مسودة الجاهزية لما بعد الكم تذكر تنفيذاً واحداً ولا تغلق الفجوات الخمس

Summary

• تضيف المراجعة 04 من مسودة إنترنت فردية مشغل سلطة تصديق من CygnetSSL، وهو برنامج احتكاري استُخدم في نطاق يديره مسؤول واحد من دون اختبار مستقل للتشغيل البيني.
• تشمل الملاحظات 22 شهادة بخوارزمية ECDSA وقائمة إبطال بصيغة DER وانتقالاً واحداً في حالة OCSP. ولا تثبت تصدير بيانات TLS أو DNSSEC أو QUIC، ولا توزيع خوارزميات الشهادات أو التجميع المتوافق مع CBOM.
• يقترح Daniel Kade مصفوفة أدلة تغلق كل فجوة على حدة. هذا اقتراح تحريري وليس شرطاً صادراً عن IETF، ولا ينتقص من فائدة التنفيذ المذكور.

إضافة مفيدة ضمن وضع إجرائي محدود

أضافت المراجعة 04 المنشورة في 13 سبتمبر قسماً بعنوان Implementation Status. لم يكن القسم موجوداً في المراجعة 03، وتبينه المقارنة الرسمية بوصفه الإضافة الجوهرية. الإفصاح عن حالة التنفيذ ممارسة مفيدة يشرحها RFC 7942: فهو يبين أن الفكرة لامست شيفرة عاملة، لكنه لا يساوي اعتماداً معيارياً ولا انتشاراً عاماً.

يسجل Datatracker الوثيقة بوصفها مسودة إنترنت فردية نشطة. وتعرض واجهة البيانات الوصفية المراجعة 04 وحالة IESG المسماة I-D Exists ومن دون IETF stream، بينما يطلب رأس الوثيقة صفة Informational. لذلك لا تمثل المسودة إجماع مجموعة عمل أو موافقة IESG أو RFC؛ موضوع هذا التحليل هو مقدار ما يسمح به الدليل الجديد فعلياً.

ما تقيسه عينة سلطة التصديق

يصف الإدخال مشغل سلطة تصديق في CygnetSSL ضمن بيئة واحدة يسيطر عليها مسؤول واحد. التنفيذ احتكاري، ولم يخضع لاختبار مستقل للتشغيل البيني. رُصدت 22 شهادة لكيانات نهائية موزعة على ملفين، وكلها تستخدم ECDSA P-384 / ECDSA-SHA384. كما سُجلت قائمة إبطال شهادات بترميز DER واستجابة OCSP انتقلت من good إلى revoked.

هذه نتائج ذات معنى في تشغيل الإصدار والإبطال، لكنها ليست نشراً لخوارزميات ما بعد الكم. لقد وحّد NIST خوارزميتي ML-DSA وSLH-DSA في FIPS 204 وFIPS 205، لكن وجود المعيارين لا يغير خوارزميات الشهادات الاثنين والعشرين، ولا يثبت أن المؤسسة تستطيع رؤية كامل مخزونها التشفيري.

لكل فجوة سطح رصد مختلف

تطلب المتطلبات REQ-RG-1 إلى REQ-RG-5 خمس قدرات منفصلة: تصدير الخوارزمية المتفاوض عليها لكل جلسة TLS؛ وتصدير الخوارزمية لكل نطاق DNSSEC؛ وقياس توزيع خوارزميات الشهادات عبر أدلة OCSP وقوائم الإبطال؛ وإشارة مقابلة من QUIC؛ ثم تجميع النتائج بين البروتوكولات بصورة قابلة للتشغيل البيني مع قائمة مواد التشفير CBOM. وتحدد RFC 8446 وRFC 4034 وRFC 5280 وRFC 6960 وRFC 9000 السياقات التقنية لهذه الأسطح.

عدد الشهادات لا يحل محل سجل الجلسات أو المناطق الموقعة أو اتصالات QUIC. السؤال الحاكم هو المقام: 22 من أصل كم، وفي أي مجموعة، وما الذي استُبعد؟ من دون مقام معلن، قد تتحول ملاحظة صحيحة عن سلطة التصديق إلى ادعاء غير مبرر عن البيئة كلها.

يمكن منع ذلك بمصفوفة لإغلاق الفجوات، يكون لكل متطلب فيها صف مستقل. يسجل الصف المتطلب وآلية القياس وإصدارها، والقطعة الدليلية وموقعها الثابت، والبيئة والمشغل، وطريقة الاختبار، والمجموعة والمقام، والنتيجة والحدود والتاريخ والمسؤول وموعد المراجعة التالي، وهوية من أعاد التجربة بصورة مستقلة. عندئذ يمكن استعمال أوصاف مثل «تجربة متاحة» أو «تغطية جزئية» أو «بانتظار إعادة مستقلة» بدلاً من علامة جاهزية عامة.

تشير المسودة إلى عنوان CygnetLib على GitHub بوصفه قطعة التنفيذ. عند نقطة القطع لهذه المادة، أعاد الوصول إلى العنوان نفسه من خادم الإنتاج استجابة HTTP 404. هذه ملاحظة مقيدة بذلك الوقت والمسار: لا تثبت أن المستودع لم يوجد قط، ولا تكشف نية المؤلف، ولا تحكم على صلاحية البرنامج. أثرها الوحيد في المصفوفة أن خانة إعادة التجربة المستقلة تبقى مفتوحة ما دامت القطعة المشار إليها غير متاحة.

ينسجم هذا الفصل مع قابلية التحقق التي يناقشها The Policy Mirror، ومع البدء بمواصفة دنيا قابلة للتنفيذ في Minimum Initial Specification، ومع التمييز بين الواقع المرصود والدعوة في Why BTW Media Exists. الخلاصة ليست رفض التنفيذ: إنه دليل مفيد، لكنه لم يملأ بعد صفوف الفجوات الخمس.

Sources

1. فجوات جاهزية PQC، المراجعة 04
2. فجوات جاهزية PQC، المراجعة 03
3. المقارنة الرسمية بين 03 و04
4. سجل Datatracker
5. واجهة بيانات Datatracker الوصفية
6. RFC 7942
7. RFC 8446
8. RFC 4034
9. RFC 5280
10. RFC 6960
11. RFC 9000
12. NIST FIPS 204
13. NIST FIPS 205
14. رابط CygnetLib الذي تستشهد به المسودة
15. The Policy Mirror
16. Minimum Initial Specification
17. Why BTW Media Exists