الخلاصة

  • قبول Hello وإنشاء جوار PIM يثبتان أن التنفيذ قبل تبادلاً بروتوكولياً، ولا يثبتان أن المشغل فوّض المرسل ليكون موجهاً. إذا كانت قائمة المرشحين خاطئة، فالانتخاب الصحيح حسابياً يوزع سلطة خاطئة.
  • الوضع السلبي وIPsec وحجب بروتوكول IP رقم 103 والفلترة على منافذ المضيف والتحقق من المصدر تغلق مسارات مختلفة. لكل إجراء إيصال محدود، ولا يثبت أي منها التسليم النهائي.

الواجهة التي لم تُعرّف دورها

تُظهر الرسومات عادة خطاً واضحاً بين المضيف والموجّه، لكن التهيئة هي التي تجعل هذا الخط قابلاً للتنفيذ. عندما يعمل PIM كاملاً على منفذ وصول، يستطيع أي طرف إرسال Hello ومحاولة تكوين جوار. يرى الجهاز عنواناً ومؤقتاً ورسالة صحيحة؛ لا يرى الوصف الإداري الذي يقول إن الطرف محطة أو خادماً لا يملك حق التوجيه.

هذه ليست مسألة تزوير حصراً. قد يستخدم المضيف عنوانه الحقيقي ويتبع القواعد الزمنية. النقص هو سجل التفويض: صحة المصدر لا تساوي أهلية الدور، والجوار لا يساوي تعييناً، والفوز لا يساوي تنفيذ نية المشغل. حالة البروتوكول تصف ما قبله الجهاز، لا سبب قبول السلطة.

RFC 5294 وثيقة Informational من عام 2008، وليست قياساً للمنتجات أو الشبكات الحالية. قيمتها في كشف فئة من الأخطاء: حين لا تُقيد أدوار المنفذ مسبقاً، تصبح القدرة على الكلام هي طريق الدخول إلى الحكم.

ما الذي يملكه الفائز

في PIM-SM يتولى DR تغليف بيانات المصادر الجديدة في Register، ويرسل Join/Prune نيابة عن أعضاء المجموعة في الشبكة المحلية. يستطيع مضيف صار جاراً أن يحاول الفوز بانتخاب DR، ثم يمتنع عن تسجيل مصدر أو إرسال انضمام أو يعطل مجموعة محددة مع إبقاء مجموعات أخرى طبيعية. نجاح حركة أخرى ليس دليلاً على نزاهة كل التدفقات.

في BIDIR-PIM يعمل DF في اتجاهي الوصلة. يستطيع طرف غير مشروع إعلان مقياس أفضل، أو تزوير DF Offer وDF Winner، أو منع التقارب بسلسلة عروض. يثبت سجل الانتخاب أن الخوارزمية اختارت أفضل عرض مرئي؛ لا يثبت أن جميع العارضين كانوا موجّهات مفوضة.

وتمنح رسالة Assert مسؤولية أضيق لمجموعة (S,G) أو (*,G) وتستطيع تجاوز سلوك DR المعتاد. يفترض قبولها من جار معروف، لكن الطرف قد يبني الجوار أولاً، أو ينتحل عنوان جار، أو يستفيد من فحص غير مطبق. مؤقت الدقائق الثلاث يزيل الحالة إن لم تُجدد، لكنه لا يمنع الضرر الأول ولا يعيد الحزم السابقة.

Register يعبر بوابة أخرى

في وصلة طرفية لها موجّه واحد، يسمح PIM passive mode للمضيفين بإرسال البث المتعدد واستقباله بينما تتوقف الواجهة عن إرسال رسائل PIM أو معالجتها. هذا يلغي الجوار والانتخاب حيث لا حاجة إليهما.

لكن Register أحادي الإرسال ويحمل حزمة بث متعدد داخلية. يستطيع المضيف إنشاءه وتوجيهه إلى أي RP، حتى خارج النطاق المحلي. وبدون تحقق من المصدر يستطيع الانتحال وتجاوز تحديد معدل وُضع على DR الشرعي فقط. لذلك لا يعد جدول RFC 5294 الوضع السلبي علاجاً لتسجيلات يصنعها المضيف.

لا تكفي عبارة «PIM محمي». رسائل التحكم المحلية، وRegister الأحادي، ومشروعية المصدر، وتوثيق الموجّهات، وحالة التحويل، ونتيجة المستقبل تقع عند نقاط إنفاذ مختلفة.

لكل حماية نهاية مختلفة

يمكن لـ IPsec حماية رسائل PIM بين عدة موجّهات شرعية على الوصلة. لكنه يحتاج تعريف النظراء وإدارة الارتباطات والمفاتيح ودعم الأجهزة. وحماية العلاقة المحلية لا تحجب تلقائياً Register يرسله مضيف إلى وجهة أخرى.

في وصلة ذات موجّه واحد، يحجب مرشح دخل لبروتوكول IP رقم 103 رسائل PIM متعددة وأحادية الإرسال، فيكون أوسع من الوضع السلبي. ومع عدة موجّهات، يمكن للمحوّل حجب PIM على جميع منافذ المضيف، أو يمكن السماح بعناوين الجيران المعروفة مع منع انتحال المصدر عند المنفذ. تنتقل الثقة عندها إلى اكتمال جرد المنافذ وصيانة الاستثناءات.

يتطلب BIDIR-PIM أيضاً فلترة دخول ضد المصادر غير الصحيحة طوبولوجياً لأن الشجرة المشتركة لا تقدم حاجز RPF نفسه. صحة اتجاه المصدر لا تمنح دور الموجّه.

سلسلة الأدلة التي لا تختصر

ينبغي أن يسجل التدقيق في صفوف مستقلة: غرض المنفذ، وسياسة PIM، والتحقق من المصدر، وتوثيق الرسالة، وأهلية المرشحين، ونتيجة الانتخاب، وتطبيق حالة التحويل، وما رآه المستقبل. قد يكون الجار موثقاً من دون تفويض. وقد يكون DR شرعياً لكنه سيئ التهيئة. وقد توجد حالة تحويل من دون وصول.

حتى الأدلة السلبية لها نافذة. عدم رؤية Hello مشبوه في التقاط قصير لا يثبت فلترة كل المنافذ. ثبات DR لا ينفي Assert موجهاً لمجموعة أخرى. انتهاء المؤقت لا يعيد البيانات. كما أن عضوية البث المتعدد لا توفر السرية، لأن طرفاً على الوصلة يستطيع تعديل مرشحات الطبقة الثانية؛ السرية تحتاج تشفيراً.

ولا يكفي وضع إذن الخدمة المدفوعة في IGMP إذا بقي دور الموجّه مفتوحاً. يستطيع المضيف المتصرف كموجّه تجاوز الاشتراك أو حرمان الآخرين. حق الاستهلاك غير حق إدارة الخدمة.

حدود الاستنتاج

لا تثبت المصادر ثغرة حديثة لمنتج، أو حادثاً، أو انتشاراً، أو نتيجة تسليم. حل RFC 7761 لاحقاً محل RFC 4601 لمواصفة PIM-SM. تقييم الحاضر يحتاج إصدار التنفيذ والتهيئة والجرد والتقاط الحركة.

ولا يثبت الوضع السلبي أو IPsec أو ACL النتيجة النهائية. الاستنتاج أضيق: قبل اعتبار جدول الجيران دليلاً موثوقاً، يجب إثبات أن الواجهة كانت مخولة أصلاً باستقبال موجّهات.

المصادر