الخلاصة

  • إن إزالة جذر أو تحديد موعد لسحب الثقة أو إصدار نسخة متصفح جديدة يغير السياسة المقصودة، لكنه لا يثبت أن كل نظام وتطبيق وحاوية وجهاز مضمّن قد طبقها.
  • ينبغي إدارة العملية بوصفها ترحيلاً يشمل منظومة التحقق بأكملها، مع اختبارات رفض مرتبطة بكل مصدر ثقة وفئة من العملاء، لا بمجرد عدد الأجهزة التي وصلها تحديث.

في سيناريو تحقق مُصمَّم ومراقَب، قد ترفض فئة حديثة من Chrome سلسلة TLS معينة، بينما يقبلها عميل Windows خاضع لإدارة المؤسسة وخدمة تعمل داخل صورة حاوية قديمة. والشهادة واحدة في الاختبارات الافتراضية الثلاثة.

ليست هذه حالة هامشية في صياغة الشهادة، بل خريطة لثلاثة قرارات ثقة مختلفة.

في عام 2024 أعلن Chrome إيقاف الثقة افتراضياً في جذور محددة تابعة لـ Entrust. واعتمدت القاعدة على تاريخ أقدم Signed Certificate Timestamp: فالشهادات اللاحقة للموعد المنشور لم تعد موثوقة افتراضياً ابتداءً من Chrome 131، بينما عوملت الشهادات الأقدم بصورة مختلفة. لم يكن ذلك حذفاً لملف واحد تفهمه كل الأجهزة في اللحظة نفسها، بل قاعدة قبول لها تاريخ نفاذ وإصدار متصفح وإمكانية لجذور محلية موثوقة صراحة.

تكشف بنية Chrome سؤال الأسطول بوضوح. فقد انتقل Chrome على Windows وmacOS وChromeOS وLinux وAndroid نحو مخزن الجذور والمدقق المدمج الخاصين به. أما Chrome على iOS فيظل خاضعاً لقواعد منصة Apple. كما أتاحت سياسة مؤسسية مؤقتاً الاختيار بين مخزن Chrome ومدقق النظام، ويمكن لـ Chrome إدخال جذور محلية وثق بها نظام التشغيل صراحة. لذلك لا يكفي اسم المتصفح لمعرفة مصدر الثقة كاملاً.

وتعرض Microsoft مصدراً ثانياً للاختلاف. تميز وثائقها بين Removal وEKU Removal وDisallow وDisable وNotBefore. فإزالة الجذر من قائمة الثقة تجعل السلاسل غير موثوقة افتراضياً، لكن بعض المخازن قد تسمح بتثبيته يدوياً. أما Disallow فهو أقوى لأنه يضع الشهادة في قائمة المنع، فلا يعيد التثبيت اليدوي الثقة ببساطة. ولكل من Disable وNotBefore قواعد زمنية ووظيفية مختلفة.

تنتقل هذه الحالات عبر نظام تحديث. يمكن لعملاء Windows المتصلين تلقي قوائم الثقة والمنع آلياً. ويمكن للبيئات المنعزلة إعادة توجيهها إلى خادم داخلي. وتشرح Microsoft كيفية التحقق منفصلاً من AuthRoot وDisallowed ومن آخر وقت مزامنة. وجود سياسة على الخادم لا يثبت أن العميل تلقّاها وطبّقها.

تنشر Apple مخزن جذور مشتركاً حالياً وتؤرشف الإصدارات السابقة. ومن ثم يصبح إصدار المخزن المثبت دليلاً تشغيلياً. وهو يوضح أيضاً أن الجهاز القديم لا تحدده القائمة الحديثة في صفحة ويب. وتميز Mozilla كذلك بين تعطيل صلاحيات الثقة وإزالة الشهادة، ويمكنها جدولة أي من الإجراءين، كما قد يحافظ موزعو البرمجيات المشتقة على اختيارات مختلفة.

سمِّ الإجراء قبل قياسه

عبارة «أزيلوا الجذر» غامضة جداً لإدارة حادث. فقد يكون المقصود رفض كل السلاسل، أو الشهادات الصادرة بعد موعد معين، أو غرض محدد، أو جذر ضمن برنامج واحد، مع إبقاء استثناء لخدمة خاصة. ولكل إجراء نتيجة اختبار مختلفة.

لا يُقاس اكتمال الترحيل بعدد الأجهزة المسجّلة، بل بفئات أنظمة التحقق: المتصفح وإصداره، مخزن النظام، بيئة تشغيل التطبيق، حزمة الثقة وقت التشغيل، صورة الحاوية الأساسية، البرنامج الثابت، العميل المضمّن والاستثناء المُدار. ولكل فئة يجب حفظ بصمة الجذر والسلسلة المرصودة وما إذا كانت النتيجة المتوقعة قبولاً أم رفضاً. والعميل القديم الذي يواصل الاتصال بعد سحب الثقة لأسباب أمنية يمثل حالة فشل، حتى لو بدا سليماً في مراقبة التوافر.

تثبت الوثائق العامة السياسة وآليات التوزيع، لكنها لا تكشف مخزون أي مشغل أو جذوره الخاصة أو دورات تحديث الحاويات والأجهزة أو نتائج التحقق الفعلية. والاستنتاج التشغيلي هنا واضح: يجب مطابقة تغيير الثقة مع الأنظمة التي تتحقق فعلاً من العملية. ولا تنسب المقالة انقطاعاً إلى عميل أو مشغل جذر أو منصة بعينها.

المصادر