الخلاصة

  • عرّف RFC 2407 الرقم 1 لـIPsec DOI ومعاني Situation وأنواع الهوية ومعرفات البروتوكول والتحويل وسمات SA والإشعارات. جعل ذلك الرسالة قابلة للتفسير، لكنه لم يثبت صحة الادعاء أو يمنحه الإذن.
  • تركت الوثيقة السياسة الأمنية للمضيف صراحة. احتاجت النتيجة القابلة للتدقيق إلى وصل الهوية الموثقة بالقاعدة المحلية والاختيار والتثبيت وقرار المستقبل ونتيجة المرور الفعلية.

يمكن لسجل عالمي أن يقرر أن القيمة 3 تعني ESP. لا يستطيع السجل أن يقرر أن هذه الشركة تسمح لهذا النظير بهذه الخوارزمية عند هذه الساعة. الأولى مشكلة اصطدام أسماء. الثانية مسؤولية وسياسة ومخاطر محلية.

نشر RFC 2407 في نوفمبر 1998 كي يخصص إطار ISAKMP العام لـIPsec. وفر ISAKMP التبادلات وقوالب الحمولة، بينما وفر Domain of Interpretation فضاء الأسماء وطريقة قراءة المحتوى الخاص. أخذ IPsec DOI القيمة 1.

امتد هذا القاموس إلى معرفات البروتوكول وتحويلات AH وESP وIPComp وسمات رابطة الأمان وأنواع الهوية ونطاقات العلامات ورسائل الحالة. وحجز مساحات خاصة للأنظمة المتعاونة التي تحتاج معنى غير مسجل علناً.

كان للسجل أثر حقيقي: لا تحتاج التطبيقات المستقلة إلى تخمين الجدول الصحيح. لكنه لم يخلق سلطة فوق الواقع. رقم التحويل لا يثبت أن السياسة تسمح به، ولا أن السمات المتصلة به صحيحة، ولا أن SA دخلت النواة، ولا أن رزمة واحدة استخدمتها.

أظهر Situation هذا الحد. احتوى على SIT_IDENTITY_ONLY وSIT_SECRECY وSIT_INTEGRITY. كان وجود هوية في Phase I إلزامياً، ووجب إيقاف الإعداد عند غيابها. أما السرية والسلامة المصنفتان فأضافتا معرف نطاق ومستويات وفئات.

معرف النطاق سمّى فضاءً تفسيرياً للمستويات والفئات. لم يحمل السياسة كاملة. بل إن قواعد IANA سمحت بمنح الرقم عند الطلب من دون وثيقة إلزامية. منح الرقم التفرد، ولم يمنح الجهة التي طلبته شرعية عالمية أو يثبت أن المستقبل نفذ قواعدها.

قالت الوثيقة بوضوح إن DOI لا يفرض سياسة أمنية محددة وإن سياسة المضيف خارج النطاق. اقترحت أمثلة تبدأ بعناوين وأقنعة وأعلام أمنية، وقد تصل إلى أسماء عامة واتجاهات وجدار ناري وسيط. بقي جدول القرار عند من يتحمل النتيجة.

قدمت Identification Payload عناوين IPv4 وIPv6 وشبكات ونطاقات وFQDN وأسماء مستخدمين وأسماء ASN.1 ومعرف مفتاح غامضاً. استخدم المستقبل هذه البيانات لاختيار السياسة، لكن شكل الهوية لم يكن رابطاً موثقاً بمفرده.

لذلك نص RFC 2407 على أن الهويات الداخلة في قرار السياسة ينبغي أن تظهر في الشهادة التي تصادق على تبادل IKE. الاسم في الحمولة ادعاء، ووجوده في الشهادة رابط، والقاعدة المحلية إذن. يجب ألا يختصر النظام الخطوات الثلاث في عبارة واحدة.

أكد ID_KEY_ID الطابع المحلي. أمكن أن يكون تدفقاً غامضاً خاصاً ببائع لاختيار مفتاح مشترك مسبقاً. اتفق الطرفان على نوع الحقل، لكن معناه خارج سياقه لم يكن هوية عامة.

أتاحت صيغة المقترح عدة مجموعات Phase II في تفاوض واحد. عرّفت الوثيقة ISAKMP وAH وESP وIPComp، ثم تركت جمعها لسياسة المضيف. كما احتاج بعض التحويلات إلى سمات مصادقة بعينها، وكانت التركيبات الأخرى غير معرفة.

حملت السمات العمر بالثواني أو الكيلوبايت والمجموعة والنمط وخوارزمية المصادقة وطول المفتاح وعدد الجولات والضغط. قبول القائمة كان قرار تفاوض. بقي على مدير المفاتيح تثبيت الحالة، وعلى النواة مطابقة المرور، وعلى التطبيق الحكم على الناتج.

فصلت رسائل الحالة بعض اختيارات المستقبل. أخبر RESPONDER-LIFETIME بالعمر الذي اختاره فعلاً. وأخبر REPLAY-STATUS إن كان قد فعّل كشف الإعادة. وجود رقم تسلسل لدى المرسل لا يثبت قرار المستقبل.

أما INITIAL-CONTACT فأبلغ أن المرسل يعد هذه أول SA مع النظام البعيد. كان بإمكان المستقبل افتراض إعادة تشغيل وحذف روابط أقدم. الرسالة الموثقة تثبت من قالها ضمن التبادل، لا أنها تقيس إعادة التشغيل. الحذف قرار محلي يحتاج جرداً ومالكاً وخطة رجوع.

تغيرت قوة الإثبات أيضاً حسب موضع الإشعار. حظرته الوثيقة في Aggressive Mode لضعف الربط، وميّزت حماية Main Mode الجزئية عن إدخال الحمولة كاملة في تجزئة Quick Mode. المعنى مسجل، أما قوة الدليل فمرهونة بالسياق.

توضح عدسة Lu Heng للحد الأدنى من المواصفات سبب سلامة هذا الفصل. القاعدة المشتركة تعرف فقط ما يلزم للتشغيل البيني، وتترك القرار اللاحق للجهة التي تدفع تكلفته. إذا تحول الرقم إلى حكم، انتقلت السلطة بلا مساءلة.

وتظهر مشكلة الوكالة في السلسلة: IANA تحرس التفرد، وجهة الشهادة تربط الهوية، وIKE يتفاوض، والسياسة تسمح، والنواة تنفذ، والتطبيق يقبل أو يرفض. مؤشر «نجح IKE» لا يملك قراراتهم جميعاً.

حل RFC 4306 محل RFC 2407 و2408 و2409 عام 2005 وجمعها في IKEv2. وفي 2023 نقل IESG مجموعة IKEv1 إلى Historic بعد انتشار IKEv2 وتوقف التطوير الطويل وظهور مشكلات منها التضخيم. أصبح RFC 7296 معيار IKEv2 اللاحق.

قيمة RFC 2407 اليوم ليست توصية بخوارزميات قديمة. قيمته أنه وحّد الأسماء من دون ادعاء أن الاسم سياسة أو أن التفاوض نتيجة. اتفقت الأطراف على الرقم؛ ظلت السلطة والتنفيذ بحاجة إلى إيصالات منفصلة.

المصادر