الخلاصة

  • يعرّف RFC 10031 الاسم id-on-MACAddress بقيمة دقيقة من ستة أو ثمانية ثمانيات لـ EUI-48 وEUI-64، ويضيف أقنعة لتقييد هذه الأسماء في مسار الشهادات.
  • نجاح المسار يثبت الربط الذي أجرته سلطة التصديق وفق تحققها. ولا يثبت أن العنوان دائم أو حصري أو عالمي، ولا أن الواجهة حاضرة، ولا أن صاحب المفتاح مخول بالفعل المطلوب.

اسم محدود بلا سيرة كاملة

يُحمل الاسم في GeneralName.otherName تحت المعرّف 1.3.6.1.5.5.7.8.12. يمثل EUI-48 بستة ثمانيات وEUI-64 بثمانية، من الأكثر أهمية إلى الأقل. أما العرض بالنقطتين أو الشرطات فمكانه واجهة الإدارة لا قيمة الشهادة.

تُجري الجهة المعتمدة مقارنة بايتية كاملة، ولا توجد محارف عامة. لذلك لا يعني الاسم «كل واجهات الهيكل» أو «أي جهاز من المصنع» أو «العنوان الذي يختاره النظام اليوم». إنه قيمة واحدة أصغر من الجهاز.

يلزم RFC سلطة التصديق بأن تضمن ملكية الجهاز للعنوان، أو توقع ملكيته له، طوال عمر الشهادة. ولا يجوز إدراج العنوان نفسه في شهادات أجهزة مختلفة إلا إذا كانت تشترك فعلاً في واجهة طبقة ثانية واحدة.

الاستثناء يكشف الحد. مشاركة الواجهة لا تجعل الآلات خلفها موضوعاً واحداً. وقد تُستبدل البطاقة أو يعاد تخصيص العنوان بينما تبقى التوقيعات والتواريخ صحيحة. لا بد أن يربط سجل الأصول الصيانة بالإبطال وإعادة الإصدار.

المفتاح والإطار دليلان مختلفان

يقول قسم الأمن إن قوة الربط لا تتجاوز قوة تحقق سلطة التصديق، وعليها احتساب إمكان انتحال عنوان MAC. تقلل العناوين الديناميكية والمشتركة من التفرد والمساءلة. كما لا ينبغي افتراض التفرد خارج الشبكة المحلية بلا دليل على ثبات العنوان عبر الحدود.

إثبات حيازة المفتاح يجيب عمن يسيطر على المفتاح الخاص. ويسجل المنفذ أو الارتباط اللاسلكي عنوان المصدر الذي ظهر في تلك اللحظة. قد يقلد مهاجم العنوان من دون المفتاح، وقد يستخدم صاحب المفتاح الصحيح واجهة أخرى أو عنواناً خاصاً. لا يكمل أحد الدليلين الآخر تلقائياً.

حتى الشهادة الموقعة ذاتياً لا تمنح الثقة. يشترط RFC أن تحمل عنوان منفذ مادي، لكن التوقيع الذاتي لا يخلق مرساة خارجية ولا دوراً تطبيقياً.

تغير العنوان قد يحمي المستخدم

توثق Apple عناوين Wi-Fi خاصة تختلف باختلاف الشبكة وتعمل في أوضاع الإيقاف والثبات والدوران. وتفعل Android عشوائية MAC افتراضياً في وضع العميل منذ Android 10، بقيمة unicast محلية تبقى عادة لكل SSID. الهدف منع المراقب من بناء تاريخ للحركة والموقع.

يعترف RFC 10031 بأن عنواناً ثابتاً داخل الشهادة يسهل تتبع الجهاز ومستخدمه على المدى الطويل؛ لذلك يدعو إلى دراسة التدوير أو الشهادات القصيرة أو العشوائية حيث تلائم.

ربط الشهادة بعنوان المصنع يحفظ علاقة بالواجهة المادية، لكنه قد يخالف ما يظهر على الرابط. وربطها بعنوان خاص يقترب من الشبكة الحالية، لكنه يعتمد على SSID وحالة النظام ودورة التغيير. يجب أن تحدد السياسة ما الذي يستمر، ومتى ينتهي هذا الاستمرار.

القناع يحد سلطة الإصدار

يتكون Name Constraint من نمط قيمة يليه قناع بالحجم نفسه؛ المجموع 12 ثمانية لـ EUI-48 و16 لـ EUI-64. ولا يجوز تثبيت بت في القيمة إذا لم يثبته القناع.

تتقاطع المجموعات المسموحة عبر مسار الشهادات، بينما تتحد المجموعات المستبعدة. وهكذا يمكن حصر سلطة فرعية في نطاق يشبه OUI أو في عناوين universal unicast. هذا ضبط فعلي لما تستطيع السلطة إصداره.

لكنه ليس إذناً للجهاز. قبول الاسم في المسار لا يسمح بدخول شبكة الإنتاج أو تشغيل آلة أو تغيير مسار أو توقيع برنامج. يحتاج ذلك إلى أصل معروف وحالة ودور ومستأجر وعمل محدد.

ولا يكفي بادئ OUI. يحذر RFC من أن بتات universal/unicast لا تثبت تسجيل البادئ. تميز IEEE بين OUI وCID وEUI المقصود أن يكون عالمياً وبين معرف محلي لا يضمن تفرده إلا مدير النطاق. يثبت السجل إدارة كتلة أرقام، لا المصنع الحالي أو المالك أو عهدة الأصل أو صلاحية العمل.

احتفظ باختلاف الأدلة

ينبغي حفظ مسار الشهادة وسياستها وإبطالها، وحيازة المفتاح، وبايتات MAC، ونتيجة القيود، وعنوان المصدر الحي، والمنفذ أو الارتباط، وواجهة سجل الأصول، ووضع الخصوصية، والحالة، والدور، وقرار العملية كلّاً على حدة.

لكل دليل ساعته: تنتهي الشهادة، ويتغير العنوان الخاص، وتستبدل البطاقة، وينتقل الأصل، وتقدم نتيجة الحالة، وتتبدل سياسة الوصول. اختلافها إشارة قرار، لا خلل يجب إخفاؤه تحت «جهاز موثوق» واحد.

قيمة RFC 10031 في رقته. يضيف اسماً وقواعد مسار كانت مفقودة في الطبقة الثانية، ولا يبني جواز جهاز عالمي. يمكن أن يبقى التبني طوعياً ومحلياً، وأن يثبت الكود الجاري سلوكه مع المشاركة والصيانة والعشوائية والتراجع قبل توسيع الولاية.

المصادر