الخلاصة

  • قد يرعى العميل X النطاق والمضيف المراد حذفه، بينما يظل نطاق يرعاه العميل Y معتمداً على المضيف نفسه خادماً للأسماء.
  • إعادة التسمية وpendingDelete والإشعار والاستعادة والتطهير وعودة DNS أحداث مستقلة؛ ولا يثبتها رد نجاح واحد مجتمعة.

يبدو أمر الحذف في EPP محلياً: يطلب الراعي إزالة كائنه، ويتحقق الخادم من السياسة ثم يجيب. لكن حالة RFC 9874 تكسر هذا التصور. يرعى X نطاقاً ومضيفاً تابعاً له، فيما ربط Y المضيف ذاته بنطاق آخر. يستطيع X فك علاقته، لكنه لا يملك تعديل كائن Y.

عرفت الخرائط الأقدم هذه التبعية. ينصح RFC 5731 بعدم حذف نطاق ما دامت مضيفات تابعة مرتبطة به، وينصح RFC 5732 بعدم حذف مضيف تستخدمه كائنات أخرى. تمنع القاعدتان عمليةً مرتبة من التحول إلى انقطاع DNS صامت، لكنهما لا تجيبان كيف يغادر X بصورة مشروعة من دون أن يخدم Y إلى الأبد.

من الممارسات المرصودة إعادة تسمية المضيف خارج النطاق المحذوف. تبقى العلاقة، لكن السيطرة قد تنتقل. إذا كان الأصل الجديد قابلاً للتسجيل أو انتقل إلى مالك آخر، فقد ينشئ ذلك الطرف المضيف ويتلقى استعلامات النطاقات التابعة. وهكذا قد تنقل إعادة التسمية سطح سيطرة بدلاً من إغلاقه. يمنع RFC 9874 استخدام اسم خارجي لمجرد افتراض أنه غير موجود.

ولا يصلح محلّه محلّل تكراري عام؛ فهو ليس الخدمة السلطوية التي يحتاجها التفويض. كما أن أسماء AS112 ليست خدمة مضيفات تضحية عامة، وإساءة استخدامها قد تتيح اختطافاً محلياً وتفرض عبئاً خارج غرضها.

يحدد RFC 9874، المنشور بصفته BCP 244، ثلاث عائلات آمنة. يمكن للعميل تشغيل مضيف تضحية سلطوي مخصص مع إبقاء تسجيل الأصل والعناوين والخدمة الفعلية. ويمكن للخادم حذف المضيفات والعلاقات صراحةً مع التفاصيل وإشعار المتأثرين وإمكان الاستعادة. أو قد ينشئ المجتمع نطاقاً خاص الاستخدام، مع توصية sacrificial.invalid إن أصبح هذا المسار متاحاً. لا يقول النص إن الخيارين الأخيرين مطبقان حالياً.

في المسار القابل للعكس تبقى صورة النطاق والمضيفات التابعة والعلاقات العابرة للنطاقات خلال pendingDelete. قد يتوقف DNS العام فيكشف الضرر مبكراً، بينما يبقي RFC 3915 باب الاستعادة مفتوحاً قبل التطهير. طلب الحذف والحالة القابلة للعكس ومهلة الاستجابة والإزالة النهائية تحتاج إلى أزمنة منفصلة.

الإشعار ليس إصلاحاً. يستطيع الخادم إظهار الكائنات المتأثرة لطالب الحذف، واستخدام change poll في RFC 8590 لإبلاغ الرعاة الآخرين. إنشاء الرسالة لا يثبت أن المسجّل قرأها أو أخبر صاحب النطاق أو أصلح التفويض أو أعاد الخدمة.

قد يكون عدد العلاقات غير محدود، فتحتاج الإعاقة والاستعادة والتطهير إلى دفعات غير متزامنة. هذا حل للحمل، لا تفويض جديد. انتهاء العمل لا يثبت تغير كل العلاقات معاً ولا تقارب المحلّلات.

تفصل طبقات الواقع لدى Heng Lu بين النية المعلنة والعلاقات المحفوظة والانتقال المقبول والمنطقة السلطوية ورصد المحلّل ونتيجة المستخدم. تجمع المواصفة الابتدائية الدنيا عقداً ضيقاً مع قرارات محلية للموافقة والاستعادة. أما أولوية الكود العامل فتتطلب آثاراً قابلة للإعادة، لا ثقةً في حالة ناجحة.

يخفض DNSSEC بعض الأخطار ولا يلغي الإثبات. فقد تحول أتمتة تثق بإشارات CDS/CDNSKEY من خادم واحد يسيطر عليه مهاجم اختلافاً مؤقتاً إلى نقل أعمق للسيطرة.

يقدم SAC125 وعرض IETF 115 Risky BIZness سياق مخاطر إدارة خوادم الأسماء. لا يثبتان ضعفاً أو سلوكاً حالياً لدى مشغل مسمى. RFC 9874 استجابة تصميمية لفئة خطر، وليس تقرير حادثة.

المصادر