الخلاصة

  • أتاحت RFC 1446 لطرف SNMPv2 أن يغيّر سره قبل إنشاء الرد، فيحمي الرد بالقيمة الجديدة بينما لم تعتمد محطة الإدارة إلا القديمة بعد.
  • غياب الرد احتمل طلباً لم يصل، أو طلباً نُفّذ ورداً ضاع؛ ولم يكن ممكناً قراءة السر الخاص مباشرة لحسم الاحتمالين.
  • وفّرت قيمة عامة مميزة شاهداً مستقلاً، وألزمت المدير بالاحتفاظ بالسرين القديم والجديد حتى بعد إعادة التشغيل إلى أن تتصالح الحالتان.

تغيّرت الحالة قبل أن يصل دليلها

رتبت RFC 1446 تعديل سر قائم في خطوات. تولّد محطة الإدارة المسؤولة القيمة الجديدة وترسل setRequest محمياً. يعالج الطرف المستقبل الطلب ثم يرسل رداً. ولا تغيّر المحطة قاعدة بياناتها المحلية إلا بعد تلقي الرد.

عندما يغيّر الطرف سره هو، يكتب القيمة الجديدة قبل بناء الرد. لذلك يُنشأ الرد وفق السر الجديد. لكن محطة الإدارة لا تزال تتحقق بالقديم. من دون معاملة خاصة للفترة الانتقالية، يمكن أن ترفض رسالة صحيحة بوصفها غير أصيلة.

إرسال الأمر، وصوله، تثبيت السر، إنشاء الرد، وصول الرد وقبوله سجلات منفصلة. صحة ملخص الرسالة لا تجعلها واقعة واحدة.

للصمت نتيجتان متعارضتان

إذا لم يصل رد، فقد يكون الطلب ضاع وبقي الطرفان على السر القديم. وقد يكون الطلب وصل ونُفّذ، لكن رد الرجوع وحده ضاع؛ عندئذ يتقدم الوكيل إلى الجديد بينما يبقى المدير على القديم.

إعادة الطلب بالسر القديم قد تفشل لأن الطلب الأول نجح. ذلك الفشل اللاحق لا يثبت وحده هجوماً أو تعطل شبكة أو سقوط الوكيل.

ولا يمكن قراءة السر الخاص. إتاحته للاستعلام تناقض حمايته. حين أغلق التصميم سطح الملاحظة المباشر، احتاج إلى دليل عام لا يكشف السر.

يصنّف سجل RFC 1446 الوثيقة تاريخية. MD5 وDES خياران من 1993، وليسا إرشاداً للتطبيق اليوم. أما انفصال التثبيت البعيد عن معرفة المتحكم فهو مسألة ترتيب وأدلة.

علامة عامة تشهد لتغيير خاص

أوصت الوثيقة بكتابة قيمة عامة جديدة يمكن تمييزها مع تغيير السر. يتغير الحقل العام للمصادقة مع سر المصادقة، والحقل العام للخصوصية مع سر الخصوصية. إذا غاب الرد، يقرأ المدير تلك العلامة.

فصلت Party MIB في RFC 1447 الحقول الخاصة عن العامة، وأضافت ساعة الطرف وعمر الرسالة. لم تكن العلامة نسخة من المفتاح ولا وسيلة لاشتقاقه؛ كانت أثراً مقروءاً لمعاملة تمس حالة غير مقروءة.

دلالتها محدودة. تطابق العلامة يدعم أن الوجهة طبقت التغيير. لكنه لا يثبت أن المدير حدّث قاعدته، أو أن السر صمد بعد عطل، أو أن الطلب التالي مأذون، أو أن أثراً تشغيلياً تحقق.

كان على الاحتمالين أن يصمدا بعد إعادة التشغيل

من الإرسال إلى التأكيد، تحتفظ محطة الإدارة بالسر القديم والجديد. قد يطول التأخير بسبب فشل الشبكة، ولذلك طلبت RFC 1446 الاستعداد لحفظهما عبر إعادة التشغيل.

لا يجوز للمتحكم أن يحفظ المستقبل الذي يفضله فقط. حذف القديم مع طلب لم يصل يفقده الوصول. وحذف الجديد بعد تنفيذ الطلب وضياع الرد قد يفعل الشيء نفسه. الحالة المعلقة فرعان حقيقيان، لا بند واحد لإعادة المحاولة.

اشترط نموذج الاستعادة تمثيلاً غير متطاير وغير قابل للفساد لهوية الطرف وساعة المصادقة والمفاتيح الخاصة. ويجب أن تظل الساعة متزايدة بعد انقطاع الطاقة. تشغيل العملية مجدداً بلا هذه الحالة قد يرفض رسائل صحيحة زمنياً ويحتاج إلى تدخل المحطة المسؤولة.

إعادة التشغيل ليست مصالحة. يلزم جمع الهوية والزمن والسرين والعمر والعلامة في حقيقة مشتركة من جديد.

المصادقة لا تفرض ترتيب العمليات

استخدمت الوثيقة ملخصاً مع سر مشترك للأصل والسلامة، وساعة ومدة حياة للحد من التأخير وإعادة التشغيل الخبيثة. لكنها لم تمنع حذف الرسائل أو حجبها. كما حذرت من تفسير غياب رد موثّق دليلاً قاطعاً على فشل الوكيل أو الشبكة؛ فقد تضيع رسالة فشل المصادقة نفسها بسبب اختلاف الساعة أو السر.

ولم يفرض SNMP ترتيباً عاماً لرسائل تغيير الحالة. ينبغي انتظار إقرار إيجابي أو انتهاء صلاحية الرسالة قبل إرسال تعديل تال. قدم snmpSetSerialNo في RFC 1450 أداة منفصلة للترتيب، لا إثباتاً للاستدامة أو النتيجة.

وضع النموذج الإداري في RFC 1445 الاتصال داخل أطراف وسياقات وسياسات وصول. إثبات أصل الرسالة وسلامتها لا يمنح تفويضاً شاملاً ولا يثبت وقوع الأثر المطلوب.

بقي الشاهد في نموذج المستخدم اللاحق

لم يستمر نموذج الأطراف بوصفه الشكل النهائي. جرّبت RFC 1910 المستخدم وهوية الوكيل وعدّاد التشغيل والزمن وسياسة الوصول. ثم عرّفت RFC 2574 وRFC 3414 نموذج USM لـSNMPv3.

تغيّرت الهوية وطريقة اشتقاق المفتاح، لكن العلامة العامة بقيت. غيّرت كائنات KeyChange المفتاح غير المقروء بدالة أحادية، وحمى قفل دوار الكتابات المتزامنة، وحمل usmUserPublic قيمة عشوائية. عند غياب الرد تُقرأ القيمة لتحديد هل ضاع الطلب أم الرد.

لا تجعل هذه الاستمرارية تشفير 1993 مناسباً اليوم. إنها تثبت أن تغيير سر غير مقروء عبر قناة قد تفقد الرسائل يحتاج شاهداً مستقلاً عن الإقرار.

المصادر