الخلاصة

  • استخدم RFC 2408 زوج ملفات الارتباط لتعريف رابطة ISAKMP، وMessage ID لتعريف حالة تفاوض في المرحلة الثانية، وسلسلة Next Payload لتوجيه التحليل. لكل حقل نطاق مختلف، ولم يكن أي منها اعتماد هوية.
  • احتاجت النتيجة إلى مصادقة قوية وسياسة محلية واختيار عرض وتثبيت SA واستخدام فعلي للحزم. وحتى Delete كان إشعاراً أحادي الاتجاه عن حالة المرسل، لا دليلاً على أن المستقبل حذف حالته.

تصل رسالة Delete داخل تبادل معلوماتي محمي. تحمل SPI لرابطة أمنية وتقول إن المرسل أزالها من قاعدة بياناته. يبدو الفعل حاسماً: حذف. لكن RFC 2408 حدّد المعنى بدقة أكبر. لم تكن الرسالة طلباً إلى الطرف الآخر كي يحذف، ولم يكن مطلوباً منه أن يرسل إقراراً.

هذه الدقة تكشف منطق الوثيقة كلها. الحقل يصف حقيقة في نطاق صاحبه. لا ينتقل أثره تلقائياً إلى نظام الطرف الآخر.

كان على المستقبل عادة أن ينظف قاعدة SA المحلية، لكن السياسة المحلية تحكم ما يحدث بعد ذلك. وإذا تجاهل الإشعار فستفشل اتصالات لاحقة تستخدم الرابطة التي لم يعد المرسل يعترف بها. رؤية Delete على السلك لا تثبت أن التنظيف وقع عند المستقبل.

يلزم إثبات منفصل: هل تحققت حماية الرسالة؟ ما قرار السياسة؟ أي سجلات حُذفت؟ ما المحددات المتأثرة؟ ماذا حدث للحزم التالية؟ وهل بدأت عملية إنشاء رابطة جديدة؟ كلمة Delete لا تحمل هذه الإجابات.

ينطبق المبدأ نفسه على ملفات الارتباط. وصف RFC ملف الارتباط بأنه رمز مضاد للإغراق. كان المطلوب اختبار رخيص قبل عمليات المفتاح العام المكلفة. تعتمد القيمة على الطرفين، ويستخدم المصدر سراً محلياً كي لا يصنع غيره قيماً مقبولة، ويجب أن تكون الدالة سريعة.

اقترح النص مزج عناوين المصدر والوجهة ومنافذ UDP وسر محلي ومادة زمنية. وكان يجب أن تكون القيمة فريدة لكل إنشاء SA للمساعدة في مقاومة إعادة الإرسال. يوضع الناتج ذو الثمانية ثمانيات في حقل Initiator Cookie أو Responder Cookie.

هذا يثبت أن الجهة المصدرة تتعرف إلى رمز وفق قواعدها وفي حقبة معينة. لا يثبت اسم من أعاده. العنوان مادة في الدالة وليس شهادة. استلام رمز ثم إعادته لا يساوي امتلاك مفتاح خاص أو حق الوصول إلى سياسة.

كما أن الدفاع لم يكن مطلقاً. أقر RFC باستحالة الحماية الكاملة من حجب الخدمة، وحذر من أن حزم العناوين المزورة قد تخلق حالة في الخادم. لذلك احتاجت التطبيقات إلى جمع الحالة المهجورة وإدارة ذاكرة صارمة. صلاحية الرمز لا تعني سلامة الموارد.

بعد البداية صار زوج Initiator Cookie وResponder Cookie معرف رابطة ISAKMP. في الطلب الأول كان رمز المبادر موجوداً، ورمز المستجيب وMessage ID صفراً. أضاف الرد الرمز الثاني، ثم ظهر الزوج في الاتصالات اللاحقة بعد المرحلة الأولى.

كان ذلك مفتاح حالة لا هوية. طالب RFC 2408 بالمصادقة القوية في موضع منفصل، وقال إن تعريف الكيان لا يمكن الوثوق به دونها. يستطيع الخادم التحقق من ملف ارتباطه قبل أن تكتمل المصادقة على الطرف.

أما Message ID فكان خاصاً بحالة بروتوكول المرحلة الثانية. يختاره المبادر عشوائياً، ويكون صفراً في المرحلة الأولى. عندما تبدأ مفاوضتان متقاربتان تحت زوج ملفات الارتباط نفسه، يفصل بينهما Message ID مختلف.

تكوّن بذلك تسلسل مفاتيح. الزوج يحدد SA الأم الخاصة بـISAKMP. Message ID يحدد تفاوضاً فرعياً. SPI في Proposal يحدد رابطة بروتوكول قيد الإنشاء. وبعد الاكتمال يستخدم ESP أو AH قيمة SPI في رأس الحزمة لاختيار الحالة التشغيلية.

دمج هذه المفاتيح في معرف «نفق» واحد يضيع مكان الخطأ. قد تكون الرابطة الأم سليمة والتفاوض الفرعي عالقاً. قد يُقبل العرض ولا يصل إلى النواة. قد تُثبَّت الحالة ولا تطابق المحددات أي تدفق.

رأس ISAKMP الثابت كان عقداً للتحليل. يحدد Exchange Type ترتيب الرسائل والحمولات. يشير Next Payload إلى أول حمولة، ويشير كل رأس عام إلى التالية. وتملك Version وFlags وLength اختبارات أخرى.

يفحص المستقبل ملفات الارتباط، ثم Next Payload، ثم الإصدار، ونوع التبادل، والأعلام، وMessage ID قبل السير في السلسلة. نجاح اختبار لا يورّث نجاحاً للذي بعده. بناء صالح نحوياً لا يثبت صحة التوقيع، والتوقيع الصحيح لا يثبت التفويض.

عند الخطأ تُهمَل الرسالة. قد يُسجل الحدث وقد يُرسل إشعار، لكن هذه الإجراءات كثيراً ما كانت اختيارية وتحكمها السياسة المحلية. أعطى المعيار أسماء مشتركة مثل INVALID-COOKIE وINVALID-MESSAGE-ID من دون أن يفرض سجلاً مشتركاً على المشغلين.

كان ISAKMP إطاراً مستقلاً عن تبادل المفاتيح المحدد. عرّف إجراءات وصيغ إنشاء SA والتفاوض عليها وتعديلها وحذفها، ونقل مواد توليد المفاتيح والمصادقة من دون فرض تقنية أو خوارزمية واحدة. نجاح الإطار لا يمكن أن يحل محل نجاح آلية المصادقة التي تُرك اختيارها منفصلاً.

في المرحلة الأولى تُنشأ SA لـISAKMP تحمي نشاط الإدارة التالي. وفي الثانية تُنشأ روابط لبروتوكولات أخرى. يمكن توزيع كلفة المرحلة الأولى على عدة تفاوضات لاحقة. وقد تختلف الهوية المعنية: خادم أو مضيف في الأولى، ومستخدم أو برنامج في الثانية.

لهذا لا يكفي نسخ اسم الطرف الأب إلى كل رابطة فرعية. ينبغي حفظ المرحلة والموضوع الذي جرت مصادقته والاعتماد والسياسة وMessage ID. إعادة استخدام القناة لا تعني إعادة استخدام السلطة بلا حدود.

بقي الاختيار محلياً أيضاً. يستطيع المبادر تقديم عرض واحد أو عدة عروض مرتبة. عند تقديم عدة خيارات يختار المستجيب ما يناسب سياسته. يحمل البروتوكول القائمة والرد؛ ولا يقرر من يملك الشرعية المؤسسية لتلك السياسة.

كشف Commit عن فجوة بين الاختيار والاستعداد. إذا وضعه طرف، ينتظر الآخر تبادل معلوماتي محمياً يحتوي CONNECTED ويرتبط بـMessage ID الأصلي. لكنه لم يمنع ضياع الرسالة الأخيرة.

ذكر RFC إمكان اعتبار حركة محمية قابلة للتحقق دليلاً عملياً، أو إعادة إرسال آخر رسالة تفاوض. لم يوحد سلوك الاسترداد. كان CONNECTED إيصال مزامنة مفيداً، لا حقيقة نهائية عن تثبيت كل مكوّن أو نجاح التطبيق.

ومن هنا تعود أهمية Delete. إذا كان حتى الحذف المسمى صراحة إشعاراً عن واقع المرسل، فحقول الارتباط الأقل دلالة لا يمكن أن تتولى واقع الطرفين. يجب أن يثبت كل نظام تغييره من داخله.

توضح طبقات الواقع لدى Lu Heng هذا الترتيب. ملف الارتباط حقيقة ارتباط وموارد. Message ID حقيقة حالة بروتوكول. سلسلة الحمولات حقيقة تركيب. الاعتماد والتوقيع حقيقة مصادقة. القاعدة حقيقة تفويض. SA المثبتة حقيقة تنفيذ. الحزمة والتطبيق حقيقة نتيجة.

وتظهر مشكلة الوكالة حين يتحدث daemon باسم الجميع. سلطة الاعتماد تملك الربط، وفريق السياسة يملك الإذن، والعملية تفاوض، والنواة تثبت، والتطبيق يقيس الفائدة. حالة خضراء واحدة تمحو هؤلاء المالكين.

أولوية الكود العامل تعني وصل السجل بالواقع: زوج ملفات الارتباط وMessage ID، نتيجة المصادقة وبصمة الاعتماد، نسخة السياسة، العرض المختار، إيصال التثبيت، SPI التشغيلي، المحددات والعدادات وقرار الحزمة والنتيجة التطبيقية.

نُشر RFC 2408 في نوفمبر 1998. استبدل RFC 4306 وثائق 2407 و2408 و2409 بـIKEv2 عام 2005. وفي 2023 نُقلت عائلة IKEv1 إلى Historic وأغلق RFC 9395 السجلات المرتبطة؛ ثم أصبح RFC 7296 معيار الإنترنت لـIKEv2. هذه قراءة تاريخية وليست توصية بالخوارزميات القديمة.

عرّفت ملفات الارتباط الحالة الصحيحة. لكن هوية الطرف، وسلطته، وتثبيت الرابطة وأثرها بقيت حقائق تحتاج إلى إثبات مستقل.

المصادر