقدم الطلب هو صاحب النطاق. يفك المسجّل القفل، وينفذ التغيير، ثم يعيد القفل فوراً أو بعد فترة يحددها. وبذلك تترك الخدمة خيارات مهمة في التحقق ومدة الانكشاف للمسجّل.

وتصف DENIC مراسم مختلفة لـ.de. يعيّن صاحب النطاق جهة اتصال للقفل. وعندما يصل طلب تغيير عبر المزود، ترسل DENIC رمزاً إلى رقم الهاتف المسجل ورسالة إلى البريد المسجل. يُرفض الطلب إن لم يؤكد خلال سبعة أيام تقويمية، كما تفحص DENIC على نحو منفصل طلبات إنشاء القفل أو تغييره أو إزالته وطلبات تعديل بيانات النطاق المحمية.

لا ينبغي اعتبار أي من الوصفين دليلاً على تطبيق النسخة 00. قيمتهما مقارنة نمطين. فالاسم نفسه، Registry Lock، قد يخفي ترتيبات مختلفة للتسجيل والتحقق والمهلة وفك القفل وإعادته. لن تمحو صيغة EPP مشتركة هذه الفوارق؛ بل ستجعل إعلانها أكثر أهمية.

حفظ سجل لمراسم الموافقة

أقترح إنشاء سجل لمراسم الموافقة لكل عملية تغيير معلّقة تحت قفل السجل. هذا اقتراح حوكمة يقدمه Daniel Kade، وليس حقولاً تفرضها المسودة.

يبدأ السجل بالتغيير المطلوب: النطاق، والعميل الراعي، وجلسة EPP الموثقة، وclTRID، وsvTRID، والوقت، ونوع العملية، وتمثيل معياري للحالة قبلها وبعدها. ويثبت سياسة القفل السابقة، والمهلة، والعدد، ومجموعة جهات الاتصال، وإصدار السياسة. لا يحق لتحديث لاحق أن يعيد كتابة نقطة البداية.

ولكل موافق مطلوب، يبين السجل السلطة التي يمثلها، ومعرّف الاتصال، ووقت التسجيل، ووسيلة الموافقة، ومجالات السيطرة المهمة للاستقلال: صاحب العمل أو صاحب المصلحة النهائي، ومزود الهوية، ومستأجر البريد، وإدارة الجهاز، وحساب الهاتف، ومصدر الرمز، ومكتب الاستعادة. ويمكن تمثيل القيم الحساسة بمراجع مضبوطة أو أسماء مستعارة ثابتة بدلاً من كشفها علناً.

ويربط سجل التحدي قيمة nonce أو digest بالتغيير الدقيق، ونقطة التسليم، ووقتي الإصدار والانتهاء، ووقت الرد، ونتيجة التحقق، وحالة منع الإعادة. ويميز بين عدم الرد والرفض الصريح وفشل التحقق. أما القرار النهائي فيذكر قاعدة الاستقلال المختبرة، والموافقات التي احتُسبت والتي استُبعدت، وأي استثناء أو تدخل يدوي، ومن أجاز الانحراف.

ثم تربط الخاتمة المعاملة المعلقة الأصلية برسالة poll ونتيجة EPP النهائية والحالة المطبقة والإشعارات. إذا تجاوزت أتمتة DNSSEC الموافقة، يسمي السجل هوية الأتمتة والملاحظة والسياسة. وإذا أزيل القفل خارج EPP، يدخل معرّف مراسم الإزالة في التسلسل الزمني نفسه.

الغاية ليست نشر ملف علني عن النطاقات المحمية، بل الاحتفاظ برواية دائمة ومقيدة الوصول تتيح لصاحب النطاق والمسجّل والسجل إثبات ما هو أكثر من مجموع معرّفات. يجيب النصاب العددي عن عدد الموافقات التي أحصاها الخادم. ويجيب سجل المراسم عما إذا كانت تلك الموافقات تمثل السلطة المستقلة التي وعدت بها الحماية.

المصادر