الخلاصة

  • يعرّف RFC 9642 مخزن مفاتيح YANG للمفاتيح المتماثلة وغير المتماثلة والشهادات والمراجع المركزية والتعريفات المضمنة، لكنه لا يصدر حكماً باكتمال التعافي.
  • تعتمد قابلية نقل القيم المشفرة على مفتاح KEK المشترك، والمفاتيح الأساسية الخاصة بالأجهزة، وإعادة التغليف، والتفويض الذي أغلق كل حواف الاعتماد.
  • يربط إيصال التعافي النسخة الاحتياطية والأصول وقرارات NACM بالمستهلك والشهادة وعملية المفتاح ورفض الاستخدام غير المصرح به وأثر الخدمة المرصود.

رفض NACM محاولة تعديل المفتاح، فسجّل فريق التدقيق أن المخزن محمي. وبعد ساعات غيّرت أداة محلية ذات امتيازات الملف الذي تستند إليه العملية، من غير أن تمر عبر واجهة YANG.

كان قرار الرفض صحيحاً، لكن الاستنتاج كان أوسع من دليله. تحمي السياسة باباً محدداً؛ ولا تثبت وحدها سلامة التخزين أو الذاكرة أو واجهات المورد أو العتاد. وهذه هي القراءة المنضبطة لـ RFC 9642: النموذج ينسّق حالة الإدارة، ولا يدمج كل طبقات السلطة في عقدة واحدة.

التوافق مع البنية ليس تعافياً

نُشر RFC 9642 على مسار معايير IETF في أكتوبر 2024. ويفصل بين ميزات المخزن المركزي والتعريفات المضمنة والمفاتيح غير المتماثلة والمتماثلة. ويمكن للنماذج المستهلكة إضافة مواقع أخرى إلى خياراتها.

لهذا لا تكفي عبارة «يدعم RFC 9642». يسجل الإيصال مراجعة الوحدة والميزات ومكتبة YANG والـ datastore والمسار والبصمة والنموذج المستهلك. اسم القائمة محلي ضمن مثيل YANG؛ وليس هوية عالمية أو إثبات عهدة أو غرض.

نجاح leafref يعني أن وصلة الإعداد قابلة للحل. ولا يعني أن العملية الجارية حملت النسخة نفسها، أو لم تفضّل تعريفاً مضمناً، أو نفذت توقيعاً أو فكاً بالمفتاح المقصود.

أصل النظام لا يثبت سلسلة المنشأ

وفق RFC 8342، قد يظهر المفتاح المدمج في <operational> و<system> بأصل نظامي، مقابل بيانات المشغّل في الحالة المقصودة. وقد يكون ثُبّت في التصنيع أو وُلد عند أول إقلاع أو عند تمكين خدمة.

يفصل هذا الوسم ما وفره الخادم عما كتبه المشغّل. لكنه لا يحدد المولد أو مصدر العشوائية أو حد العتاد أو قابلية التصدير أو إصدار البرنامج الثابت أو صلاحية شهادة الهوية. ويترك RFC طريقة ضبط المفاتيح المدمجة أو تعديلها خارج نطاقه.

إذا أضاف المشغّل شهادة نشر إلى مفتاح ذي أصل نظامي، اجتمع أصلان. تسطيحهما إلى «مفتاح مهيأ» يمحو المسؤولية. يجب حفظ أصل المفتاح وكل شهادة وفعل الربط بينها.

حافة encrypted-by جزء من الأصل

تحمل القيمة المشفرة الصيغة والنص المشفر ومرجع المفتاح الذي حماها. ولا بد أن يملك الخادم KEK أو واجهة تستخدمه ليفك القيم وقت التشغيل. بدونه تكون النسخة سليمة البايتات وعاجزة الوظيفة.

يشرح RFC 9642، بصورة غير معيارية، وضع مفاتيح كثيرة تحت KEK مشترك، ثم حماية هذا KEK بمفتاح أساسي فريد لكل خادم. عند الانتقال يُعاد تغليف KEK للمفتاح الأساسي في الوجهة، وتبقى النصوص المشفرة الأخرى كما هي.

تقلل هذه البنية العمل وتجمع الخطر. فقدان KEK يوقف عدة مستهلكين، واستبداله يغيّرهم معاً، وتوسيع واجهته يوسع السلطة. لذلك تُقاس سلامة النسخة بإغلاق الرسم: كل نص مشفر، كل مرجع، المفاتيح الأساسية، KEK، الصيغ، الخوارزميات، الفاعل المخول، نتيجة إعادة التغليف وخطة الرجوع.

لا يثبت الرسم في الوثيقة أن منتجاً بعينه طبق المسار. يسمي التقرير النسخة وبصمتها والخادم المصدر والهدف والمفاتيح والموافقات والاختبارات.

الإخفاء والتشفير ادعاءان محدودان

يوفر RFC 9640 الأنماط التي يستخدمها المخزن. تعني hidden أن واجهة الإدارة الممثلة لا تعيد السر، لا أنه غير قابل للاستخراج من الذاكرة أو وحدة التحكم أو النسخ الاحتياطي أو العتاد. وتعني encrypted وجود نص مشفر وعلاقة تغليف، لا أن KEK محمي ومتاح.

يوصي RFC 9642 بتشفير المحتوى في التخزين الدائم، وتصفير النسخ الواضحة في الذاكرة المتطايرة بعد الاستعمال. وإذا لم يكن التخزين مشفراً فيجب أن يكون غير متاح. لا ترى شجرة YANG النسخ المتماثلة وswap وcrash dump والسجلات والامتيازات المحلية.

لذلك يضيف الإيصال أدلة التخزين والذاكرة والعهدة والوصول والاختبارات السلبية. وعند غياب إثبات العتاد تضيق العبارة إلى السطح المرصود.

قرار NACM ليس سجل الواقعة

تحمل العقد القابلة للكتابة nacm:default-deny-write، وترث الأسرار الواضحة رفضاً أقوى للقراءة. يوفر RFC 8341 آلية القرار، لكن الوسم لا يذكر الجلسة والقاعدة والاستثناء اللذين عملا فعلاً.

يربط سجل التغيير هوية NETCONF أو RESTCONF والقناة وإصدار NACM والقاعدة والمسار والقيم قبل وبعد وcommit والموافقة والإسقاط التشغيلي. ويسمي المسارات المحلية أو مسارات المورد والعتاد التي لا تمر عبر YANG. يعطي RFC 6241 وRFC 8040 سياق الإدارة، لا تاريخ المفتاح كله.

لا يعرّف RFC 9642 أي RPC أو action. قد تأتي عملية التوليد من نماذج SSH/TLS المستهلكة أو من مسؤول تشفير خارجي. لا تكشف العقدة النهائية مراسم التوليد ولا من شاهد القيمة الواضحة.

الزوج الصحيح يحتاج إلى مستهلك صحيح

يمكن أن يرتبط المفتاح غير المتماثل بشهادات عدة. ويحدد مرجع شهادة الكيان النهائي المفتاح والشهادة معاً. يصحح Errata 8441 الموثق عبارة منسوخة وصفت الاختيار خطأ بأنه مفتاح متماثل؛ أما البنية فكانت دائماً زوجاً غير متماثل وشهادة.

يمكن لنماذج RFC 9644 وRFC 9645 استخدام المخزن لـ SSH وTLS. يحل الإيصال مرجع الخدمة، ويثبت مراجعة إعدادها، ويرصد عملية المفتاح والجلسة الناتجة.

كما لا يقيد النموذج استعمال المفتاح الخاص بالتوقيع أو فك التشفير. قد تقيد الشهادة المفتاح العام المرتبط، لكن التفويض التنظيمي والفعل المنفذ قراران منفصلان. ينبغي للاختبار أن ينجح في الغرض المشروع ويرفض غير المشروع.

انتهاء الصلاحية يفتح المهمة

يبلغ إشعار الانتهاء عن حالة زمنية، ولا يثبت التسليم والإقرار والموافقة والاستبدال وتحديث المراجع والنجاح اللاحق. وقد تعيد نسخة قديمة شهادة سبق سحبها من الخدمة.

تصل السلسلة بين الحدث والمتلقي والإقرار والشهادة الجديدة ومطابقة المفتاح والمستهلك والنشر والعملية المرصودة. وتبقى حالات اختلاف المركز عن التعريف المضمن ظاهرة.

إغلاق إيصال التعافي

يثبت السجل النسخة الدقيقة والخادم المصدر والوحدات والميزات والـ datastores والأصول، ثم بصمات المفاتيح والشهادات والصيغ وكل حواف التشفير. وبعدها يسمي المفتاحين الأساسيين وKEK والفاعل ونتيجة إعادة التغليف.

في الوجهة يختبر فتح الأشياء المطلوبة وحل المراجع واختيار الشهادة واستخدام المستهلك ورفض العمليات غير المخولة. وتنتهي السلسلة بأثر خدمة محدود وخطة رجوع مستقلة.

ينسق RFC 9642 المواصفة الدنيا. ويمارس الكود العامل السلطة. ويحفظ الإيصال الصلة بينهما من غير أن يمنح الشجرة حكماً لم تصدره.

المصادر