الخلاصة

  • فتحت IESG في 24 أغسطس النداء الأخير بشأن draft-ietf-rats-endorsements-09، وتستقبل التعليقات حتى 7 سبتمبر على طلب نشرها بوصفها RFC من فئة Informational. لم يصدر قرار نهائي.
  • فرّق Anton Sokolov، في تعليق علني يجب إبقاء نسبته إليه، بين ثبات مضمون الادعاء واستمرار أهلية Endorser، وسأل هل تُقاس تلك الأهلية عند إنشاء Evidence أم عند تقييمها.
  • أوضح المؤلفون أن CoRIM يحتفظ أصلًا بنافذتين مستقلتين لصلاحية المحتوى والتوقيع. اعتبر المعلّق أن الآلية القائمة أجابت عن سؤاله، وقرر المحررون تثبيت الفرق في نص المسودة.
  • دُمج طلب السحب 76 في 28 أغسطس. تشرح نسخة المحررين latest الآن rim-validity وsignature-validity والإلغاء ومرتكزات الثقة، لكن الفقرات ليست في النسخة المرقمة 09.
  • ينبغي لوصل معالجة التعليق أن يربط المساهمة والرد والفرق المراجع والدمج والنسخة المرقمة التالية واختيار السياسة ونتيجة التقييم وقرار IESG. بذلك لا يتحول دمج تحريري إلى موافقة من IETF.

النداء الأخير يراجع نصًا محددًا لا مستقبل المستودع

طلب إعلان IESG الصادر في 24 أغسطس تعليقات المجتمع على RATS Endorsements. وتطلب مجموعة Remote ATtestation ProcedureS نشر النسخة 09 بوصفها RFC معلوماتية، وينتهي الموعد في 7 سبتمبر. لم يقل الإعلان إن الوثيقة أُقرت.

عند قطع الأدلة ظلت صفحة Datatracker تعرض revision 09 وحالة «In Last Call» من دون تاريخ telechat أو إجراء نهائي من IESG. وجود نص أحدث في المستودع لا يلغي هذه الحقيقة؛ بل يضيف حالة تحريرية يجب ربطها بالحالة الرسمية من دون خلطهما.

توزع بنية RATS الأدوار بالطريقة نفسها. يقدّم Attester بيانات Evidence عن حالة نظام، ويقيّمها Verifier بالاستعانة بـ Reference Values وEndorsements وAppraisal Policy for Evidence. يملك Verifier Owner سلطة تلك السياسة، بينما يقرر Relying Party Owner كيف يستخدم Attestation Result. يستطيع Endorser إضافة ادعاءات، لكن توقيعه لا يمنحه سلطة قرار الثقة النهائي.

تقول الفقرة الخامسة في النسخة 09 إن وثائق البروتوكولات المحددة مسؤولة عن بيان راهنية Endorsement نفسه، مثل استخدام مدة الشهادة. ثم تقول إن الادعاءات «الثابتة» التي تمثل خصائص لا تتغير في Environment لا تحتاج إلى خطوة إضافية لراهنية مضمونها.

لا تتناقض الجملتان. لكن اقترابهما يسمح بقراءة تختصر الأولى في الثانية: إذا كان المحتوى ثابتًا، فقد انتهت كل الأسئلة الزمنية.

ثبات المعلومة لا يوقف الزمن عند صاحبها

شرح Anton Sokolov الفرق في تعليقه العلني. قد تبقى خاصية مادية لشريحة كما هي، في حين تنتهي شهادة الشركة المصنّعة أو يُلغى مفتاحها أو يزيل Verifier مرتكز الثقة المقابل. ثبات العبارة واستمرار قبول الجهة التي أصدرتها خاصيتان مستقلتان.

وحول هذا الفرق إلى سؤال T1/T2. إذا صوّرت Evidence الحالة عند T1 ولم يقيّمها Verifier إلا عند T2، فأي لحظة تحكم standing الخاصة بـ Endorser؟ دعم التعليق النشر ولم يعلن عن هجوم أو جهاز مخترق أو تطبيق فاشل. كان طلبًا لتسمية الاختيار.

هذه الملاحظة ملك للمشارك الذي نشرها ولا ينبغي تقديمها باعتبارها اكتشاف Daniel Kade. الإضافة التحريرية هنا هي تصميم أثر يبين كيف تعاملت المؤسسة مع التعليق، وما النص الذي تغير، ومتى انتقل كل أثر إلى مستوى سلطة آخر.

صاغ المؤلف Thomas Fossati أولًا حد الحل: فحوص أهلية Endorser منفصلة منطقيًا عن زمن محتوى الادعاء، واختيار T1 أو T2 يعود إلى البروتوكول أو سياسة التقييم. وافق Sokolov واقترح أن تكشف نتيجة التقييم أي مرجع استُخدم.

ثم أشار Fossati إلى آلية موجودة. يحتفظ معالج CoRIM بنافذتين منفصلتين للمحتوى والتوقيع. وفي هذا المثال تُفحص صلاحية التوقيع والإلغاء وحالة مرتكز الثقة وقت التقييم. وإذا عرّف Attestation Result هوية Verifier أمكن تفسير اختيار T2. بعد ذلك أغلق Sokolov ملاحظته لأن الآلية القائمة قدمت جوابًا أفضل من بناء آلية جديدة.

كان من الممكن أن تبقى الإجابة في الأرشيف البريدي. اختار المحررون منحها أثرًا داخل المصدر كذلك.

النص المدمج يفصل ثلاث حركات لا حركتين فقط

فُتح طلب السحب 76 في 25 أغسطس، وخضع لتعديلات ومراجعة، وحصل على موافقة Dave Thaler وHenk Birkholz. ودُمج في 28 أغسطس عند commit bb53db0c7c6203f82cfad9cd3c4b5eaf8b6fd624.

تقدم نسخة المحررين الحالية مثالًا يتغير فيه حكم Endorser مع بقاء قيمة قياس البرنامج الثابت H نفسها. قبل اكتشاف ثغرة قد يقول Endorsement إن الحالة موثوقة، وبعد الاكتشاف قد يصدر Endorsement آخر يقول العكس. يمكن أن يوقّع الاثنين Endorser ظل في وضع سليم. وهنا تضبط rim-validity مدة تطبيق المحتوى.

تأتي أهلية Endorser في مسار مستقل. قد يتغير المفتاح أو الشهادة أو مرتكز الثقة. تضبط signature-validity مدة التوقيع، ويفحص معالج CoRIM المشار إليه تلك النافذة مع الإلغاء ومرتكز الثقة عند التقييم. لا يجعل النص T2 قاعدة عالمية؛ بل يطلب من البروتوكول أو السياسة توثيق المرجع المختار.

عمليًا توجد ثلاث خطوط زمنية: قيمة Environment، وحكم Endorser على تلك القيمة، وأهلية Endorser نفسه. جمعها في حالة واحدة اسمها «صالح» قد يخفي سبب اختلاف نتيجتين صحيحتين محليًا.

الدمج دليل على التحرير لا تفويض بالنشر

يمكن فحص الفرق والمراجعين وcommit الدمج. إلا أن الصفحة الناتجة تحمل اسم draft-ietf-rats-endorsements-latest؛ ليست revision 10 وليست RFC. ولا تحتوي النسخة 09 الرسمية على الفقرات الجديدة.

هذا الفصل طبيعي في عمل Internet-Drafts. يحتاج المحرر إلى إدخال نتائج المراجعة قبل رفع نسخة مرقمة جديدة. الخطر هو سقوط الوصف الدقيق لاحقًا. «دمج المحررون التعديل»، و«قدمت مجموعة العمل النسخة 09»، و«وافقت IESG على النشر» ليست عبارات مترادفة. يثبت السجل الحالي الأوليين عن لقطتين مختلفتين، ولا يثبت الثالثة.

يكشف اختبار غسل التفويض لدى Heng Lu الحدود بوضوح. يثبت GitHub البايتات التي قبلها المحررون، لكنه لا يخلق قرار IESG. وبالعكس لا يجوز استخدام الوضع الرسمي للنسخة 09 لمحو تحسين تحريري موجود. المطلوب وصل الطبقات لا صهرها.

إيصال من التعليق إلى القرار

توجد عناصر الإثبات في Mail Archive وGitHub ونسخة المحررين وDatatracker. يمكن لوصل صغير أن يجمعها من دون إنشاء هيئة موافقة جديدة.

يسجل الوصل رابط المساهمة الثابت وتاريخها وصاحبها والنسخة والقسم المتأثرين، ثم يحدد disposition: مقبول، مقبول جزئيًا، أجابت عنه آلية قائمة، مؤجل أو مرفوض. ويربط رد المحرر المسؤول وissue أو طلب السحب وhead وmerge commits والمراجعين ووقت الدمج ووصفًا محدودًا لما تغير وما لم يتغير.

بعد ذلك يحدد أول Internet-Draft مرقم يحمل التغيير، وحالة IESG اللاحقة، ورقم RFC إن وُجد. ولهذه القضية بالذات يسجل نافذة المحتوى ونافذة standing وT1 وT2 وصاحب السياسة الذي اختار والهوية الكافية لـ Verifier أو نسخة السياسة لتفسير النتيجة.

ويجب أن يتضمن الوصل نفيًا صريحًا للنتائج الزائدة. الرد المفيد على تعليق ليس توافق IETF كله. دمج المصدر ليس موافقة نشر. وصحة التوقيع تثبت منشأً وسلامة تحت مسار ثقة معين، ولا تثبت وحدها حقيقة الادعاء أو السلطة المؤسسية لـ Endorser أو موثوقية الجهاز.

لا حاجة إلى كشف مداولات خاصة. تكفي الروابط والبصمات والأدوار والأزمنة والحالات العامة. لا يحل الوصل محل القائمة أو المحررين أو مجموعة العمل أو IESG؛ بل يمنع كل طبقة من ارتداء سلطة الطبقة التالية.

المصادر