الخلاصة

  • تقترح مسودة نشطة لدى IETF شهادات STIR تدوم أياما أو ساعات، وتلزم خدمة المصادقة بحمل السلسلة في x5c عندما تقل المدة عن أسبوع.
  • لا توحد مدة X.509 ساعات إسناد الرقم ودليل السلطة وترخيص ACME وإنشاء PASSporT ونقل SIP وقرار الشبكة المستقبلة.

الصلاحية جواب محدود لا سجل كامل

المشهد الافتتاحي حالة تحليلية مصنوعة، وليس حادثة مبلغاً عنها. يستطيع المتحقق أن يقرر أن جهة تصديق أصدرت شهادة لفترة محددة، وأن TN Authorization List تشمل الرقم، وأن المفتاح الخاص وقع PASSporT. تلك نتائج دقيقة ومهمة، لكنها لا تعيد فحص سجل إسناد الرقم وقت كل مكالمة.

النص الحالي هو draft-ietf-stir-certificates-shortlived-06 المؤرخ في 6 يوليو 2026. يعرضه Datatracker في تقييم IESG بحالة AD Followup، مع ثلاثة مواقف DISCUSS، ويذكر الحاجة إلى موقفين إضافيين من YES أو NO OBJECTION. المقصود أن يسير على Standards Track، لكنه لم يعتمد وليس RFC وقد يتغير نصه.

تعالج الفكرة تعرضاً واضحاً. قد يظل المفتاح المسروق مفيداً طويلاً حين تستمر الشهادة أشهراً أو سنوات. تقليص العمر إلى أيام أو ساعات يحد تلك النافذة. وإذا كان التجديد موثوقاً، فقد تقوم نهاية المدة بجزء من العمل الذي تتولاه قوائم الإبطال أو استعلامات الحالة المباشرة.

لكن سلطة الهوية الهاتفية ليست ساعة واحدة. يسند الرقم أو يفوض أو ينقل. تصدر Token Authority دليلاً يقدم في تحدي ACME، ولهذا الدليل نهاية مستقلة. ولحساب ACME والتحدي حالة، وللشهادة وقت إصدار ومدة، ولـ PASSporT وقت إنشاء، ويضيف عبور SIP زمناً، ثم تطبق الشبكة المستقبلة سياسة تحقق ومعالجة محلية.

اختصار ذلك كله في كلمة «حديث» يمحو مصدر الدليل. السجل الجيد يبين من راقب أي حقيقة، ومن أي مصدر، ولأي نطاق، وإلى أي وقت قبل أن يحتاج إلى قرار جديد.

تنتقل السلسلة إلى الإشارة

تختار المراجعة السادسة طريقاً محدداً للشهادة التي تقل مدتها عن أسبوع. يجب على خدمة المصادقة وضع السلسلة في عنصر JWS المسمى x5c، ويجب على خدمة التحقق دعمه. بذلك تصل مواد بناء المسار مع الادعاء الموقع، ولا يحتاج الطرف المستقبل إلى جلب الشهادة من x5u أثناء إنشاء المكالمة.

تحذف الجذور عادة لأن المتحقق يحتفظ بمراسي ثقته. ويمكن إرفاق x5u وx5c معاً للتوافق، بشرط أن يشيرا إلى السلسلة نفسها. يمنع هذا الشرط أن يقدم رابط خارجي والنسخة المحمولة تاريخين مختلفين للسلطة.

يزول فشل ويظهر آخر. لا تبقى عملية جلب متزامنة، لكن PASSporT وترويسة SIP Identity يكبران. قد تصطدم سلسلة طويلة أو قائمة تفويض واسعة بحدود حجم الترويسة أو بتجزئة UDP أو بإزالة وسيط للمادة. لا تفيد صحة التوقيع إذا لم يصل الدليل كاملاً إلى المتحقق.

وتتحرك حدود الخصوصية أيضاً. عدم سؤال خدمة حالة أثناء المكالمة قد يقلل كشف علاقات الاتصال لجهة خارجية. وحصر الشهادة في رقم واحد يقلل النطاق المكشوف. في المقابل تمر السلسلة داخل مسار الإشارة ويمكن أن يراها الوسطاء. تعتمد المحصلة على النطاق والنقل والتخزين المؤقت والمراقبين، لا على قصر المدة وحده.

قد تستند شهادة الساعة إلى دليل أطول

يستطيع من يسيطر على أرقام كثيرة طلب شهادة لكل الأرقام أو لبعضها أو لرقم واحد. وتعرض المسودة احتمال إصدار شهادة لكل مكالمة، لا تتضمن إلا رقم المنشأ وتنتهي بعد وقت قصير. هذا تقليل قوي للبيانات وللقوة التي يحملها الاعتماد.

لكنه لا يقول متى أعيد فحص الإسناد. يحدد RFC 9448 رمز Authority Token Challenge لإثبات سلطة الرقم أمام جهة التصديق. وتلاحظ المسودة الجديدة أن هذا الرمز قد يحمل نهاية بعيدة نسبياً كي لا يضطر العميل إلى العودة المستمرة إلى Token Authority. وهكذا يمكن لشهادة نهائية قصيرة جداً أن تعتمد على دليل سابق بعمر مختلف.

لا يعني ذلك وجود ثغرة في تنفيذ بعينه. قد تتابع الجهة تغيرات الأرقام سريعاً، وقد تفرض جهة التصديق عمراً أقصر للدليل، وقد يرفض المشغل عند ورود معلومة جديدة. الحد المهم هو أن notBefore وnotAfter لا يوثقان تلك الضوابط ولا يجوز أن يحلا محلها.

يجمع سجل القرار حالة إسناد الرقم ووقت مشاهدتها؛ مصدر رمز السلطة ونهايته؛ حساب ACME وتحديه؛ النطاق والمدة المطلوبين في CSR؛ رقم الشهادة وإصدارها ومدتها وTN Authorization List؛ حفظ المفتاح؛ وقت PASSporT؛ سلسلة x5c الفعلية؛ حجم SIP ومساره؛ سياسة المتحقق؛ النتيجة النهائية؛ وصاحب قرار الاستثناء.

التجديد المتكرر جزء من توافر المكالمة

تنقل المدة القصيرة العمل إلى جهة التوقيع. يتجنب المستقبل عملية جلب فورية، بينما يحتاج المنشئ إلى شهادات جديدة باستمرار. يصبح توافر جهة التصديق وACME وسلامة الحساب ودقة الساعة وحفظ المفتاح واعتمادية التجديد تبعيات تشغيلية للمكالمات الموثقة.

التجديد في اللحظة الأخيرة يحول تأخيراً عابراً إلى انقطاع. يلزم هامش يغطي تأخر جهة التصديق، وتوزيع مواعيد الأسطول، ومحاولات محدودة بتراجع زمني، وتداخل بين الشهادة القديمة والجديدة، وقاعدة صريحة لما يحدث إذا لم تصل التالية. يستطيع ACME STAR إصدار شهادات لاحقة مسبقاً، لكن جدوله ومسار تسليمه يظلان تحت المراقبة.

يجب فصل مقاييس الاكتساب والنقل والاستخدام. تراقب المدة المتبقية عند النجاح، وأسباب فشل التحدي، والوصول إلى جهة التصديق وToken Authority، واتساع النطاق غير المتوقع، وحجم السلسلة والترويسة، والتجزئة، ورفض الترويسة، وأخطاء التوقيع والمسار والانتهاء، والمعالجة الفعلية للمكالمة.

ليست أقصر مدة أكثر أماناً دائماً. هي تقلل زمن فائدة المفتاح المسروق، لكنها تقلل هامش التعافي وترفع عدد الإصدارات. يختار المشغل المدة وفق سرعة تغير الإسناد وقدرة التجديد وحدود SIP وتحمل الانقطاع.

التحقق لا يأمر الشبكة بما تفعل

يقدم STIR حكماً على توافق ادعاء الهوية مع قواعد التشفير والاعتماد. وتحتفظ شبكة الوجهة بسلطة إكمال المكالمة أو وسمها أو طلب تحقق إضافي أو تحويلها أو حجبها وفق أدلة والتزامات أخرى. الشهادة الصالحة ليست أمراً آلياً بالقبول، وفشل النقل ليس دليلاً آلياً على الانتحال.

قد يؤدي تعطل التجديد إلى شهادة منتهية، أو غياب الادعاء، أو حذف الترويسة في الطريق. لكل حالة سبب ومسؤول مختلف. تستطيع السياسة المحلية موازنة الاحتيال والتوافر والطوارئ وضرر المستخدم من دون تغيير النتيجة التشفيرية التي تمت ملاحظتها.

قيمة المسودة في ضيقها: تنسق مدة اعتماد وطريقة حمل سلسلته. تبقى مراسي الثقة وعمر دليل السلطة وهامش التجديد والنقل والخصوصية والمعالجة النهائية قرارات محلية. الدليل التشغيلي أهم من وصف الشهادة بأنها قصيرة.

المصادر