الخلاصة

  • يعلن FCI.DelegatedCredentials الحد الأقصى الذي تدعمه شبكة التوزيع اللاحقة ومفتاح التشفير الاختياري، بينما يحمل MI.DelegatedCredentials بيانات الاعتماد والمفاتيح الخاصة اختيارياً؛ ولا يمثل أي منهما إيصال تركيب لكل نقطة طرفية.
  • العدد المعلن ليس حجزاً ولا يلزم أن يساوي عدد الخوادم، وقد تُنسخ بيانات اعتماد واحدة إلى عدة نقاط أو تُخصص بيانات مختلفة لكل نقطة.
  • يتطلب الادعاء التشغيلي ربط تفويض الشهادة، ومنشأ المفتاح، وإصدار البيانات الوصفية، وحالة العقد، وقرار التوجيه، وعرض العميل، والخوارزمية المختارة، والمصافحة، ومسار الاحتياط، ونتيجة HTTP من دون دمجها في إشارة خضراء واحدة.

الانتهاء في المركز لا يعني الانتهاء عند الأطراف

قد تُصدر الشبكة العليا بيانات اعتماد جديدة قبل انتهاء القديمة بوقت كافٍ. تسترجع الشبكة اللاحقة كائن البيانات الوصفية وتتحقق من بنيته، فيغلق نظام التحكم المهمة. لكن عقدة في منطقة بعيدة قد تكون خارج التحديث، أو قد يكون مخزن الأسرار قد استقبل المفتاح من دون أن يعيد عامل TLS تحميله.

في تلك اللحظة تكون عملية التسليم ناجحة وعملية الخدمة غير مكتملة. لا يَعِد RFC 9677 بأن نجاح الأولى يثبت الثانية. فهو يعالج مشكلة أضيق: توفير كائنات CDNI قابلة للتشغيل البيني لنقل بيانات الاعتماد المفوّضة المحددة في RFC 9345 بين شبكة توزيع عليا وأخرى لاحقة.

تكمن الفائدة في تقليص سلطة المفتاح طويل الأجل. يستطيع مالك الشهادة منح مفتاح قصير العمر حق إنهاء TLS من دون نسخ المفتاح الخاص الدائم إلى كل بيئة. لكن المفتاح القصير يظل سراً فعالاً، ويجب إثبات أين وُلد وأين وصل ومتى استُخدم.

إعلان القدرة يصف سقفاً لا خريطة نشر

تستطيع الشبكة اللاحقة إعلان دعم MI.DelegatedCredentials من خلال FCI.Metadata. ويضيف FCI.DelegatedCredentials عدداً أقصى، وقد يتضمن PrivateKeyEncryptionKey بصيغة JWK لتشفير المفاتيح الخاصة المنقولة.

يساعد العدد الشبكة العليا على ضبط كمية المواد. ويقول النص إنه يتوافق عادة، ولكن ليس بالضرورة، مع عدد الخوادم المخصصة. قد تستخدم الشبكة اللاحقة بيانات اعتماد واحدة على عدة نقاط، أو بيانات مختلفة لكل نقطة إذا وصلها عدد كافٍ.

لذلك لا يثبت الرقم عدد الخوادم ولا الفراغ المتاح ولا النشر الحالي ولا النطاق الجغرافي. تحويل «يدعم عشرة» إلى «عشر نقاط جاهزة» يضيف حقيقة لم تحملها الرسالة.

للمفتاح الخاص مساران مختلفان

يحمل كائن MI.DelegatedCredentials مصفوفة من هياكل CertificateEntry المشفرة base64، وفيها بنية RFC 9345. أما المفتاح الخاص المطابق فاختياري. إذا نُقل، يجب وضعه في JWE مضغوط ومشفّر إلى المفتاح الذي أعلنته الشبكة المستقبلة.

إذا غاب الحقل، يمكن أن تكون الشبكة اللاحقة قد أنشأت زوج المفاتيح محلياً وأرسلت الجزء العام إلى الشبكة العليا بقناة خارجية. في هذا التصميم لا يغادر السر نطاقها، لكن يجب إثبات الصلة بين الطلب الخارجي والمفتاح المحلي وبيانات الاعتماد التي وصلت لاحقاً.

المسار المنقول يحتاج إلى سجل للجهة المنشئة، ومعرّف مفتاح JWE، ومكوّن فك التشفير، ومخزن السر. والمسار المحلي يحتاج إلى سجل لتوليد المفتاح وصحة الطلب العام. عبارة «تم الاستلام» تمحو هذا الفرق الضروري للتحقيق.

غلاف JWE لا يمحو خطر النصوص المشفرة القديمة

لا يوصي RFC بإرسال المفاتيح الخاصة عبر واجهة البيانات الوصفية. وإذا أُرسلت، يجب ألا تقل قوة مفتاح الغلاف عن قوة المفتاح المحمي. يحمي JWE عملية العبور، لكنه لا يمنح سرية مستقبلية. إذا انكشف مفتاح فك التشفير لاحقاً، أمكن فتح أغلفة قديمة جرى حفظها.

يقيد العمر القصير مدة استخدام الزوج المسروق في الانتحال، لكنه لا يثبت حذف النسخ، ولا غياب الالتقاط، ولا سلامة مفتاح JWK، ولا دخول السر إلى حدود عتادية موثوقة. كما لا يلغي ضرورة فحص الحفظ التاريخي.

يحتفظ السجل الآمن ببصمات الشهادة وبيانات الاعتماد، ومعرّفات المفاتيح، والخوارزميات، والأوقات، وقرارات التحقق، ولا يحتفظ بالمفتاح الخاص نفسه. ويفصل بين كائن عام صحيح وبين زوج قادر فعلاً على توقيع CertificateVerify.

العميل يفرض شروطاً لا تراها واجهة CDNI

يُلزم RFC 9345 العميل بأن يعلن دعم الامتداد وخوارزميات التوقيع المقبولة. إذا لم يفعل، فلا يجوز للخادم إرسال بيانات الاعتماد المفوّضة. ويظل العميل يتحقق من سلسلة الشهادة وهوية الخدمة، ثم من توقيع التفويض والعمر والخوارزمية وتوقيع المصافحة.

الحد الافتراضي للعمر سبعة أيام، ولا يمكن أن يتجاوز انتهاء شهادة التفويض. كما ترتبط بيانات الاعتماد بخوارزمية توقيع محددة. لذلك قد يصل الكائن بصورة صحيحة ثم يُرفض بسبب ساعة العميل أو عرضه أو الشهادة أو انتهاء الصلاحية.

حتى حين يدعم العميل الآلية، يستطيع الخادم اختيار عدم استخدامها. قد يبقى مسار الشهادة العادية أو التوقيع البعيد لخدمة العملاء القدامى والاحتياط. نجاح TLS يثبت وصول المسار الذي لوحظ، لكنه لا يثبت استخدام التفويض ما لم تُحفظ تفاصيل المصافحة.

بين الاسترجاع والمصافحة تقع معظم العملية

يعرض تدفق RFC إعلان القدرة، واسترجاع MI، واتصال العميل، والتجديد. ولا توجد بين الاسترجاع والاتصال رسالة معيارية تقول إن كل عقد الحافة ركبت المادة. في تلك المسافة تعمل المصادقة، وفك التشفير، ومخزن الأسرار، وبناء الإعداد، والنشر المرحلي، وإعادة تحميل العمليات، والفحص الصحي، وتحويل الحركة.

قبول المهمة في صف ليس تنفيذها. تخزين المفتاح ليس تفعيله. تفعيل المفتاح لا يعني أن التوجيه سيختار العقدة. واختيار العقدة لا يضمن أن العميل يعرض الخوارزمية الملائمة. لكل وصلة إيصالها الخاص.

يجب أن تسمي رؤية الأسطول مقامها: العقد المستهدفة، والمستبعدة، والمفرغة، وغير المرصودة، والتي ما زالت تستقبل الحركة، مع البصمة والحالة وآخر زمن مشاهدة. النسبة المجردة تستطيع إخفاء العقدة الوحيدة التي تحمل الخطر.

انتهاء الصلاحية يحول التأخر الخفي إلى رفض صريح

لا يدير كائن FCI التجديد. على الشبكة العليا مراقبة المواد التي قدمتها وتجديدها في الوقت. وإذا لم يملك خادم لاحق إلا بيانات منتهية، وجب عليه رفض الاتصالات الجديدة التي تحتاج إلى بيانات اعتماد حديثة.

ذلك الرفض دليل قوي على حالة الخادم المرصود، وليس خريطة للأسطول. قد تكون عقد أخرى قد حملت الخلف، أو ما زالت ضمن فترة تداخل، أو تستخدم مسار الاحتياط، أو أُفرغت من الحركة، أو لا يمكن الوصول إليها.

العمر القصير يقلل نافذة الإساءة ويزيد معدل الدوران. وكل دوران يعيد اختبار اعتماديات نادرة. ينبغي أن يقيس هدف التوافر صلاحية الخلف على كامل المجموعة التي ما زال التوجيه يستخدمها قبل انتهاء دور السلف، مع احتياط مختبر للحالات غير المتوافقة.

سلم من عشرة إيصالات

الأول لشهادة التفويض: الهوية والبصمة والامتداد والعمر. الثاني لبيانات الاعتماد: المفتاح العام والخوارزمية والبصمة والانتهاء. الثالث لمنشأ المفتاح الخاص. الرابع لإعلان FCI وإطاره وحده ومفتاح التشفير.

الخامس لاسترجاع إصدار MI المحدد وسلامته. السادس للتحقق والتركيب على كل عقدة. السابع لتقارب الأسطول مع ذكر القديم والفاشل والمفرغ والاحتياطي. الثامن لقرار التوجيه الذي اختار العقدة.

التاسع للمصافحة الفعلية: عرض العميل وإصدار TLS والخوارزمية والسلسلة والامتداد ونتيجة التحقق. العاشر لطلب HTTP ونتيجة التطبيق. يحدد RFC أجزاء مهمة من السلم، ولا يحدد السلم كله. لا يجوز إعادة تسمية إيصال أدنى على أنه نتيجة أعلى.

اختبار الفشل الجزئي قبل الموعد الحرج

إذا غاب إعلان القدرة، يُستخدم مسار معلن الدعم. إذا كان الحد أقل من الحاجة، تُخفض المجموعة أو تتغير البنية؛ ولا يسمى الحد حجزاً. إذا غاب المفتاح المطابق أو فشل JWE، يُعزل الكائن بدلاً من نشر حالة غامضة.

في أسطول مختلط تُفرغ العقد القديمة أو يُحافظ على احتياط مختبر. تشمل اختبارات الكناري عملاء يدعمون الامتداد وآخرين لا يدعمونه، وخوارزميات مختلفة، وبيانات قريبة من الانتهاء، وكل دفعات النشر. نجاح الشهادة العادية يسجل كنجاح احتياط لا كنجاح تفويض.

وعند الاشتباه في انكشاف مفتاح الاستقبال، تُدار المفاتيح وبيانات الاعتماد وتُقيّم أغلفة JWE التاريخية. سبعة أيام حد استخدام وليست خطة استجابة كاملة.

قوة المعيار في حدوده الدقيقة

لا يصدر RFC 9677 شهادات، ولا يلغي بيانات اعتماد، ولا يختار المسارات، ولا يشهد تقارب الأسطول، ولا يثبت وصول المحتوى. إنه يجعل تبادلاً حساساً بين شبكتين قابلاً للتشغيل البيني بدلاً من بقائه قناة خاصة غامضة.

تنطبق هنا فكرة طبقات الواقع وأولوية الشيفرة العاملة في ملاحظات Heng Lu: نية الإعداد حقيقة، وحالة العقدة العاملة حقيقة أخرى، ونتيجة العميل حقيقة ثالثة. ينسق الحد الأدنى المشترك ما ينبغي مشاركته، بينما تبقى سياسات النشر والاحتياط وحفظ الدليل وسلطة الحوادث محلية وصريحة.

يجوز القول إن الكائن وصل عندما يثبت إيصال التسليم ذلك. ولا يجوز القول إن الحافة استخدمته قبل أن تتكلم الحافة والمصافحة.

المصادر