الخلاصة

  • يضيف الإصدار 14 من مسودة STIR-OCSP امتداد TNQuery للتحقق من بقاء رقم محدد داخل نطاق صلاحية الشهادة.
  • الرد الموقّع يثبت حالة الشهادة وعلاقتها بالرقم في زمن معين، ولا يثبت هوية الشخص أو حسن نيته أو نتيجة المكالمة.
  • غياب الامتداد وحالة unknown وتقادم الرد وتعطل الخدمة أسباب مختلفة يجب حفظها قبل تطبيق سياسة الشبكة المحلية.

كلمة «صالحة» كانت أوسع من اللازم

يعرض OCSP التقليدي ثلاث نتائج للشهادة: good أو revoked أو unknown. لكن شهادة STIR المفوضة قد تغطي مجموعة متغيرة من أرقام الهاتف. وقد تبقى الشهادة نفسها صالحة بعد خروج رقم واحد من نطاقها.

لهذا يضع draft-ietf-stir-certificates-ocsp-14 الرقم، المأخوذ عادة من حقل orig في PASSporT، داخل طلب TNQuery. وإذا أعاد المجيب الرقم نفسه في الرد الموقّع، فهو يقول إن الشهادة ما زالت صالحة لذلك الرقم ضمن الحدود الزمنية للرد.

هذا دليل محدد لا تزكية عامة. فهو لا يرى من يحمل الهاتف، ولا يعرف إن كان صاحب الرقم وافق على المكالمة، ولا يختبر صدق الرسالة، ولا يجيز تحويل المال. ويجعل RFC 8224 نتيجة التحقق مدخلاً لعملية تفويض لاحقة تقع خارج نطاقه.

إذا حمل الطلب TNQuery ولم يحمله الرد، فلم يستطع المجيب تأكيد بقاء الرقم داخل النطاق. كما يفرض الملف معاملة unknown على أنه not good. لكن هذه ليست إدانة بالاحتيال. فتغير التفويض، وتأخر البيانات، وتعطل المجيب، وفشل سلسلة الشهادات، والانتحال الفعلي وقائع مختلفة. جمعها في خانة «محظور» يمحو الدليل الذي تحتاجه المراجعة.

التدبيس ينقل الإيصال ولا يوسع سلطته

يضيف الاستعلام المباشر زمناً إلى إعداد المكالمة. لذلك تعرف المسودة مطالبة stpl داخل PASSporT لحمل رد OCSP جرى تحضيره مسبقاً أو طلبه عند وصول المكالمة.

يوفر التدبيس رحلة شبكية، لكنه لا يحول حالة الشهادة إلى سمعة للمتصل. ما زال على جهة التحقق فحص التوقيع والزمن والرقم ومسار الشهادة ونطاق التفويض وPASSporT. وبعد ذلك فقط تقرر شبكة الاستقبال السماح أو التحذير أو طلب تحقق إضافي أو المنع.

إذا شملت الشهادة نطاقاً كبيراً فقد يلزم رد مسبق لكل رقم يمكنه إجراء مكالمة. وقد تكون كل الردود المخزنة صحيحة التوقيع مع بقاء المخزون ناقصاً. اكتمال التغطية وحداثة الرد والتوزيع وصحة التوقيع سجلات مستقلة.

الاستعلام يكشف علاقة اتصال

يرى مشغل OCSP رقم المتصل ويعرف أي خدمة تحقق تتعامل مع المكالمة. يحمي TLS من التنصت الخارجي، لكنه لا يخفي الطلب عن المجيب. يقلل التدبيس هذا الكشف، مقابل التزام بإدارة الانتهاء والتغطية.

هنا يظهر قرار الحوكمة: الاستعلام المباشر قد يكون أحدث لكنه يجمع بيانات اتصال أكثر؛ والرد المسبق قد يحمي الخصوصية لكنه يشيخ. توقيع سلطة الشهادات للرد لا يمنحها حق اختيار هذا التوازن نيابة عن شبكة الاستقبال.

لا تختصر عشرة إيصالات في ضوء أخضر

يجب حفظ رقم orig المرصود، والشهادة ومسارها، ونطاق أرقام الهاتف، وطلب OCSP، والرد الموقّع وأوقاته، وطريق الاستعلام أو التدبيس، ونتيجة التحقق، وإصدار السياسة وسببها، والإجراء المنفذ، والنتيجة المرصودة.

أقر IESG المسودة وأدخلها طابور محرر RFC، لكنها تظل Internet-Draft حتى النشر الرسمي. ولا يثبت هذا المسار اعتماد شركة اتصالات لها أو مطابقة منتج أو انخفاض المكالمات المزعجة.

المصادر