الخلاصة

  • تدخل RFC 9709 ترميز DER الكامل لمعرّف الخوارزمية الداخلي، بما في ذلك المعلمات، مع مفتاح تشفير المحتوى الأصلي إلى HKDF.
  • لذلك فإن استبدال نمط مصادق عليه بـ CBC أو تغيير معلمة يشتق مفتاحاً آخر، بدلاً من إنشاء كاشف مفيد للنص الصريح.
  • تحمي الآلية السرية من هذا التحويل، لكنها لا تثبت هوية المرسل أو سلامة المحتوى أو صلاحية أي إجراء لاحق.

الهجوم على معنى النص المشفر

المسألة التي درسها فريق LAMPS لا تبدأ بسرقة المفتاح. يعترض طرف وسيط محتوى CMS محمياً بـ AES-GCM أو AES-CCM، ثم يعيد تقديم كتل مختارة كأنها محتوى AES-CBC. وإذا عالج النظام الحائز للمفتاح هذا الكائن المعدّل وكشف نتيجة أو خطأ أو سلوكاً، يستطيع المهاجم اختبار تخمينات تخص بيانات منظّمة منخفضة العشوائية.

ليس ذلك آلة عامة لفك كل رسالة. أوضحت شرائح اجتماع IETF 118 أن رسالة S/MIME قد تنتج بيانات مشوشة واضحة، وأن فحص الرأس قد يوقفها، وأن الأنظمة المعرضة فعلياً لم تكن معروفة. غير أن هذه عوائق تطبيقية وليست ضماناً تشفيرياً. قد تكشف معاينة أو أداة تحويل أو إيصال أو سير عمل آلي إشارة لا يكشفها عميل البريد.

تحول RFC 9709 الوصف إلى مدخل أمني. يعلن المتلقي الداعم id-alg-cek-hkdf-sha256 ضمن قدرات S/MIME من دون معلمات. وعند اختيار الحماية، يضع المرسل هذا المعرّف في contentEncryptionAlgorithm الخارجي. وتحمل معلمته الإلزامية AlgorithmIdentifier الداخلي الفعلي، أي خوارزمية المحتوى ومعلماتها.

يشتق الطرفان بعد ذلك مفتاح العمل CEK-prime باستخدام HKDF-SHA-256. يكون مفتاح CEK الأصلي مادة الإدخال السرية، وتكون العبارة ASCII الثابتة “The Cryptographic Message Syntax” هي الملح، ويكون ترميز DER الكامل للمعرّف الداخلي هو info: وسم التسلسل وطوله وOID والمعلمات المرمّزة. يساوي طول الخرج طول المفتاح الأصلي ضمن حد 8,160 بايت.

الدقة على مستوى البايت هي خاصية الحماية. فتغيير GCM إلى CBC أو تعديل متجه التهيئة أو أي معلمة يغير info، ومن ثم المفتاح. لا يعود النص المشفر المعدّ للمفتاح الأصلي اختباراً مفيداً تحت التفسير الذي اختاره المهاجم. وإذا حذف المعرّف الخارجي كلياً، يستخدم المتلقي CEK الأصلي بدلاً من CEK-prime؛ تصبح الرسالة غير متاحة، لكن النص الصريح لا ينكشف. إنها خسارة وصول لا خسارة سرية.

سبع حقائق بدلاً من نتيجة واحدة

ينبغي لسجل التشغيل أن يفصل بين: القدرة التي أعلنها المتلقي؛ المعرّف الخارجي الذي اختاره المرسل؛ الخوارزمية الداخلية ومعلماتها؛ بايتات DER الداخلة في الاشتقاق؛ نتيجة فك التشفير المصادق عليه والتحقق من البيانات المرتبطة؛ أي نص أو مخرج تحليل أو إشارة عبرت حدود الثقة؛ والسياسة التي سمحت بالتخزين أو العرض أو التنفيذ.

اختزال السلسلة في «نجح فك التشفير» يخفي الفرق بين عطل التوافق ومحاولة التلاعب. كما أن نجاح التحليل لا يثبت صاحب الرسالة. RFC 9709 آلية فصل مفاتيح، لا توقيع ولا نظام سمعة ولا فاحص محتوى ولا تفويض أعمال.

تشير الوثيقة أيضاً إلى أن سمة ملخص رسالة غير مشفرة قد تساعد في تأكيد تخمين للنص الصريح، وأن المحتوى المشفر غير المطلوب قد يتجاوز فلاتر البريد المزعج والتصيد. قد تفيد قائمة مرسلين معتمدين، لكنها تجيب عن سؤال القبول لا عن ربط الخوارزمية.

تنسيق محدود وتحقق محلي

تثبت البنية SHA-256 ولا تفاوض على قائمة دوال اشتقاق؛ وستحتاج دالة تجزئة مستقبلية إلى OID جديد. تبقى القاعدة المشتركة صغيرة وحتمية: التعرف إلى الغلاف، حفظ الترميز الداخلي كما هو، الاشتقاق، ثم المصادقة أو فك التشفير وفق الخوارزمية الداخلية.

لا تختفي متطلبات المفاتيح العادية. يجب توليد CEK عشوائياً وحمايته. تبقى RFC 5652 وRFC 5083 وRFC 5084 وRFC 5869 وRFC 8551 وRFC 4086 أسساً منفصلة. لا تصلح RFC 9709 مفتاحاً ضعيفاً أو جهازاً مخترقاً أو هوية مضللة.

وقت هذه المراجعة، لم يعرض بحث RFC Editor أي تصحيح مبلغ عنه للوثيقة، وسجلت IANA المعرّفات المخصصة. يثبت ذلك الحالة الرسمية، لا مدى الانتشار.

المصادر