الخلاصة

  • ينص RFC 9852 / BCP 195، الذي شارك Rich Salz وNimrod Aviram في تأليفه، على أن البروتوكول الجديد الذي يستخدم TLS يفترض توافر TLS 1.3 ويحدده كافتراض افتراضي. فالالتزام موجّه إلى المواصفة التي تُكتب.
  • لا يمثل ذلك إيصالاً من نقطة نهاية تعمل في الإنتاج. النسخة التي تم التفاوض عليها، والتهيئة، ومصادقة النظير، وقبول التطبيق، وأدلة الاسترداد حقائق منفصلة. ويستثني RFC صراحة DTLS من هذه الوصفة.

لكلمة «يجب» في المعايير وظيفة مهمة: فهي تمنع عرض خيار ناضج كما لو كان محايداً. لكنها لا تحول الجملة المعيارية إلى قياس. إذا قالت المواصفة إن TLS 1.3 هو الافتراضي، فلا يثبت ذلك أن عميلاً بعينه ونقطة نهاية بعينها تفاوضا عليه؛ فالوثيقة لم تراقب ذلك الاتصال.

RFC 9852، New Protocols Using TLS Must Require TLS 1.3، هو Best Current Practice من IETF يحمل BCP 195. يذكر Rich Salz وNimrod Aviram كاتبين، لكن النتيجة إجماع IETF وليست بيان تشغيل فردياً. والسؤال الذي يجيب عنه محدد: ماذا ينبغي أن تكتب مواصفة جديدة تستخدم TLS؟ ينبغي أن تفترض توفر TLS 1.3 وأن تسميه الافتراضي.

ولا ينجز هذا الجواب بقية عمل التشغيل. يبقى على المشغّل أن يعرف أي نسخة تفاوض عليها العميل ونقطة النهاية فعلاً، وأي سياسة محلية اختيرت، وكيف نجحت مصادقة النظير المطلوبة، وهل قبل التطبيق الجلسة، وكيف اكتُشف الفشل أو استعيد. لكل حلقة مالك ودليل خاصان؛ وليست أشياء أغفلها BCP.

وحد DTLS جزء من الدقة لا هامش يمكن حذفه. تقول الوثيقة إن الوصفة تخص TLS فقط. ولأن DTLS 1.3 غير متاح أو منشور على نطاق واسع، فلا تنطبق على DTLS بأي إصدار. إن اختزال ذلك إلى «TLS 1.3 إلزامي» يمحو حدّاً وضعه النص صراحة.

يوضح RFC أن TLS 1.3 مستخدم على نطاق واسع، وله براهين أمنية شاملة، ويعالج نواقص أمنية وخصوصية في TLS 1.2. كما يقر بأن TLS 1.2 يمكن تهيئته بخصائص جيدة، غالباً عبر إعدادات مصممة للحالة. والهجرة ما بعد الكم سبب للاتجاه، أما قرار متى يحتاج تطبيق محدد إلى PQC فهو خارج النطاق. تلك أسباب لقاعدة تصميم، لا قياسات خدمة فعلية.

تتطلب أسبقية الكود العامل إبقاء الأدلة منفصلة ثم ربطها بوضوح. تثبت BCP قاعدة التصميم، وتثبت التهيئة النية المحلية، وتثبت ملاحظة المصافحة حقيقة اتصال، وتثبت سجلات المصادقة والتطبيق والاسترداد حقائق أخرى. أما جمعها جميعاً تحت وسم «امتثال» فيحجب ما تم التحقق منه حقاً.

لذلك يطبق مؤلف البروتوكول BCP 195 عند كتابة المواصفة، ولا يعلن المشغّل النشر إلا مع سياسة قابلة للفحص، ومصافحات مرصودة، ومصادقة لازمة، وأثر تطبيقي، ومسار استرداد. عندها يدعم المعيار والنظام أحدهما الآخر من دون أن يدّعي أحدهما أنه الآخر.

المصادر