الخلاصة

  • دخل مشروع dns-account-01 مرحلة المراجعة النهائية في IETF حتى 10 نوفمبر، ويمنح كل حساب ACME اسماً مستقلاً للتحقق عبر DNS.
  • يسمح ذلك لنظامين يعملان على النطاق نفسه بطلب شهادات بالتوازي من دون التزاحم على سجل CNAME واحد عند _acme-challenge.

الانتقال من سحابة إلى أخرى لا يحدث بضغطة زر. يبقى النظام القديم يعمل بينما يبدأ الجديد باستقبال الزوار، ويحتاج الاثنان إلى شهادات للنطاق نفسه. في معيار ACME القائم، RFC 8555، يضع اختبار dns-01 الإجابة عند _acme-challenge. وإذا أراد كل فريق تفويض ذلك الاسم بسجل CNAME إلى خدمته الخاصة، وجد أمامه جرساً واحداً لبابين تشغيليين.

مشروع مجموعة ACME يقسم موضع الإجابة. يشتق من رابط حساب ACME تسمية قصيرة ويضعها قبل _acme-challenge. يصبح لكل حساب اسم تحقق داخل النطاق. يقرأ الخادم معرّف الحساب من الطلب الموقّع، ويحسب الاسم المطلوب، ثم يفحص سجل TXT بحثاً عن قيمة التحدي الجاري. يمكن للفريقين إعداد مساريهما مسبقاً بدلاً من تبديل السجل عند كل تجديد.

الوصفة منشورة بدقة: حساب SHA-256 لرابط الحساب كاملاً، أخذ أول عشرة بايتات، ثم ترميزها بصيغة Base32. يستند اسم التحقق إلى رابط الحساب لا إلى مفتاحه، لذلك يستطيع الحساب تدوير مفتاحه المعتاد مع بقاء العنوان. أما قيمة TXT فتتغير مع رمز التحدي الجديد ومفتاح الحساب. عنوان صندوق البريد ثابت، والرسالة تُكتب من جديد في كل مرة.

للمشغّل فائدة واضحة في المناطق المتعددة والشبكات المختلفة وفترة الانتقال. لكنه يحصل أيضاً على دفتر أوسع للصلاحيات. من وافق على مسار المزود الاحتياطي؟ هل بقي اسم التحقق الخاص بالمزود السابق في DNS بعد انتهاء عمله؟ تسليم المعدات وإنهاء العقد لا يمحوان تفويضاً في المنطقة الأم. يجب أن تكون لكل تسمية جهة مسؤولة وموعد مراجعة وإزالة.

يشير المشروع كذلك إلى مشكلة قد تنشأ عند انتقال خدمة ACME نفسها. تغيير المضيف أو المسار أو البروتوكول أو المنفذ في رابط الحساب قد يغيّر التسمية المحسوبة، فتفشل الأسماء التي أُعدت سلفاً. ينصح النص بثبات معرّفات الحسابات وبالاستمرار في قبول الروابط القديمة إذا لزم الانتقال. ويوصي بأن يزيل العميل قيم TXT بعد انتهاء التحدي.

تسجل بطاقة Datatracker النسخة الرابعة بتاريخ 27 أكتوبر، مع إغلاق المراجعة في 10 نوفمبر. ويقترح المشروع إدراج dns-account-01 لاحقاً في سجل IANA لطرق التحقق في ACME. الأجراس الجديدة مرسومة الآن، وتركيبها ينتظر اكتمال المراجعة.