الخلاصة

  • تعرض شهادة الخادم معرّفاتها، لكن العميل هو الذي ينشئ بصورة مستقلة قائمة المعرّفات المرجعية المقبولة.
  • يمكن لـDNS أو موازن الحمل أو سجلات SVCB وHTTPS تغيير نقطة الوصول، من دون أن يصبح الهدف التقني هوية الخدمة الأصلية تلقائيًا.
  • نجاح مطابقة الاسم لا يغني عن التحقق من مسار PKIX والصلاحية الزمنية والإبطال، ولا يمنح الخادم تفويضًا للعملية المطلوبة.

طرفان للمقارنة ومصدران مختلفان

يميز RFC 9525 بين المعرّف المعروض، الموجود في شهادة الكيان الطرفي التي يرسلها الخادم، والمعرّف المرجعي الذي يعبّر عما توقع العميل الوصول إليه. تتقابل القيمتان في خوارزمية المطابقة، لكن قيمة الاختبار الأمني تأتي من استقلال منشئ كل واحدة منهما.

لو استخرج العميل قائمة المقبول من الشهادة نفسها، لأصبح الخادم كاتب الادعاء وكاتب معيار قبوله معًا. عندها قد تنجح المقارنة حسابيًا، لكنها لا تثبت سوى أن الاسم يطابق نفسه. لذلك يفرض المعيار على العميل بناء قائمته قبل النظر في المعرّفات المعروضة.

وعندما تنجح المطابقة، تصبح الهوية المرجعية المطابقة هي هوية الخدمة التي جرى التحقق منها. النجاح لا يكتشف نية المستخدم، ولا يصلح رابطًا خبيثًا، ولا يختار المنتج أو الحساب الذي كان ينبغي أن يتلقّى الطلب.

للاسم الأصلي سلسلة منشأ

يأتي نطاق المصدر عادة من عنوان URL أو إعداد موثوق أو إدخال مباشر أو مرجع تفهمه طبقة التطبيق. وقد يدخل نوع خدمة التطبيق في تكوين الهوية أيضًا. تحديد هذه القيم وظيفة البروتوكول أو التطبيق؛ TLS ينفذ المصافحة ولا يعرف وحده الغرض الذي سبقها.

هنا يقع الخطر قبل بدء التشفير. يستطيع رابط تصيد أن يوجه المستخدم إلى نطاق يملكه المهاجم، ثم يقدم لذلك النطاق شهادة صحيحة تمامًا. لم تُكسر المصافحة، بل استُبدل مقصد المستخدم في المدخل الذي أنشأ المعرّف المرجعي.

لذلك تحتاج التطبيقات الحساسة إلى حفظ أصل الاسم، والتحويلات التي أجريت عليه، والقاعدة التي سمحت بكل تحويل. تسجيل اسم الشهادة وحده يحذف نصف الواقعة الذي يفسر لماذا بدا الاتصال مقبولًا.

حل العنوان لا يعيد تسمية الخدمة

قد تمر رحلة DNS عبر أسماء مستعارة وتنتهي باسم تشغيلي آخر. تساعد هذه الأسماء في العثور على جهاز أو منطقة أو مزود، لكنها لا تدخل قائمة الهوية المرجعية لمجرد ظهورها أثناء الحل. يلزم قرار مستقل موثوق من التطبيق لرفع اسم مكتشف إلى هوية مقبولة.

الفرق يحفظ حدًا دقيقًا بين الاكتشاف والهوية. يملك مشغل البنية التحتية حرية اختيار المسار ونقطة النهاية، من دون أن يكتسب بالضرورة حق تغيير الجهة التي قصدها المستخدم. قبول كل اسم وسيط يوسع نطاق الثقة من غير مراجعة معلنة.

يغيّر SVCB الوجهة التقنية لا الأصل

تتيح سجلات SVCB وHTTPS التعبير عن بدائل الاتصال ومعلمات النقل وTargetName. ومع ذلك يحافظ RFC 9460 على هوية الخدمة الأصلية: تُفحص الشهادة باسم الأصل، وتستمر سلطة التطبيق وSNI في تمثيل الخدمة المطلوبة لا مجرد الهدف الذي حمل الحزم.

يمكن، بناء على ذلك، نقل حركة المرور إلى حافة خارجية أو منصة جديدة من دون منحها حق تعريف الأسماء المقبولة. الاكتشاف يجيب عن سؤال «أين أتصل؟»، أما الهوية فتجيب عن سؤال «بمن أردت الاتصال؟».

نوع المعرّف يقيّد معنى المطابقة

يعالج المعيار DNS-ID وIP-ID وSRV-ID وURI-ID كأنواع مختلفة، لا كسلاسل نصية يمكن تبديلها بلا أثر. بعض الأنواع يحمل اسم المضيف فقط، وبعضها يربط الاسم بنوع خدمة. يختار التطبيق الأنواع المناسبة وترتيبها قبل فحص الشهادة.

وفي DNS-ID يبقى حرف البدل ضيقًا: يمثل كامل الوسم الأيسر، ويظهر مرة واحدة، ولا يعبر إلا وسمًا واحدًا. التوسع في تفسيره يحول تسهيل الإصدار إلى تفويض واسع للهوية.

أما الشهادات التي تجمع أسماء كثيرة فتقلل أعمال التشغيل، لكنها تربط مجالات فشل متعددة بمفتاح وإصدار واحدين. تسرب المفتاح أو خطأ الإصدار لا يبقى محصورًا في خدمة واحدة.

مطابقة الاسم ليست التحقق الكامل

تأتي مقارنة الأسماء داخل عملية أكبر. على العميل أيضًا بناء مسار شهادة إلى جهة ثقة، وفحص المدة والقيود والسياسات وآليات الإبطال ذات الصلة. وبعد إثبات الهوية، يبقى للتطبيق سؤال منفصل: هل تملك هذه الهوية صلاحية تنفيذ الفعل المطلوب؟

هذا الفصل يمنع القفزة من «وجدنا الاسم» إلى «المعاملة مشروعة». يمكن أن يكون الخادم أصيلًا فعلًا، بينما جاء الطلب من واجهة مخدوعة أو سياق لا يملك التفويض التجاري أو التشغيلي.

أغلق عند الاختلاف واحتفظ بالدليل عند النجاح

إذا لم يجد العميل الآلي تطابقًا مقبولًا، فعليه إنهاء الاتصال أو اتباع سياسة صريحة، لا اختيار الاسم الأقرب ولا توسيع القائمة أثناء الفشل. الاستثناء الذي يطلب من المستخدم تجاوز التحذير ينقل قرار هوية تقنيًا إلى شخص لا يرى سلسلة الأدلة.

وعند النجاح، ينبغي أن تسجل المراقبة المعرّف المرجعي المطابق ونوعه ومصدره، إلى جانب مسار الاكتشاف ونقطة الاتصال. بذلك يستطيع المحقق التمييز بين خدمة صحيحة المقصد وخدمة صحيحة الشهادة فقط.

المصادر