الخلاصة

  • يقيّم W الجهاز U، ويثبت V أمام W ارتباطه بالمفتاح نفسه الخاص بـCRED_V الذي عرضه على U، ثم تُربط القسيمة بـH_12 وID_CRED_I واعتماد V.
  • يفصح ELA عمداً عن هوية U إلى V مصادَق عليه قبل أن يعرف U نجاح التفويض. توقف البروتوكول لا يثبت حذف السجلات أو منع ربطها.
  • ينبغي أن تسجل وثيقة تسليم الهوية الغرض والمتلقين والمدة ومعالجة الرفض وموعد تفعيل هوية تشغيلية منفصلة. هذه مقترح تحريري من Daniel Kade وليست حقلاً في مسودة IETF.

المعلومة تسبق الحكم

تصف draft-ietf-lake-authz-08 آلية Lightweight Authorization using EDHOC. دخلت المسودة مرحلة النداء الأخير داخل مجموعة LAKE في 8 سبتمبر 2026، بينما نُشرت المراجعة 08 في 6 يوليو. ما زالت Internet-Draft تستهدف Proposed Standard، وليست RFC منشورة أو معياراً أقره IETF.

يسمي التصميم الجهاز U، ومصادِق النطاق V، وخادم الإلحاق W. يكون لدى U مسبقاً المفتاح العام الثابت PK_W وموقع الخادم LOC_W. قد تدير W الشركة المصنعة أو جهة أخرى يثق بها U، وقد يكون V مزود خدمة أو متحكماً آخر في الشبكة.

يبدأ U تبادل EDHOC بهوية ID_CRED_I يستطيع W تمييزها بلا لبس. يتلقى V الهوية ويستخدمها في تبادل محمي مع W. ويقدم الاعتماد نفسه CRED_V الذي رآه U، مع إثبات امتلاك المفتاح أو الارتباط به. يطبق W سياسة محلية ليقرر السماح بإلحاق U عبر V؛ أما تعريف السياسة فهو خارج نطاق المسودة.

عند النجاح تعود إلى U قسيمة تفيد بأن W فوّض V. يربطها H_12 بنص الجلسة الراهنة، ويربطها ID_CRED_I بـU وCRED_V بـV، ويمكن أن تحمل نطاقاً غير شفاف. لا يستمر المسار من دون نجاح التبادل مع W، ويعني الوصول إلى message_4 أن U وV مخولان بالتفاعل وفق النتيجة.

هذه هندسة مقتصدة في الرسائل وتقاوم نقل الإذن بين جلسات مختلفة. لكنها لا تغير التوقيت. توضح اعتبارات الأمن أن EDHOC يحمي هوية البادئ من المراقب السلبي والطرف غير المصادَق عليه ضمن نموذجه، في حين يكشف ELA الهوية عمداً إلى V مصادَق عليه قبل معرفة نجاح التفويض.

المصادقة ليست ترخيصاً بالاحتفاظ

تثبت مصادقة V من يسيطر على مفتاح. ويثبت تفويض W قراراً يخص U وV وهذه الجلسة. لا يحدد أي منهما مدة احتفاظ المؤسسة المشغلة لـV بمحاولة مرفوضة، ولا يثبت أن سياسة W مشروعة أو محدثة أو قابلة للاعتراض.

يمنع H_12 القسيمة من الانفصال عن جلستها، لكنه لا يضع تاريخاً لانتهاء السجل. يساعد ID_CRED_I على العثور على السياسة، لكنه لا يمنع جمع الهوية مع سجلات الصانع. وقد يقترح خطأ مشفر جهة V بديلة ويظل مرتبطاً بـH_12، من دون أن يثبت أن V الأول محا الهوية.

لا يتهم هذا التحليل منتجاً أو تطبيقاً بعينه. المصادر لا تثبت إساءة استخدام أو ممارسة احتفاظ محددة. إنها ترسم فقط حد الاختصاص بين بروتوكول الجلسة ونظام إدارة البيانات.

الهوية المخصصة للإلحاق تحتاج إلى نهاية

تتيح المسودة لـU استخدام هوية للإلحاق فقط، ثم هوية أخرى أثناء التشغيل. قد يقلل ذلك ربط الحركة اليومية ببيانات التسجيل. لكنه خيار بصيغة MAY، لا إلزاماً؛ ولا تفرض المسودة تدويراً لكل نطاق أو موعداً للحذف.

إذا تكرر المعرف نفسه في شبكات مختلفة، أو بقي في سجلات الرفض، أو رُبط بالحساب التشغيلي، أصبحت عبارة «للإلحاق فقط» وصفاً بلا أثر. تغيير المفتاح لاحقاً لا يفك ارتباطاً سبق إنشاؤه.

لذلك يلزم حدان. قبل الإفصاح، ينبغي بيان فئة V وW الذي سيُستشار والغرض والمتلقين اللاحقين والمدة. وبعد النجاح، ينبغي تسجيل تفعيل الهوية التشغيلية وانتهاء صلاحية هوية الإلحاق. وبعد الرفض، يلزم تصرف معلن: حذف المعرف الخام، أو إبقاء رمز قصير العمر لمكافحة الإساءة، أو عزل سجل تدقيق محدود الوصول.

وثيقة تسليم الهوية

لا تستبدل وثيقة تسليم الهوية المقترحة قسيمة ELA. تثبت القسيمة قرار W؛ أما الوثيقة فتثبت الشروط التي سُلّمت في ظلها المعلومات اللازمة لذلك القرار.

تسجل نسخة جذر الثقة المعروف لدى U، وهوية W وموقعه، وبصمة CRED_V، وفئة هوية الإلحاق وقاعدة تدويرها، ومرجعاً يحمي الخصوصية لـH_12. ثم تثبت معرف سياسة W ونسختها، والنطاق المطلوب، والغرض، والمتلقين المسموح لهم، وموعد انتهاء الاحتفاظ وقاعدة إعادة الإفصاح.

يفصل قسم النتيجة بين القبول والرفض وانتهاء المهلة والخطأ. عند إصدار قسيمة يسجل نطاقها وصلاحيتها؛ وعند الرفض يسجل فئة السبب ودليل الحذف أو العزل. وعند النجاح يؤرخ الانتقال إلى الهوية التشغيلية. وتسمح قناة التصحيح بمراجعة سياسة قديمة من دون محو السجل الأصلي.

لا يلزم إرسال الوثيقة الكاملة عبر الوصلة المحدودة. يمكن لـV أو W حفظ نسخة قابلة للتدقيق وإعطاء U مرجعاً صغيراً. تقليل البيانات لا يعني غياب المساءلة، بل منع التدقيق نفسه من التحول إلى قاعدة تتبع.

توافر W قرار حوكمة أيضاً

يجب أن يكون W متاحاً أثناء البروتوكول. يمنح ذلك قراراً حديثاً، لكنه يخلق اعتماداً. الرفض عند العطل يمنع الإلحاق؛ الانتظار يطيل حفظ الهوية؛ القبول من دون W يغير نموذج الثقة. لكل مسار احتياطي مالك ومدة ونسخة سياسة يجب إظهارها.

قوة ELA أنه يعلن حدوده: يحمي الهوية من جمهور واسع، ويصادق على المتلقي المباشر، ويربط النتيجة بالجلسة. كذلك يترك RFC 9528 للتطبيقات قرار الثقة في الاعتمادات، ولا تجعل BRSKI وقسائم RFC 8366 القطعة الموقعة حاكماً لكل جذور الثقة والسياسات.

تثبت قسيمة ELA أن W فوّض V في هذا التبادل. لا تثبت أن الإفصاح السابق كان للغرض الصحيح، أو أن الرفض لم يترك أثراً، أو أن الهوية التشغيلية ستبقى منفصلة عملياً. تحتاج هذه الوعود إلى مؤسسة يمكن فحصها.

المصادر