الخلاصة

  • قد يحتفظ النظير بمفتاح EAP لم تنته مدته محلياً، بينما تكون إعادة تشغيل المُصدِّق أو استعادة الذاكرة قد حذفت السجل المقابل.
  • توصي RFC 5247 بإعادة مزامنة محمية؛ وإذا لم يعد هناك مفتاح مشترك يحمي الإصلاح، فلا بد من مصادقة جديدة بدلاً من منح المؤقت سلطة لا يملكها.

كان العدّاد صحيحاً ولم تكن الحالة مشتركة

استيقظ جهاز عميل فوجد سياقاً مخزناً واثنتي عشرة دقيقة متبقية. بدأ مسار الاستئناف المختصر. بحث المُصدِّق عن اسم المفتاح نفسه فلم يجد شيئاً، لأن عملية صيانة أعادت تشغيله ومسحت حالته المتطايرة.

لم يكذب أي من السجلين. المفتاح موجود داخل مدته عند العميل، وغير موجود عند المُصدِّق. ظهر الخطأ حين لخّصت لوحة التشغيل الحالتين بعبارة واحدة: «المفتاح صالح».

تضع RFC 5247 هذا الانقسام ضمن النموذج نفسه. يمكن للنظير أو المُصدِّق أن يعيد التشغيل أو يسترد الموارد، فيمسح بعض مخزن المفاتيح أو كله. ولهذا لا يضمن الاتفاق على مدة المفتاح استمرار التزامن، وقد لا يعرف النظير أن المفتاح اختفى من الطرف الآخر إلا عند محاولة استعماله.

المدة تحدد متى يتوقف استعمال شيء ما زال موجوداً. ولا تحجز ذاكرة في جهاز آخر.

سلسلة EAP ليست حكماً واحداً

يفصل الإطار بين طريقة EAP، وتبادل AAA، وبروتوكول الارتباط الآمن. قد تولد الطريقة بين النظير وخادم EAP مواد مثل MSK وEMSK ومعرّفات مرتبطة. ينقل AAA المواد ومعايير التفويض إلى المُصدِّق. ثم يتبادل النظير والمُصدِّق مباشرة اختيار السياق وإثبات الحيازة والتفاوض وإنتاج مفاتيح جلسة عابرة.

يختصر التخزين المؤقت جزءاً من العمل السابق، لكنه لا يختصر السؤال الحاضر. هل اختار الطرفان السجل نفسه؟ هل يملكان مادته الآن؟ هل يسمح النطاق بهذا الاستخدام؟ هل وُلّدت مفاتيح TSK جديدة وفُعّلت للمسار الصحيح؟

يثبت التطابق المحلي أن جهازاً واحداً يتذكر. أما التبادل المحمي فيثبت أن طرفين ما زالا يشتركان في حالة صالحة لهذه اللحظة.

الاسم يختار ولا يثبت

قد توجد عدة مفاتيح من النوع نفسه بين الطرفين. لذلك تشترط RFC أن يسمّي بروتوكول الارتباط الآمن المفتاح المستخدم في إثبات الحيازة. البحث العام بالهوية قد يضع كل طرف على جيل مختلف مع أن السجلين صحيحان محلياً.

اسم المفتاح إحداثية، وليس برهاناً. بعد الاختيار، يجب إثبات امتلاك المادة من غير كشفها. وعند دعم التخزين المؤقت، يلزم اشتقاق مفاتيح TSK جديدة، عادة بإدخال nonce أو عدّاد، حتى لا يعيد استعمال مادة EAP إنتاج مفتاح المرور القديم نفسه.

لذلك يبدأ السجل المفيد باسم المفتاح، ثم نتيجة البحث عند كل طرف، فإثبات الحيازة المشترك، ومدخلات الحداثة، والاشتقاق، والتفعيل، وأول حزمة محمية، ثم الخدمة. عبارة «cache hit» لا تغلق هذه السلسلة.

حتى أمر الإصلاح يحتاج إلى تفويض

عندما ينسى طرف ويبقى السجل عند الآخر، يبدو نسخ المفتاح حلاً سريعاً. لكن تثبيت حالة تشفيرية عملية ذات امتياز، ولا يجوز لطلب غير محمي أن يمنح نفسه سلطة إعادة الحالة المفقودة.

توصي RFC بإعادة مزامنة حالة المفاتيح عبر بروتوكول الارتباط الآمن أو إشارة من الطبقة الأدنى. إذا بقي لدى الطرفين مفتاح مشترك مناسب، يمكنه حماية التبادل. وإذا زال الأساس المشترك، تصبح إعادة المزامنة الآمنة مستحيلة اعتماداً على الحالة التي فُقدت.

لا تستطيع رسالة مفتوحة تقول «كنت أملك K» أن تعيد سلطة K. عندئذ يكون المسار الصحيح إعادة تشغيل EAP، مثلاً بعد مؤقت. يعيد المسار الكامل فحص الهوية والسياسة، وينشئ مادة جديدة، ويبني ارتباطاً جديداً.

هذا أبطأ، لكنه يحفظ اتجاه الدليل: التفويض المثبت ينشئ الحالة، ولا تنشئ الرغبة في الحالة تفويضاً.

قد تتطابق المادة ويختلف النطاق

وجود البايتات في المخزنين لا يعني أن استعمالها مسموح على السطح نفسه. توصي RFC 5247 بمزامنة نطاق المخزن، لكي يعرف كل طرف حدود الطرف الآخر ويتفاوضا على قيود الاستخدام.

مفتاح مرتبط بمُصدِّق أو منفذ أو مجموعة خدمة أو ملف مرور لا يصبح عاماً لأنه لم ينته. وعند الحركة قد يختار مسار AAA خادم EAP آخر. ويمكن لخوادم ضمن النطاق نفسه أن تتحقق من بيانات الاعتماد نفسها من دون مشاركة كل الحالة الدائمة.

وبالتالي قد يعني فشل الاستئناف فقداناً، أو اختياراً مختلفاً، أو تعارض نطاق، أو تغير backend، أو سياسة جديدة. لا يكفي وحده للحكم على بيانات اعتماد المستخدم أو لإسناد هجوم.

لا تحوّل الغياب إلى اتهام

واجهة الدعم التي تعرض «نجاح» أو «فشل مصادقة» فقط تمحو أهم معلومة. تغيير كلمة المرور لا يعيد سجلاً حُذف عند إعادة التشغيل. وقفل الحساب لا يصلح خطأ في اسم المفتاح. كما أن زيادة حجم المخزن لا تحل تضارب النطاق.

ينبغي حفظ أول حد لم يغلقه دليل: اسم غير معروف، سياق غائب، فشل إثبات الحيازة، عدم اشتقاق TSK جديدة، غياب تأكيد التفعيل، رفض سياسة النفاذ، أو مرور محمي لم ينتج خدمة مفيدة.

إذا لم تحدد المراقبة السبب، فيبقى مجهولاً. المعيار يصف إمكانات معمارية، ولا يثبت حادثة أو عيباً في منتج أو شبكة بعينها.

امسح جهة واحدة في الاختبار

إعادة تشغيل الطرفين معاً تخفي الانقسام الذي يهم. يجب اختبار أربع حالات: احتفاظ الطرفين، احتفاظ النظير وحده، احتفاظ المُصدِّق وحده، وفقدان الطرفين. لكل حالة عدد محاولات محدود، وانتقال مرئي إلى المصادقة الكاملة، ومفاتيح TSK جديدة، وعدم إحياء صامت للمفاتيح القديمة.

ثم يأتي اختبار الحجم. يقلل المخزن المؤقت حمل المصادقة الكاملة في الأيام العادية. لكن إعادة تشغيل جماعية أو ضغط ذاكرة قد يحول آلاف الاختصارات إلى طلبات كاملة في اللحظة نفسها. النظام المصمم وفق نسبة hits المعتادة قد يعجز عند إعادة بناء حالته.

المقياس القيادي ليس عدد السجلات فقط، بل عدد misses الآمنة التي يستطيع النظام استعادتها في الثانية حتى عودة الخدمة الفعلية.

Sources