تدقيق هيئة إصدار الشهادات ليس حكماً على إصدار شهادة

الخلاصة

• تفصل سياسة Mozilla الحالية بين إدارة مخزن الجذور وضمان الفترة وبين ممارسات التحقق اللازمة قبل إدراج معلومات المشترك في شهادة.
• لا تستعيد السياسة ولا مراجعة تغطي فترة طلباً محدداً أو ملاحظة تحقق أو قرار إصدار أو حالة إلغاء لاحقة أو نتيجة عميل بعينه.

تفيد Mozilla Root Store Policy 3.1، النافذة منذ 1 يوليو 2026، لأنها تضع حقائق صحيحة متجاورة من غير أن تجعلها بدائل بعضها لبعض. توزع Mozilla شهادات CA مع بتات ثقة لأغراض مختلفة. وتطلب مراجعات معينة قبل الإدراج ثم مرة كل عام على الأقل للجذور والوسطاء القادرين تقنياً ضمن النطاق. كما تطلب أن تُتحقق المعلومات التي يقدمها المشترك من مصدر مستقل أو قناة بديلة قبل وضعها في شهادة. ولشهادات TLS، يتعين على CA أن تتأكد من الإذن باستخدام أسماء النطاقات والسيطرة على عناوين IP بالطرق الموثقة.

كل عبارة لها قيمة؛ ولا تتحول أي منها تلقائياً إلى دليل على العبارة التالية.

للتدقيق حد ضمان: نظام مشمول، ومعايير، وفترة، ومنهج، وأدلة اختبرت، ونتائج، وقيود. تطلب السياسة تحديث معلومات تدقيق الفترة مرة واحدة كل عام على الأقل. وللفترات السنوية التي تبدأ في 1 يوليو 2027 أو بعده، تطلب أيضاً Detailed Controls Report من بعض CAs ذات بت ثقة المواقع. الغرض من التقرير هو بيان حدود النظام والضوابط والتنفيذ والاختبار والفعالية التشغيلية. إنه دليل حوكمة مهم، لا دفتر لكل طلب شهادة ولا برهاناً معاصراً لإصدار واحد.

ويظهر الفرق عند النظر إلى شهادة. فالرقم التسلسلي والمصدر ومدة الصلاحية وأسماء الموضوع البديلة تصف كائناً. لكنها لا تقول أي طلب وصل، أو أي نسخة إجراء كانت حاكمة، أو من أو ما التحكم الآلي الذي كان مخولاً، أو ما الذي رآه المصدر المستقل، أو هل بقيت الملاحظة ضمن نافذتها، أو لماذا ربط مفتاح بتلك الأسماء. لا تخلق رأي التدقيق هذه الوصلات الناقصة لمجرد أنه صادر عن مدقق مؤهل.

والاستبدال في الاتجاه المعاكس ضعيف كذلك. قد يثبت سجل الإصدار إنشاء كائن، لكنه لا يثبت أن بيئة الضوابط كلها عملت طوال فترة، أو أن كل مواقع التشغيل كانت ضمن النطاق، أو أنه لم يقع أمر لاحق، أو أن كل توزيع مشتق أبقى المعاملة نفسها للجذر. وتقول سياسة Mozilla إن موزعي البرمجيات المبنية على برمجياتها يمكنهم إضافة الشهادات أو حذفها أو تعديل بتات الثقة. لذلك تحكم السياسة المجموعة الافتراضية التي توزعها Mozilla، لا كل بناء محتمل.

والإصدار ليس قبولاً لاحقاً. تفصل وثائق NSS بين كتل الشهادة وكتل الثقة، وتصف الجذر بأنه شهادة مع إعدادات ثقة. ما زال على العميل بناء المسار وتقييمه وفق حالة برنامجه وظروفه المحلية. اسم المضيف والوقت والامتدادات وبناء السلسلة ومعلومات الإلغاء واستعمال التطبيق والخدمة المرصودة عند الاتصال أسئلة أخرى. لا يزعم ذلك فشل أي عميل؛ بل يحد ما تستطيع مراجعة أو ملف إصدار CA إثباته بلا دليل من جانب العميل.

الحل العملي هو إيصال دليل إصدار محدود. يحفظ تحت حماية معرّف الطلب، والأسماء المطلوبة وبصمة المفتاح، ونسخة القاعدة والإجراء، والفاعل المخول أو التحكم الآلي، وملاحظة المصدر المستقل أو القناة البديلة ونافذتها الزمنية؛ ثم الرقم التسلسلي والمصدر والصلاحية والامتدادات ذات الصلة ووقت الإصدار. ويجب حفظ الإلغاء اللاحق منفصلاً مع وقت الاستعلام وسياق الجواب. وتحفظ نتيجة العميل منفصلة أيضاً مع بناء العميل أو حد سياسته واسم المضيف والمسار والوقت، من غير جمع بيانات مستخدم لا لزوم لها.

هذا ليس طلباً لنشر دليل السيطرة على النطاق أو ملفات العملاء أو تفاصيل دفاعية. إنه طلب ألا تحل دعوى محل دعوى أخرى. يمكن فحص الأدلة الحساسة تحت سلطة ملائمة. وما يجب أن يبقى هو خريطة الوصلات: أي قرار دعم أي كائن، وفق أي قاعدة، وأي ملاحظة لاحقة يُستند إليها حقاً.

حدود الدليل

لا تسمي المصادر CA أو مشتركاً أو شهادة أو رأي تدقيق أو DCR أو حادثة أو واقعة لطرف معتمد. ولا تثبت مخالفة من أحد. الإيصال المقترح تحليل تحريري لا شرط لـ Mozilla أو CA/Browser Forum أو NSS أو RFC.

المصادر

1. Mozilla Root Store Policy 3.1
2. Mozilla NSS: Updating NSS’s Root Store
3. RFC 5280