الخلاصة

  • يضيف الإصدار المؤرخ في 5 سبتمبر من مشروع RMRP الفردي شهادة Routing Completeness Attestation أو RCA، حيث يوقّع المحرك عدد أحداث التوجيه التي عالجها وعدد سجلات التدقيق التي كتبها ضمن نافذة زمنية. الوثيقة ما زالت Internet-Draft وليست معيار IETF أو دليلاً على التشغيل.
  • تحمي براهين Merkle ونقاط التحقق الخارجية السجلات الموجودة. أما الاستدعاء الذي نُفذ ولم يُكتب أصلاً فلا يملك ورقة يمكن فحصها. ويقول المشروع صراحة إن RCA لا تثبت الاكتمال.
  • توفر مطابقة حساب المزوّد مقاماً مستقلاً؛ فقد تظهر كلفة لا يقابلها سجل داخلي. لكن يجب توحيد الحساب والمدة والاعتماد والنموذج والنطاق قبل تفسير الفرق.

قد ينجح كل فحص تشفيري ويبقى السجل ناقصاً. فإذا احتوى المخزن على ألف قرار توجيه، يمكن أن تكون توقيعاتها صحيحة، وسلسلتها متصلة، وجذر Merkle منشوراً عند طرف خارجي. الاستدعاء رقم 1001 الذي تجاوز إنشاء السجل لا يفسد توقيعاً واحداً؛ فهو غير موجود كي يفسده.

هذه هي المسألة الأهم في الإصدار 01 من Reilly Model Routing Protocol. قدّم L. J. Reilly هذه الوثيقة الفردية بتاريخ 5 سبتمبر، وحالتها المقصودة Informational وحالة Datatracker هي I-D Exists. ليست RFC، ولا إجماعاً لدى IETF، ولا شهادة امتثال أو تقرير تنفيذ أو حادثة.

يوسّع نص 01 الإصدار 00 بإضافة التمثيل الموحّد والتوقيع والإفصاح الانتقائي والميزانيات الإجمالية وبراهين الإدراج والمراسي الخارجية والإبطال ودرجات المطابقة وتسوية التكلفة. الفكرة النافعة هي فصل أربعة أسئلة: هل عُدّل السجل؟ هل أُدرج في المجموعة؟ هل تشمل المجموعة كل الأحداث؟ وهل يوافقها مصدر آخر؟

التوقيع يبدأ بعد تكوين السجل

يمنح RFC 8785 كائن JSON تمثيلاً حتمياً، ويتيح RFC 7515 التحقق من المفتاح الذي وقّع تلك البايتات ومن عدم تغيرها. وتكشف سلسلة التجزئة انقطاعاً في تسلسل معروف.

تتيح شجرة Merkle المبنية على أسلوب Certificate Transparency إثبات وجود سجل واحد تحت جذر محدد دون تنزيل المخزن كله. كما يبيّن برهان الاتساق أن الشجرة اللاحقة امتداد للسابقة.

لكن كل ذلك يفترض أن الحدث أصبح سجلاً. إذا نفّذ المحرك استدعاء ثم حجب Audit Log Record وCost Attribution Record، تظل الشجرة الباقية صحيحة. إنها التزام أصيل بمجموعة جزئية. ولا يمكن لتوقيع إضافي أن يخلق الورقة المفقودة.

لذلك يحتاج الاكتمال إلى مقام: كم حدثاً كان ينبغي تسجيله؟ حين يصدر عدد الأحداث وعدد السجلات من المحرك نفسه وتحت المشرف نفسه، تثبت المساواة اتساق رواية داخلية لا استقلال المراقبة.

المرساة الخارجية تحفظ الجذر لا السكان

يقر RMRP بأن توقيع رأس الشجرة من المشغّل الذي يسيطر على Audit Store لا يقيّد ما يستطيع المشغّل تغييره. لذلك تنشر Checkpoint الجذر إلى جهة خارج السيطرة الإدارية، مثل خدمة توقيت أو سجل شفافية أو مستودع أرشيف.

الحالة PENDING ليست إثباتاً مكتملاً. وتزيد وجهات مستقلة متعددة كلفة التعديل اللاحق، لكنها لا تجعل السجل غير قابل للتغيير. كما تحدد دورية النشر طول النافذة التي يمكن أن يحدث فيها تغيير غير مكتشف.

الطرف الخارجي شاهد على الجذر الذي استلمه، وليس على كل استدعاء AI. فإذا حُذف الحدث قبل بناء الشجرة، فإن نشر الجذر يحفظ المجموعة الناقصة بثقة أكبر. استقلال الحيازة لا يساوي استقلال العد.

RCA تجعل الصمت ادعاءً ذا صاحب

عند مستوى C3، تتضمن RCA بداية النافذة ونهايتها، وهوية المحرك، وعدد الأحداث، وعدد ALR، والتوزيع حسب النتيجة وطبقة النموذج، ورأس الشجرة، ومعرّف RCA السابقة، والتوقيع. ويتطلب اختلاف العددين ملاحظة تفسير، بينما يكشف انقطاع previous_rca_id نافذة مفقودة.

ينبغي أن يختلف مفتاح Routing Engine عن مفتاح Policy Authority. يفصل ذلك وظيفتين تشفيريتين، لكنه لا يثبت أن شخصين أو مؤسستين مستقلتين يمسكان المفتاحين. ويعترف نموذج التهديد بأن البروتوكول لا يستطيع فرض الفصل البشري.

والحد الحاسم مكتوب بوضوح: RCA تصريح من النظام الخاضع للتدقيق عن اكتماله الذاتي، ولا تثبت الاكتمال. يستطيع مشغّل مستعد للحذف أن يوقّع عدداً كاذباً. غير أن الغياب الصامت يصبح تناقضاً مع تصريح محدد بالوقت والهوية والنطاق.

يفصل RFC 9334 بين الدليل وسياسة تقييمه ونتيجة الإثبات. وبالمثل، RCA مادة تحتاج إلى مقارنة، وليست حكماً آلياً بالثقة.

فاتورة المزوّد ترى الطرف الآخر من الاستدعاء

تقارن Cost Reconciliation Record مجموع التكلفة الداخلية بما يبلغه المزوّد للفترة والنطاق نفسيهما. ويسجل الحقل unattributed_cost_usd إنفاقاً عند المزوّد لا يقابله CAR. ويصف المشروع هذه التسوية بأنها وسيلته الوحيدة لاكتشاف استدلال نُفذ بالكامل خارج Routing Engine.

السبب وجيه: يرى المزوّد طلب API من الجهة الأخرى. قد تختفي مكالمة بمفتاح مباشر أو مسار طوارئ أو فريق غير مدمج من سجل المؤسسة، وتبقى في حساب المزوّد.

لكن الفاتورة ليست حقيقة معصومة. اختلاف المنطقة الزمنية، تأخر البيانات، إعادة المحاولة، token مخزّن مؤقتاً، التقريب، خصم الالتزام أو الحساب المشترك كلها تخلق فروقاً مشروعة. يجب مطابقة الحساب والاعتماد والنموذج والمنطقة ونافذة UTC ومركز التكلفة، ويفضل مقارنة العدد والقيمة معاً. الفرق يفتح تحقيقاً ولا يثبت الاحتيال.

تجمع درجات C2 وC3 وC4 ضمانات مختلفة. يوقّع C2 السجلات، ويضيف C3 الشهادة والإبطال والميزانية، ويضيف C4 Merkle والمرساة والتسوية. من دون دورية الحفظ وهوية الحارس والنطاق والتسامح، يصبح الوسم قائمة مكونات فقط.

تفصل طبقات الواقع لدى Heng Lu بين مشروع البروتوكول وتصريح المطابقة وRCA والسجل وحساب المزوّد والتنفيذ الملحوظ. اتفاقها يقوّي الثقة، لكن الختم لا يمنح طبقة سلطة طبقة أخرى. وتضع أولوية الكود الجاري الاستدعاء والنتيجة والتكلفة المتصالحة فوق جمال الصيغة.