ملخص

  • إن نظام RPKI العالمي ليس مبنيًا حرفيًا على مرساة ثقة عالمية واحدة. تستخدم برامج الأطراف المعتمدة بشكل شائع ملفات TAL لكل من AFRINIC وAPNIC وARIN وLACNIC وRIPE NCC. لكن مسار الشهادة الصالح لمورد معين ينتهي عادةً في سلطة واحدة مقبولة في كل مرة، لذا فإن تشغيل عدة محققين لا ينشئ عدة جهات إصدار مستقلة لذلك المورد.
  • تنوع المحققين مهم. يمكن لقواعد الأكواد المستقلة أن تحتوي على عيوب تحليل مختلفة، وفشل في سلامة الذاكرة، وسلوك نقل، واستراتيجيات تخزين مؤقت، ودورات إصدار مختلفة. تعمل المثيلات المنفصلة أيضًا على تقليل فرصة فشل عملية واحدة أو حدث صيانة يؤدي إلى إزالة جميع التغذية المعتمدة المتاحة للشبكة.
  • كل محقق مطابق لا يزال يقيم الكائنات الموقعة ضمن السلطة المقدمة من مراسي الثقة التي تم تكوينها. إذا قامت سلطة شهادات أصلية مقبولة بإلغاء شهادة فرعية، أو إزالة موارد منها، أو إصدار سلسلة منافسة، فمن المتوقع أن يتعرف المحققون على الحالة المشفرة الناتجة بدلاً من التصويت على ما إذا كانت السلطة الأصلية قد تصرفت بحكمة.
  • يمكن لتنوع المستودعات والنقل تحسين التوفر، لكن المرايا لا يمكنها تصنيع السلطة. تظل الشهادة أو الإلغاء الضار المنسوخ مثاليًا ضارًا، بينما لا يعد التصحيح غير الموقع من مرآة مستقلة بديلاً صالحًا.
  • التصويت بالأغلبية بين مخرجات المحققين ليس استئنافًا مؤسسيًا. يمكن لذاكرتين مؤقتتين قديمتين التغلب على ذاكرة مؤقتة حالية؛ يمكن أن يشترك تطبيقان في مكتبة أو تفسير؛ ويمكن أن يظهر تغيير حقيقي في السلطة أولاً كخلاف. يحتاج المشغلون إلى أدلة تشرح كل اختلاف، وليس مجرد عَدّ بسيط.
  • مرونة مرساة الثقة تنتمي إلى طبقة السلطة: حماية المفاتيح، والموافقة المقسمة، وخطط التدوير العامة، ومراحل المفاتيح الخلفية، والمراقبة المستقلة، وتغييرات الشهادات المحدودة، والقرارات المبررة، والاستئناف، وترتيبات الاستمرارية. RFC 9691 يجعل انتقالات مفاتيح مرساة الثقة المخطط لها أكثر أمانًا لكنه لا يحمي صراحةً من اختراق المفتاح الخاص لمرساة الثقة الحالية.
  • يمكن للاستثناءات المحلية مثل SLURM الحفاظ على استقلالية المشغل أثناء إجراء ضار، لكنها محلية ويمكن أن تجزئ آراء التحقق. إنها تحكم طارئ، وليست بديلاً عن سلطة عالمية أو علاجًا تلقائيًا لقرارات السجل المتنازع عليها.
  • يمكن لجمعية موارد الأرقام (Number Resource Society) أن تحمل حملات من أجل إيصالات مرساة الثقة، وأدلة مراسم المفاتيح، وإشعارات التغيير، وإجراءات الطعن، وتقارير مقارنة المحققين. تظل سلطات شهادات السجلات الإقليمية للإنترنت (RIR) والمشغلون التقنيون المعتمدون مسؤولين عن المفاتيح والشهادات والمستودعات؛ يجب على NRS ألا تسوق تنوع البرمجيات أو مناصرتها الخاصة كدليل على أن السلطة قد تمت لامركزتها.

التنوع يبدأ بعد اتخاذ القرار الأول بالفعل

لا يكتشف محقق RPKI السلطة من خلال فحص BGP واختيار المؤسسة التي يجدها مقنعة. يبدأ بمواد مرساة الثقة التي تم تكوينها بواسطة المشغل. يوفر محدد موقع مرساة الثقة (TAL) مواقع ومفتاحًا عامًا يُستخدم لاسترداد والتحقق من شهادة سلطة شهادات ذاتية التوقيع. من تلك النقطة البداية المقبولة، يتابع المحقق مسارات الشهادات، ويتحقق من امتدادات الموارد، والبيانات، وقوائم الإلغاء، والكائنات الموقعة، ويستخلص الحمولات الصالحة.

يمكن لمحققين مكتوبين بلغات مختلفة أداء هذا العمل بشكل مستقل. قد يرفض أحدهما ترميزًا مشوهًا يعالجه الآخر بشكل غير صحيح. قد يتعافى أحدهما من انقطاع المستودع بينما يتعطل الآخر. قد يكشف أحدهما عن بيان قديم بوضوح بينما ينتج الآخر خطأ أقل فائدة. هذه الاختلافات مهمة لأن محتوى المستودع هو إدخال غير موثوق به وسطح التحقق معقد.

لكن المحققين لا يقررون بشكل مستقل من هو المصدر النهائي. إذا تم تكوين كليهما بنفس مفتاح TAL العام، يقبل كليهما نفس مرساة الثقة كسلطة بداية للموارد الموصوفة في شهادتها. قد يختلفون حول ما إذا كان الكائن التابع صالحًا نحويًا أو تشفيريًا. إذا اتفقوا على المدخلات والمعايير، فلا ينبغي أن يختلفوا فقط لأن أحدهما يفضل الحائز والآخر يفضل سلطة الشهادات الأم.

وبالتالي فإن التركيز المؤسسي يسبق التنفيذ. يمكن للمحقق أن يثبت أن الكائن يتبع من الجذر المقبول بموجب قواعد محددة. لا يمكنه إثبات أن حوكمة الجذر عادلة، أو أن الإلغاء القسري متناسب، أو أن سجل الحائز في السجل يعكس كل مصلحة قانونية خاصة. التحقق التشفيري يجيب على سؤال أضيق.

لهذا السبب يمكن لخطة شراء تشتري ثلاثة منتجات محققة أن تبالغ في اللامركزية. إنها تنشئ ثلاثة شهود حسابيين لسلطة واحدة مهيئة. هذه مرونة مفيدة، لكنها ليست ثلاثة مصادر مستقلة لسلطة الشهادة.

خمس مراسي إقليمية لا تعطي كل بادئة خمسة أصوات مستقلة

تتضمن برامج الأطراف المعتمدة في الإنتاج عادةً محددات مواقع مراسي الثقة لسجلات الإنترنت الإقليمية الخمسة: AFRINIC وAPNIC وARIN وLACNIC وRIPE NCC. يقول RFC 8897 إن كل طرف معتمد يختار مراسي الثقة الخاصة به ويحدد IANA وسجلات RIR الخمسة كمرشحين افتراضيين واضحين متوافقين مع هرم تخصيص موارد الأرقام. تُظهر وثائق Routinator وFORT مراسي TAL الخمسة في التكوين العادي.

هذا الهيكل أكثر توزيعًا من جذر عالمي واحد يديره منظمة واحدة. لا يحتاج الفشل المحصور في شجرة إقليمية واحدة إلى إبطال الموارد المعتمدة حصريًا تحت أخرى. تختلف أيضًا المجتمعات الإقليمية والعقود والحوكمة. أي تحليل يقول إن RPKI بأكمله لديه مرساة ثقة حرفية واحدة سيكون خاطئًا.

يظهر التركيز مرة أخرى عندما تصبح وحدة التحليل موردًا. توجد البادئة عادةً داخل مسار شهادة ينحدر من مرساة الثقة التي تغطي تخصيصها. لا يمكن لحائزها أن يطلب من ثلاثة جذور RIR غير مرتبطة إصدار ثلاث شهادات متساوية الصلاحية لمجرد أن المشغل يدير ثلاثة محققين. أثناء انتقال مشروع بين المناطق، قد تتغير المسارات مؤقتًا أو تتداخل، لكن هذا استثناء خاضع للرقابة وليس تصويتًا روتينيًا متعدد الجذور.

لذلك يعمل تعدد البرامج أفقيًا على طبقة الأطراف المعتمدة، بينما يتم تنظيم سلطة الشهادة عموديًا. يمكن للعديد من المحققين اجتياز شجرة APNIC، على سبيل المثال، لكنهم لا يحولون قرار جذر APNIC إلى خمسة قرارات إقليمية. إذا انتقل مورد إلى منطقة أخرى، يتغير مسار السلطة من خلال ترتيبات النقل؛ لا يتسبب عدد المحققين في النقل.

يسمح التمييز ببيان مخاطر أكثر دقة. النظام العالمي لديه فصل إقليمي. داخل المسار النشط لمورد، مع ذلك، يمكن للسلطة الأم أن تؤثر على كل كائن تابع يعتمد عليها. يمكن أن يؤدي إلغاء شهادة سلطة الشهادات إلى جعل الأطراف المعتمدة تبطل الكائنات الموقعة التابعة. قد يؤكد المحققون المستقلون هذه النتيجة باتساق يُحسد عليه. اتفاقهم يظهر إذن سلطة مركزية تعمل كما صُممت، وليس سلطة موزعة.

تنوع البرمجيات هو تحكم حقيقي ولا ينبغي التقليل من شأنه

الحجة ضد المبالغة ليست حجة للزراعة الأحادية. تعالج الأطراف المعتمدة لـ RPKI الشهادات وقوائم الإلغاء والبيانات وROAs وكائنات موقعة أخرى مستردة من العديد من نقاط النشر. تتعامل مع ASN.1 والتوقيعات التشفيرية واكتشاف URI وRRDP وrsync وحالة التخزين المؤقت وانتهاء صلاحية الكائن وظروف النشر الاستثنائية. يمكن للخلل أن يفسد المخرجات أو يستهلك الموارد أو يجعل البيانات الصالحة غير متاحة للموجهات.

التنفيذات المستقلة تقلل من فشل البرمجيات المشترك عندما تكون استقلاليتها حقيقية. rpki-client تم تطويره في نظام OpenBSD ويؤكد على قاعدة أكواد صغيرة وفصل الامتيازات والوصول المقيد للعملية. Routinator هو تطبيق Rust مع تصميم الاسترجاع والتخزين والتحقق الخاص به. FORT هو طرف معتمد مفتوح المصدر آخر مع ضوابط تشغيلية منفصلة. أكوادها ومسارات إصدارها وافتراضاتها الأمنية ليست متطابقة.

لقد أظهر النظام البيئي بالفعل أن الرعاية البرمجية يمكن أن تتغير. في عام 2021، أنهى RIPE NCC الدعم لمحققه ونصح المشغلين بالانتقال إلى بدائل بدلاً من الاستمرار في استخدام كود غير مدعوم. لم يضعف القرار سلطة RPKI؛ لقد اعترف بأن برامج الأطراف المعتمدة يمكن ويجب أن يتم توفيرها بواسطة نظام بيئي مستقل.

تكتسب الشبكات العديد من الحمايات من استخدام أكثر من تطبيق واحد مدعوم. لا يحتاج خلل تحليل حاسم إلى إزالة كل تغذية. يمكن مقارنة حالة حافة المستودع. يمكن اختبار ميزة معايير جديدة قبل أن تصبح مصدر الإنتاج الوحيد. يمكن الصيانة دون التشغيل الأعمى. قد يكشف التليمتري المختلف عن خطأ يخفيه واجهة واحدة.

هذه الفوائد تبرر الجهد الهندسي. الخطأ هو استخدامها كدليل على اقتراح مختلف: أن سلطة الشهادة والسجل قد تمت لامركزتها. لا يقوم باب الحريق بتنويع مالك المبنى. إنه يجعل المبنى أكثر أمانًا تحت فئة من الإخفاقات. يجب الدفاع عن تنوع المحققين بشروط دقيقة بنفس القدر.

مدخل الثقة المشترك يحدد حدود الحكم المستقل

يجعل RFC 8630 قرار الثقة مرئيًا بشكل غير عادي. يحتوي TAL على موقع واحد أو أكثر ومعلومات المفتاح العام. يسترد الطرف المعتمد شهادة سلطة شهادات ذاتية التوقيع، ويتحقق من تطابق مفتاحها العام، ويقرر ما إذا كان على استعداد لقبول هذا الكيان كمرساة ثقة للموارد الموصوفة في الشهادة. بمجرد قبولها، فإن المرساة ليست مجرد مصدر بيانات آخر. إنها الأساس الذي تصبح من خلاله التصديقات التابعة صالحة.

توضح RFC أيضًا شدة التسوية. يمكن للمهاجم الذي يمتلك المفتاح الخاص لمرساة الثقة أن يتنكر كسلطة. الاعتماد على مرساة ثقة غير مناسبة أو غير صحيحة يمكن أن يكون له عواقب وخيمة مماثلة. يمكن للمُصدر تغيير مجموعة الموارد في شهادته دون إعادة توزيع مفتاح TAL، وهي مرونة مطلوبة لأن الممتلكات الإقليمية للموارد تتغير. هذا التصميم يعني أن الطرف المعتمد يضع ثقة كبيرة في ضبط النفس لدى المُصدر.

المحققون المتعددون الذين يستخدمون نفس TAL لا يتخذون خيارات ثقة منفصلة ما لم يقم مشغلوهم بتكوينها بشكل مختلف عمدًا. يمكن أن تجعل TALs المضمنة الخيار غير مرئي تقريبًا: التثبيت ينتج افتراضيًا مفيدًا، وكل تطبيق يبدأ من نفس المفاتيح الإقليمية. الراحة مرغوبة للتبني، لكن لا ينبغي الخلط بينها وبين علاقة ثقة تم التفاوض عليها بشكل مستقل.

كما أن استرداد شهادة مرساة الثقة من عناوين URL متعددة لا يخلق سلطات متعددة. يسمح RFC 8630 بعدة مواقع لتحسين الاسترجاع. يتم فحص كل موقع مقابل نفس المفتاح العام. يمكن للمرآة إبقاء الشهادة متاحة؛ لا يمكنها توقيع حالة سلطة مختلفة دون المفتاح الخاص الموثوق.

يمنح هذا الحد المشغلين سؤال جرد عملي. لكل مثيل محقق، ما هي مفاتيح TAL التي تم تكوينها، وكيف تم الحصول عليها، ومن يمكنه تحديثها، وأي حزمة برامج يمكنها تغييرها أثناء الترقية؟ إذا تلقت ثلاثة مثيلات تغييرات TAL من خلال قناة حزم واحدة غير مراقبة، فإن استقلاليتها الظاهرية تتضمن تبعية تمهيدية مشتركة. قد تختلف قواعد الأكواد بينما يظل التكوين الجذري مركزًا تشغيليًا.

لا يمكن للمحقق تجاوز إجراء ضار صالح لمجرد أنه ضار

يحلل RFC 8211 الإجراءات التي تتخذها سلطات الشهادات ومديري المستودعات والتي يمكن أن تضر بحائز المورد. قد يكون السبب هجومًا أو خطأ أو إجراء سياسي أو إكراهًا قانونيًا. يمكن للأصل إلغاء شهادة سلطة شهادات، مما يؤدي إلى معاملة الأطراف المعتمدة للكائنات الموقعة التابعة على أنها غير صالحة. يمكن أيضًا لـ ROA منافس أو مجموعة موارد متغيرة تغيير نتائج التوجيه.

من منظور الحائز، قد يكون التأثير شديدًا. من منظور المحقق، المهمة لا تزال هي معالجة حالة الشهادة المقبولة بشكل صحيح. إذا ظهر إلغاء حالي موقّع بشكل صحيح تحت السلسلة المهيأة واستوفى قواعد التحقق، فإن المحقق غير مخول بتجاهله لأن بيانًا عامًا يدعي الظلم. القيام بذلك سيحول كل صيانة برامج إلى سجل استئناف.

تشغيل تطبيق آخر لا يغير هذا التقسيم. يجب أن تتقارب التطبيقات الصحيحة على تأثير الإجراء الأصلي الصحيح. يمكن للتنوع أن يكشف أن أحد المحققين فشل في جلب الإلغاء الجديد أو أساء التعامل مع البيان. لا يمكنه إثبات أن الأصل يفتقر إلى السلطة التعاقدية أو القانونية. هذا الحكم يحتاج إلى أدلة ومنتدى خارج منطق المحلل.

هذه هي أبرز صيغة لادعاء العنوان. مرساة الثقة المفردة ليست بالضرورة منظمة واحدة للإنترنت بأكمله؛ إنها السلطة المقبولة المفردة في أعلى المسار ذي الصلة. إذا تصرفت تلك السلطة أو أصل قوي بشكل ضار، فإن تعدد المحققين يمكن أن يجعل العواقب أكثر وضوحًا بشكل موثوق. لا يمكن أن يعالج علاقة السلطة التي أنتجتها.

يجب أن يعمل العلاج على طبقة السلطة: الموافقة المقسمة لتغييرات الشهادات الاستثنائية، والإشعار حيثما أمكن، والأسباب الدقيقة، والمراجعة المستقلة، والاستئناف، وتدابير الاستمرارية، وطريقة لتصحيح الأخطاء دون مسح التاريخ. الكشف التقني يدعم هذه الضوابط. لا يحل محلها.

الاتفاق بين المحققين هو دليل على الحساب، وليس الموافقة المؤسسية

غالبًا ما يقارن المشغلون مخرجات العديد من المحققين. يمكن للممارسة تحديد خلل في التنفيذ أو ذاكرة مؤقتة قديمة، لكن المقارنة تحتاج إلى نظرية حول معنى الاتفاق. ثلاث قوائم حمولات صالحة متطابقة تظهر أن المثيلات أنتجت نفس النتيجة من وجهات نظرها الحالية. لا تظهر أن ثلاثة سجلات وافقت على الشهادات الأساسية أو أن الحائزين المتأثرين وافقوا.

يشبه التمييز الحساب المكرر. تزيد الآلات الحاسبة المستقلة الثقة من أنه تم حساب المجموع بشكل صحيح. لا تقدم دليلاً مستقلاً على أن الفاتورة صدرت بشكل قانوني. يمكن لمحققي RPKI تأكيد صحة المسار والكائن. تحدد سلطة الشهادة وعملية التسجيل أي البيانات تدخل ذلك المسار.

حتى الاتفاق الحسابي له حدود. قد تشترك المثيلات في مكتبة تشفير، أو مكون نظام تشغيل، أو ذاكرة تخزين مؤقت للمستودع، أو حزمة TAL، أو مسار شبكة، أو جدول تحديث. يمكن لمنتجين ذوي علامات تجارية أن يرثوا نفس تبعية التحليل. يمكن لثلاثة خوادم الاستعلام عن مرآة محلية واحدة. يجب تقييم التنوع حسب مجال الفشل بدلاً من عدد المنتجات.

الخلاف غامض أيضًا. قد يكون مثيل واحد قديمًا، وقد يطبق مثيل واحد RFC أحدث، وقد يرفض مثيل واحد محتوى مشوهًا، وقد يكون مثيل واحد قد جلب إلغاءً حاليًا أولاً. يمكن أن تكون الأقلية صحيحة. غالبًا ما ينتج تغيير السلطة الصحيح الجديد خلافًا مؤقتًا مع تحديث التخزين المؤقت. قاعدة الأغلبية التي تختار المخرجات الأكثر شيوعًا يمكن أن تحافظ على السلطة القديمة تحديدًا عندما يكون التعرف السريع على الإلغاء مطلوبًا.

لهذه الأسباب، يجب أن تحتفظ المقارنة بالتفسير. يجب أن يظهر التقرير البرنامج والإصدار ومعرف مفتاح TAL والأرقام التسلسلية للمستودع أو أوقات الجلب وحالة البيان وأخطاء التحقق واختلافات المخرجات. يمكن للمشغلين بعد ذلك تحديد ما إذا كان السبب هو الكود أو الاسترجاع أو التكوين أو السلطة المنبع. الإجماع بدون مصدر هو إشارة سلامة ضعيفة.

التصويت بالأغلبية خطير بشكل خاص في لحظة التغيير المشروع

تخيل ثلاثة محققين يخدمون شبكة واحدة. اثنان لم يكملا جلبًا ناجحًا منذ قبل إلغاء الشهادة. أحدهما لديه حالة مستودع حالية ويزيل الحمولة المتأثرة. سياسة بسيطة من اثنين من ثلاثة ستبقي السلطة الملغاة لأن الرأي القديم لديه أصوات أكثر. التكرار المصمم لتحسين السلامة سيؤخر إجراء أمني مشروعًا.

اعكس الحقائق. اثنان يقبلان حالة مشوهة أو معاد تشغيلها لأنهما يشتركان في خلل، بينما يرفضها تطبيق أكثر صرامة. التصويت بالأغلبية يختار النتيجة الخاطئة مرة أخرى. لا يمكن للعدد أن يحل محل التشخيص السببي عندما لا تكون المثيلات مستقلة إحصائيًا ولم يتم تصميم النظام كبروتوكول إجماع بيزنطي.

تصميم إنتاجي أفضل يستخدم التنوع للتنبيه، والتجاوز، والمقارنة المحدودة. يمكن للموجهات تلقي التغذية من ذاكرات تخزين مؤقت مشغلة بشكل مستقل وفقًا لقدرات البائع والهندسة المحلية. يمكن للشبكة تحديد أي مثيل هو المرجعي للخدمة العادية، ومتى يتولى آخر بعد فشل العملية، ومتى يوقف الخلاف تغييرًا آليًا أو يطلق مراجعة. يجب أن تميز سياسة السلامة بين غياب البيانات الجديدة والإزالة المعتمدة.

يمكن أن يعتمد الرد أيضًا على النطاق. لا ينبغي أن يتطلب الاختلاف الذي يؤثر على بادئة واحدة التخلي عن جميع الحمولات الصالحة. يختلف انقطاع المحقق الكامل عن كائن متنازع عليه. يختلف فشل جلب مرساة الثقة عن تغيير مصادق عليه تحت تلك المرساة. التليمتري الدقيق يمنع طبقة التكرار من تسوية كل استثناء في تصويت.

لا يوجد نصاب عالمي يجعل هذه القرارات صحيحة لكل شبكة. تختلف تكاملات الموجه، وتفاوت المخاطر، وفترات التحديث. يجب على المشغلين نشر المنطق الذي يستخدمونه داخليًا واختباره ضد تغيير الحالة الحالية، وأغلبية ذاكرة التخزين المؤقت القديمة، وخلاف الكائن المشوه، وفقدان التغذية الكلي. يصبح تنوع المحققين تحكمًا فقط عندما يكون سلوك الاختيار مصممًا بعناية مثل المثيلات.

تنوع المستودعات يحمي التوفر، وليس القدرة على التصديق

نظام مستودعات RPKI موزع. يمكن لسلطات الشهادات الفرعية النشر في نقاط مختلفة، ويمكن لـ RRDP أو rsync جعل المنتجات الموقعة متاحة للأطراف المعتمدة. المواقع المتعددة، وتوزيع المحتوى، والحالة الصالحة المخزنة مؤقتًا تقلل من فرصة أن يؤدي انقطاع خادم واحد إلى إزالة جميع البيانات على الفور. إنها ضوابط توفر أساسية.

تسمح الكائنات الموقعة أيضًا للمحققين بمعاملة نقل المستودع على أنه غير موثوق. لا يمكن للمرآة تغيير ROA بصمت مع الاحتفاظ بتوقيع صالح. تساعد البيانات ومعلومات الإلغاء الأطراف المعتمدة في اكتشاف المحتوى المفقود أو القديم أو المستبدل. هذه قوة في الهندسة المعمارية: التوزيع لا يتطلب أن يكون كل خادم تسليم سلطة.

نفس الخاصية تحدد الحد. لا يمكن للمرآة إصدار ROA المفقود للحائز، أو استعادة شهادة ألغتها سلطة أصلية بشكل صحيح، أو تصحيح مجموعة موارد خاطئة بدون توقيعات مخولة. يمكن لعشرة مستودعات نسخ نفس الحالة الضارة الحالية. استقلاليتها يجعل الحالة أصعب في القمع، وليس أقل سلطة.

يمكن لمديري المستودعات أنفسهم التصرف بشكل ضار أو الفشل. ينظر RFC 8211 في هذه الحالات لأن القمع أو الاستبدال يمكن أن يؤثر على ما تتحقق منه الأطراف المعتمدة. يمكن أن يساعد تنوع المحققين في تحديد نتائج استرجاع مختلفة، ويمكن لتنوع المستودعات توفير وصول بديل. لكن إذا كانت سلطة الشهادات ذات الصلة تتحكم في البيان الرسمي وحالة الإلغاء، فإن التوزيع لا ينشئ فحصًا مؤسسيًا منفصلًا على قراراتها الموقعة.

الاستجابة للحوكمة هي إقران التوفر بالمساءلة. يجب أن تكون خدمات النشر منفصلة تشغيليًا حيثما كان مفيدًا، ويجب أن تنتج التغييرات إيصالات قابلة للتحقق، ويجب على المراقبين المستقلين أرشفة التجزئات والأوقات. يجب الإبلاغ عن الكائن المفقود والحالة القديمة والإلغاء المعتمد كأحداث مختلفة. يمكن للأرشيف إظهار ما تغير ومتى؛ لا يمكنه إنشاء سلطة بديلة من جانب واحد.

لذلك يجب أن تذكر ادعاءات المرونة الطبقة. النشر متعدد المواقع يحسن مرونة التسليم. المحققون المستقلون يحسنون مرونة المعالجة. تشغيل سلطة الشهادات المحمي والمقسم يحسن مرونة الإصدار. المراجعة والاستئناف يحسنان مرونة الحوكمة. تسمية الأربعة باللامركزية يحجب أي فشل يسيطر عليه كل منها بالفعل.

تدوير مرساة الثقة يحل الاستمرارية فقط إذا ظلت السلطة جديرة بالثقة

يجب أن تتغير مفاتيح مرساة الثقة طويلة العمر في النهاية. تتقدم الأجهزة في العمر، وتتطور الخوارزميات، وتتحسن الممارسات التشغيلية، ويمكن أن يتطلب الاختراق المشتبه به الاستبدال. التدوير محفوف بالمخاطر لأن الأطراف المعتمدة تبدأ من مواد المفاتيح التي تم تكوينها بالفعل خارج النطاق. تغيير مفاجئ جدًا يمكن أن يفقد أجزاء من نظام التحقق الشجرة.

يقدم RFC 9691 كائن مفتاح مرساة الثقة الذي يمكنه الإشارة إلى المفاتيح العامة الحالية واللاحقة ومواقع شهاداتها. يستخدم فترة قبول وملاحظة متكررة حتى تتمكن الأطراف المعتمدة من مراحل الخلف قبل التبديل. الإجراء يجعل التدوير المخطط له أكثر انتظامًا ويعطي المشغلين دليلاً على أن مادة الخلف ظلت مستقرة.

هذا تحسين مادي لطبقة السلطة. يعترف بأن انتقال المفتاح الجذري لا يمكن تفويضه إلى استرجاع الكائن العادي بدون ضمانات. كما أنه يدعم البرامج المستقلة لأن الأطراف المعتمدة المختلفة يمكنها تنفيذ أو مراقبة نفس التغيير المرحلي.

يظل حدود الأمان صريحًا. يقول RFC 9691 إن الآلية لا تحمي من اختراق المفتاح الخاص لمرساة الثقة الحالية أو اللاحقة. المهاجم الذي يتحكم في المفتاح الحالي يمتلك بالفعل السلطة اللازمة لتوجيه انتقال ضار. المحققون المتعددون الذين يعالجون الانتقال الموقع بأمانة لن يحيدوا تلك السيطرة.

وبالتالي فإن تدوير المفاتيح يحتاج إلى ضوابط مؤسسية حول الآلية التقنية. يجب أن يستخدم توليد الخلف مرافق محمية وموافقة مقسمة. يجب أن يحصل الجمهور على إشعار مسبق، وبصمات المفاتيح الحالية واللاحقة من خلال قنوات مستقلة، والتواريخ المتوقعة، وجهات اتصال الاسترداد. يجب على مطوري الأطراف المعتمدة اختبار الدعم. يجب على المراقبين مقارنة نتائج التحقق تحت كلا المفتاحين بينما يُتوقع التكافؤ. يجب توثيق تدمير أو تقاعد المفتاح الخاص القديم بعد الانتقال.

الدرس أوسع من التدوير. يمكن للإجراء التشفيري أن يجعل تغيير السلطة آمنًا ضد الانقطاع العرضي مع ترك تركيز السلطة سليمًا. تسأل الحوكمة الجيدة عما إذا كان الانتقال صحيحًا وما إذا كان الأشخاص والقواعد والأدلة التي تتحكم فيه مقيدة بشكل كافٍ.

يجب أن تفصل حيازة المفاتيح بين الحيازة والموافقة والملاحظة

المفتاح الخاص لمرساة الثقة قوي بما يكفي بحيث لا ينبغي لأي مسؤول روتيني أن يكون قادرًا على استخدامه بمفرده وبشكل غير مرئي. يمكن للحيازة التقنية وضع المفاتيح في أجهزة محمية، وتقييد التصدير، وتتطلب مشاركين مصرح لهم متعددين للعمليات الحساسة. يمكن للحيازة التنظيمية فصل الأشخاص الذين يقترحون التغيير، والموافقة عليه، وإجراء المراسم، ومراجعة النتيجة.

هذه الضوابط لا تنشئ جذرًا آخر، لكنها تقلل من خطر أن حسابًا مخترقًا واحدًا أو شخصًا من الداخل يمكنه ممارسة السلطة الجذرية. كما أنها تخلق أدلة للمراجعة اللاحقة. يجب ربط إصدار الشهادة، أو تغيير مجموعة الموارد، أو التدوير بحدث معتمد، ومدخلات دقيقة، ومشاركين، ومخرجات مولدة، وملاحظات نشر مستقلة.

يجب أن تكون الموافقة المحددة جوهرية. قد تبدو ثلاث موافقات من خط تقارير واحد باستخدام خدمة هوية واحدة مخترقة موزعة بينما تشترك في مجال فشل. يجب أن يمثل المشاركون مسؤوليات متميزة، ويجب أن يكون الوصول الطارئ أضيق وأكثر وضوحًا من الوصول العادي. يجب ألا تتجاوز مواد الاسترداد بصمت نفس الضوابط المفروضة على المفتاح النشط.

لا يمكن للجمهور فحص مواد المفاتيح السرية، ولا ينبغي له ذلك. يمكنه فحص أدلة الحوكمة: بيانات ممارسات الشهادات الحالية، ومعرفات المفاتيح، وجداول المراسم، ونطاق التدقيق، وأعداد الإجراءات الاستثنائية، والنتائج المادية، والتصحيحات. يمكن لحائزي الموارد تلقي أدلة أكثر تفصيلاً عند تغيير شهاداتهم. يمكن للمحاكم والسلطات المختصة الوصول إلى السجلات المحمية بموجب الإجراءات المعمول بها.

تنوع المحققين يكمل هذا الهيكل. يمكن للتطبيقات والمراقبين المستقلين تأكيد أن التأثيرات المنشورة تتطابق مع مخرجات المراسم وأنه لا تظهر حالة تابعة غير متوقعة. يظلون مراقبين للسلطة، وليسوا بديلاً عن الحيازة المقسمة. أقوى تصميم يربط كليهما: الإصدار المقيد ينتج تغييرات قابلة للتدقيق، والأطراف المعتمدة المتنوعة تتحقق من أن تلك التغييرات تنتشر كما هو مقصود.

يجب أن تكون سلطة السجل قابلة للمراجعة لأن الشهادة تتبع التسجيل

تعكس شهادات موارد RPKI هرم تخصيص موارد الأرقام واعتراف المؤسسة المصدرة بالسلطة. إذا تغير التسجيل الأساسي، يمكن أن يتغير مسار الشهادة. يمكن للمفتاح المؤمن بشكل مثالي أن ينفذ قرار سجل غير صحيح أو واسع أو متنازع عليه. حماية المفاتيح تعالج الاستخدام غير المصرح به؛ لا تضمن سياسة سليمة أو الفصل في المنازعات.

لذلك يجب أن تبدأ الضوابط المؤسسية قبل التوقيع. يجب أن تكون سلطة إزالة الموارد من الشهادة صريحة. الإعادة الروتينية، والنقل المعتمد، وإنهاء العقد، وتصحيح الاحتيال، والأمر القضائي، والاستجابة الأمنية الطارئة هي أسباب مختلفة. يجب أن يكون لكل منها أدلة، وحقوق قرار، وقواعد إشعار حيثما قانوني، ونطاق، ووقت فعال، ومراجعة.

يحتاج الحائز الذي يطعن في القرار إلى منتدى قادر على فحص أساس التسجيل، وليس مجرد تأكيد أن توقيع سلطة الشهادات صالح. يجب أن تكون المراجعة مستقلة عن الموظف أو الهيئة التي اتخذت القرار الأولي. قد تحافظ تدابير الاستمرارية العاجلة على التوجيه أثناء النظر في النزاع، لكن لا ينبغي لها إعادة كتابة حالة الحائز النهائية بصمت.

يجب أن يحمل النشر رموز سبب أو إشعارات عامة مرتبطة على مستوى يساعد المساءلة دون الكشف عن أدلة محمية. لا يحتاج المحقق إلى ملفات القضية الخاصة لمعالجة الإلغاء. يحتاج المشغل والحائز المتأثر إلى معرفة ما إذا كان التغيير مجدولاً أو تصحيحيًا أو متعلقًا بالأمن أو مقيدًا قانونيًا حتى يتمكنوا من طلب العلاج المناسب.

هنا تدخل الشرعية المؤسسية في أمن التوجيه. كلما زاد اعتماد الشبكات على التحقق من المصدر، زادت أهمية قرارات التسجيل والشهادة المنبع. يجب أن يقابل الإنفاذ التقني المتزايد إجراءات قانونية أقوى، وليس الادعاء بأن كود المحقق المستقل قد فرق السلطة بالفعل.

الاستثناءات المحلية تحافظ على الاستقلالية لكنها يمكن أن تجزئ الإشارة المشتركة

يحدد RFC 8416 إدارة مبسطة لموارد أرقام الإنترنت المحلية مع RPKI. يسمح للمشغل بتصفية أو إضافة تأكيدات في عرضه المحلي، بما في ذلك كحماية من الإجراءات الضارة أثناء معالجتها. هذا اعتراف صريح بأن الأطراف المعتمدة قد تحتاج إلى استقلالية محدودة من الحالة المنشورة العالمية.

يمكن أن تكون SLURM قيمة أثناء خطأ واضح. الشبكة التي لديها دليل مباشر موثوق يمكنها الحفاظ على إمكانية الوصول لنفسها ولعملائها بينما تصحح سلطة الشهادات إلغاءً عرضيًا. يمكن مراجعة التأكيد المحلي وانتهاء صلاحيته وإزالته دون التظاهر بأن RPKI العالمية تحتوي بالفعل على التصحيح.

التحكم ليس علاجًا عالميًا. لا يغير الاستثناء المحلي ما يتحقق منه المشغلون الآخرون. إذا أنشأت العديد من الشبكات تجاوزات مختلفة، فإن المعنى المشترك لنتائج RPKI يتجزأ. يمكن للمشغل الخبيث أو المهمل أيضًا استخدام الإضافات المحلية لتفويض مسارات لا يسمح بها التسلسل الهرمي العالمي. آلية الاستثناء تنقل المسؤولية إلى الشبكة المحلية.

تنوع المحققين لا يحل مسألة السياسة هذه. قد تطبق التطبيقات المختلفة نفس الملف المحلي بشكل صحيح بينما تنتج مخرجات تختلف عن المستودع العالمي. يجب أن تحدد تقارير المقارنة التأكيدات المحلية؛ وإلا فقد يخطئ المشغل في تفسير التجاوز المتعمد على أنه خلل في التنفيذ أو سلطة مستقلة.

تتطلب سياسة الاستثناء السليمة أدلة، ونطاق بادئة و ASN ضيقًا، وموافقة مسماة، وبداية وانتهاء، وعملاء متأثرين، ومعايير مراجعة وإزالة. يجب أن يؤدي الاستخدام الطارئ إلى متابعة التصحيح الرسمي بدلاً من أن يصبح شهادة ظل دائمة. يجب أن يكون المشغل قادرًا على شرح الفرق للأقران والمراجعين دون الكشف عن تفاصيل حساسة دون داعٍ.

الاستقلالية المحلية هي إذن صمام أمان. تقلل الاعتماد على العلاج الفوري من المنبع لشبكة واحدة، لكنها لا يمكنها توفير التفويض العالمي المتسق الذي لا يمكن استعادته إلا من خلال سلسلة رسمية مصححة.

خيارات الثقة المقيدة ممكنة لكنها تحمل تكاليف تنسيق

يشير RFC 8630 إلى أن الطرف المعتمد غير الراغب في وضع ثقة واسعة في مُصدر مرساة الثقة يمكنه إصدار شهادته ذاتية التوقيع كمرساة ثقة وفرض قيود على الشهادات التابعة. من حيث المبدأ، يمكن للتكوين المحلي للثقة تضييق ما يتم قبول تغطية المرساة الخارجية له.

يوضح هذا الخيار أن الأطراف المعتمدة ليست ملزمة ميتافيزيقيًا بالإعدادات الافتراضية للبائع. يختارون المراسي التي يتحققون منها. يمكن لمشغل كبير أو اتحاد الحفاظ على قيود إضافية، وتوزيع مستقل، ومراجعة. قد تحد هذه التدابير من تأثير مرساة تطالب بموارد تتجاوز مجموعة متوقعة.

التكلفة هي التنسيق. يجب أن تتبع المراسي المقيدة محليًا التغييرات المشروعة في الممتلكات الإقليمية للموارد والتحويلات. يمكن أن يرفض القيد القديم الشهادات الصالحة بعد انتقال الموارد. يمكن أن تتسبب مجموعات القيود المختلفة في استخلاص الشبكات لحمولات مختلفة. تكتسب المؤسسة التي تحافظ عليها سلطتها وعبئها التشغيلي الخاص.

إن إنشاء عدة جذور ثقة متنافسة لنفس الموارد سيثير أسئلة أصعب. أي جذر يسود عندما يختلفان؟ هل يكفي أي مسار صالح واحد، مما يسمح لجذر قديم أو مخترق بالحفاظ على السلطة؟ هل يجب أن توافق النصاب، مما يخاطر بفشل الأغلبية القديمة؟ من يقبل ويزيل الجذور؟ لا يمكن للتشفير الإجابة على هذه الخيارات الدستورية بنفسه.

لا ينبغي أن يكون الهدف قصير المدى هو التكرار لذاته. يجب أن يكون تقليل السلطة غير القابلة للمراجعة داخل التسلسل الهرمي الحالي مع الحفاظ على إشارة تحقق متماسكة. يمكن لعمليات مرساة الثقة القوية، وادعاءات الموارد المحددة، والتغييرات الشفافة، والمراقبين المستقلين، والضوابط المحلية للطوارئ، والاستئناف الموثوق أن تقلل من مخاطر التركيز دون اختراع منافسة متعددة الجذور غير محلولة.

يبقى البحث في نماذج السلطة البديلة قيمًا. يجب أن يحدد أي اقتراح حل النزاعات، والنقل، والإجراءات الطارئة، وتسوية المفاتيح، والإكراه القانوني، والخروج. تسمية التصميم باللامركزية قبل الإجابة على هذه الحالات سيكرر نفس الخطأ الذي حدث عندما تم التعامل مع عدد المحققين على أنه عدد السلطات.

يحتاج المشغلون إلى خريطة طبقات قبل شراء التكرار

يمكن تقييم النشر المرن عبر ست طبقات. الأولى هي التمهيد: مفاتيح TAL، والحصول عليها، ومصدر الحزمة، وسلطة التحديث. الثانية هي الإصدار: مفاتيح مرساة الثقة وسلطة الشهادات التابعة، والموافقة وقرارات التسجيل. الثالثة هي النشر: البيانات، وقوائم الإلغاء، والكائنات الموقعة، وRRDP، وrsync، وتوفر المستودع. الرابعة هي التحقق: قواعد الأكواد، والمكتبات، وذاكرة التخزين المؤقت، والإصدارات، وسلوك الظروف الاستثنائية. الخامسة هي التوزيع على الموجهات: جلسات RPKI-to-Router، والتجاوز، وقواعد التقادم. السادسة هي سياسة التوجيه: كيف تؤثر حالات Valid وInvalid وNotFound على اختيار المسار.

شراء محققين يغير بشكل أساسي الطبقة الرابعة وربما الخامسة. تشغيلهم في مواقع منفصلة يضيف فصلًا في التوفر. استخدام مستودعات مستقلة حيث يسمح التسلسل الهرمي يحسن الثالثة. لا شيء يغير التمهيد أو الإصدار تلقائيًا. يمكن أن تظل قناة تحديث TAL مشتركة، وسلطة شهادات RIR واحدة، وقرار تسجيل واحد مشتركًا.

يجب أن يحدد الجرد التبعيات المشتركة صراحةً. هل كلا المحققين آلة افتراضية على مضيف واحد؟ هل يشتركان في DNS والطاقة وعبور الشبكة؟ هل يقرأان ذاكرة تخزين مؤقت واحدة؟ هل تتحول جلسات الموجه تلقائيًا؟ هل تتلقى كلتا الحزمتين نفس تحديث TAL المضمن؟ هل يستخدمان نفس مكتبة التشفير؟ أي فريق يمكنه تغيير الاستثناءات المحلية؟

يجب أن يتبع الاختبار الخريطة. تعطل تطبيقًا واحدًا. أطعم كائنًا مشوهًا في بيئة مختبرية. أخر عرض مستودع واحد. قم بتدوير TAL في بيئة خاضعة للرقابة. قم بإزالة حمولة بشكل شرعي وتحقق من أن منطق الأغلبية القديمة لا يستعيدها. اختبر فقدان التغذية الكامل والتعافي. سجل أي طبقة اكتشفت واحتوت كل فشل.

النتيجة هي ادعاء قابل للدفاع عن المرونة. يمكن للمشغل أن يقول إن أي عملية محقق واحدة أو مضيف أو حدث صيانة لا يزيل تغذيته المعتمدة، مع الاعتراف بأن سلطة الشهادة الإقليمية تظل مشتركة. الادعاءات الدقيقة تدعو إلى تحسين دقيق؛ الادعاءات الواسعة باللامركزية تميل إلى إنهاء الاستفسار مبكرًا.

يجب أن تشرح المقارنة المستقلة الاختلاف بدلاً من تسجيل العلامات التجارية

يمكن لخدمة مقارنة عامة تقوية النظام البيئي إذا تجنبت تحويل مخرجات المحققين إلى جدول دوري. مهمتها هي تشغيل التطبيقات المدعومة مقابل لقطات المستودع المحددة والاسترجاع المباشر، والحفاظ على التكوين، والإبلاغ عن الاختلافات مع أدلة كافية للمطورين والمشغلين لإعادة إنتاجها.

الوحدة المفيدة هي حدث التحقق. ما هي مراسي الثقة التي كانت نشطة؟ أي كائن أو نقطة نشر أنتجت خلافًا؟ هل جلب التطبيقات نفس البايتات؟ هل استخدم أحدهما حالة سابقة مخزنة مؤقتًا؟ أي قاعدة RFC أو سياسة محلية تم تطبيقها؟ ما هو فرق الحمولة الذي وصل إلى الموجهات؟ هل تم إصلاح المشكلة، وفي أي إصدار؟

يمكن أن تدعم الأعداد الإجمالية الصيانة، لكنها تحتاج إلى مقامات وشدة. يختلف رفض المحلل الذي يؤثر على كائن اختبار مشوه واحد عن شجرة إقليمية مفقودة. يختلف انتهاء مهلة النقل عن قبول شهادة ملغاة. لا ينبغي للخدمة أن تستنتج حصة النشر العالمية من المشاركين فيها أو تصف اختبارات شهر واحد مختارة على أنها كل ظروف الإنتاج.

يجب أن يكون للمطورين الحق في الرد بالأدلة. يجب تحذير المشغلين عندما لا يعود التطبيق مدعومًا، كما فعل RIPE NCC لمحققه المتقاعد. قد تحتاج التفاصيل الحساسة أمنيًا إلى إفصاح منسق قبل النشر الكامل. الاستقلالية تعني أن خدمة المقارنة لا يمكن تمويلها أو إدارتها فقط من قبل بائع محقق واحد أو سلطة إصدار واحدة.

مثل هذه الخدمة تجعل تنوع البرمجيات أفضل. يمكنها تحديد المكتبات المشتركة، والإخفاقات المترابطة، وغموض المعايير. كما تجعل حدود السلطة مرئية: عندما ينتج كل تطبيق نفس النتيجة الضارة من إجراء أصلي معتمد واحد، يجب أن يوجه التقرير الانتباه إلى المُصدر وعملية المراجعة بدلاً من الاحتفال بالإجماع.

يمكن لجمعية موارد الأرقام فحص الحدود بين الكود والسلطة

يمكن لجمعية موارد الأرقام (Number Resource Society) المساهمة من خلال نشر معيار ضمان مقترح يسمي كل طبقة ويرفض السماح لواحدة بالنيابة عن أخرى. سيكشف المزود الذي يدعي تنوع المحققين عن قواعد الأكواد والإصدارات وفصل الاستضافة والحصول على TAL والتبعيات المشتركة وطريقة المقارنة ومنطق تغذية الموجه وسياسة الاستثناء. لن يُسمح له بالتلميح إلى أن هذه الضوابط تخلق جذور شهادة مستقلة.

بالنسبة لمراسي الثقة وسلطات شهادات RIR، يمكن لـ NRS اقتراح مجموعة أدلة مختلفة: معرفات المفاتيح الحالية، ونطاق ادعاء الموارد، ونموذج الحيازة، وفصل الموافقة، وخطة التدوير، وإجراء التغيير الاستثنائي، واستمرارية المستودع، والإشعارات العامة، والملاحظات المستقلة، وطريق الاستئناف، وتاريخ التصحيح. الهدف ليس إعطاء NRS كل مفتاح خاص. هو جعل ممارسة السلطة المنبع قابلة للتقييم.

يمكن لـ NRS أيضًا اقتراح إيصالات تغيير قياسية لسلطات الإصدار والمراقبين المستقلين لاعتمادها. سيربط الإيصال فئة السبب، ومجموعة الموارد المتأثرة، ومعرفات الشهادات السابقة والجديدة، والهيئة المصرح بها، والوقت الفعال، ودليل النشر، وحالة المراجعة. يمكن للمحققين أو المراقبين إرفاق ملاحظات تظهر متى أصبح التغيير مرئيًا. يمكن للحائزين المتأثرين الطعن في أساس التسجيل من خلال المنتدى المخصص بينما يتفق الجميع على ما تم توقيعه.

هذا الدور إيجابي لأنه يوسع المساءلة دون إنشاء جذر فائق غير مختبر. يمكن لـ NRS الحملات من أجل مقدمي مقارنة مؤهلين بشكل مستقل ونشر مقارنات مدعومة بالمصادر. الاعتماد والأوامر التصحيحية تتطلب سلطة مختصة؛ لا يمكن لـ NRS إصدار أي منهما. يمكن لعضوية التمثيل جلب الحائزين والمشغلين إلى مراجعة المعايير. يجب الإفصاح عن التمويل والصراعات حتى لا يتمكن سجل رئيسي أو بائع أو شبكة من تحويل الضمان إلى تأييد.

يظل النموذج استباقيًا. تدعم مواد NRS العامة المشاركة الموزعة والسلطة المؤسسية المحدودة كأهداف؛ لا تثبت أن نظام ضمان مرساة الثقة هذا منشور أو معترف به من قبل جميع المناطق. ستعتمد المصداقية على التجارب التجريبية، والتدقيق الخارجي، والاستثناءات المنشورة، والاستعداد لانتقاد كل من مقدمي البرامج وسلطات الإصدار.

يجب أن يفصل القياس بين انتشار البرمجيات وتعرض السلطة

لا يوجد مقام عام كامل لنشر المحققين في الإنتاج. يمكن للمشغلين تشغيل مثيلات خاصة، أو استخدام خدمات متكاملة من البائعين، أو الاستعانة بمصادر خارجية للتحقق، أو تلقي مسارات معتمدة من المنبع. لا تساوي أعداد التنزيلات الشبكات النشطة. لا تكشف ملاحظات الموجه العامة بشكل موثوق عن أي تطبيق طرف معتمد أنتج قرار سياسة.

لذلك يجب أن تقاوم التقارير ادعاءات مثل تطبيق واحد يخدم حصة ثابتة من الإنترنت ما لم يدعم القياس ذلك المقام. يمكن للمسح أن يذكر عدد الشبكات المستجيبة التي تستخدم Routinator أو rpki-client أو FORT أو خدمة أخرى. لا يمكنه التعميم بصمت على جميع الأنظمة المستقلة. يمكن لمنصة الاختبار أن تذكر أي الإصدارات قارنت. لا يمكنها استنتاج أن كل إصدار منشور يتصرف بنفس الطريقة.

يتطلب تعرض السلطة مقياسًا مختلفًا. يمكن للمحقق سرد أي مرساة ثقة أنتجت كل حمولة، ويمكن للمشغل الإبلاغ عن حصة مجموعته المحلية الصالحة حسب المرساة المهيأة. هذا لا يزال لا يقيس جودة الحوكمة أو احتمال الإجراء الضار. أعداد الموارد، وأعداد المسارات، والاعتماد على حركة المرور هي مقامات مختلفة.

يجب ربط المقاييس التشغيلية بالإخفاقات: نجاح دورة التحقق حسب المثيل، ونضارة المستودع، وتباعد المخرجات، وتغييرات TAL، وتوفر تغذية الموجه، ومدة التقادم، والاستثناءات المحلية، ووقت التصحيح. يجب أن تتضمن مقاييس السلطة تغييرات الشهادات الاستثنائية، وأداء التدوير، ونتائج التدقيق، والاستئنافات، والتصحيحات. دمج الاثنين في درجة تنوع واحدة سيمحو السببية.

التقرير الأكثر فائدة قد يستنتج أن مرونة البرمجيات قوية بينما تظل مراجعة السلطة ضعيفة. قد يجد آخر حوكمة سليمة لسلطة الشهادات ولكن زراعة أحادية خطيرة للمحققين. التدابير ذات الطبقات تسمح للمؤسسات بإصلاح العجز الفعلي. شارة اللامركزية الواحدة تكافئ العرض التقديمي بدلاً من الهندسة.

يجب على الهندسة المعمارية التالية تنويع الفحوصات قبل مضاعفة الجذور السيادية

هناك سؤال دستوري حقيقي حول ما إذا كان ينبغي أن يتطور هرم سلطة RPKI. تعكس مراسي الثقة الإقليمية هيكل التخصيص وتوفر أساسًا متماسكًا للتحقق، لكن سلطتها تصبح أكثر أهمية مع رفض مسارات Invalid على نطاق أوسع. تنوع البرمجيات وحده ليس إجابة. ولا كذلك إضافة جذور عشوائية دون قاعدة للخلاف.

يمكن للإصلاح قصير المدى تنويع الفحوصات حول السلطة الحالية. يمكن للمراقبين المستقلين أرشفة التغييرات. يمكن للحائزين تلقي إشعارات موقعة. يمكن أن تتطلب الإجراءات الاستثنائية موافقة مقسمة. يمكن أن تكون الاستئنافات منفصلة مؤسسيًا. يمكن نشر أدلة مراسم المفاتيح والتدوير. يمكن إدارة الاستثناءات المحلية الطارئة وتحديدها بفترة زمنية. يمكن أن تستخدم التحويلات عبر المناطق إيصالات مشتركة. يمكن أن تظل تطبيقات المحققين مستقلة ويتم مقارنتها باستمرار.

قد تستخدم المقترحات طويلة المدى جذورًا مقيدة، أو توقيعًا متبادلاً، أو سلطة عتبة، أو نماذج أخرى. يجب أن يشرح كل منها كيف يغير نقل الموارد المشروع السلطة، وكيف تتم إزالة مشارك مخترق، وكيف يتم حل الشهادات المتضاربة، وكيف يتم تحديد نطاق الأوامر القانونية، وكيف تتقارب الأطراف المعتمدة. التكرار الذي لا يمكنه إنهاء السلطة القديمة يمكن أن يكون أكثر خطورة من التسلسل الهرمي.

هدف التصميم ليس أقصى عدد للجذور. هو تقليل السيطرة غير الخاضعة للمساءلة مع تماسك كافٍ ليبقى التحقق من أصل المسار مفيدًا. يمكن للنظام أن يكون له عدة جذور ولا يزال يركز السلطة على كل مورد. يمكن أن يكون له مسار واحد لمورد مع الاستمرار في إحاطة هذا المسار بفحوصات إجرائية قوية. يجب أن تتبع التسميات تحليل الفشل الفعلي.

يمكن لـ NRS عقد هذا النقاش بشكل بناء إذا نشرت الافتراضات والتصاميم المنافسة ونتائج الاختبارات بدلاً من إعلان النصر المؤسسي. تمتلك سجلات RIR والمشغلون والحائزون ومطورو المحققون وبائعو التوجيه كل منهم جزءًا من الأدلة اللازمة. لا ينبغي لبرامج أو شهادة أي مجموعة واحدة أن تحدد الإجابة الدستورية وحدها.

الادعاء الصحيح أضيق وأقوى

المشغل الذي يدير عدة محققين مدعومين هو أكثر أمانًا من فئة من الإخفاقات من المشغل الذي يعتمد على مثيل مهمل واحد. يمكن للكود والعمليات المستقلة اكتشاف العيوب، والحفاظ على الخدمة أثناء الصيانة، وكشف ظروف المستودع الغامضة. هذه مكاسب مادية ويجب قياسها.

يظل المشغل معتمدًا على مراسي الثقة المهيأة وتسلسلاتها الهرمية للشهادات. بالنسبة لمورد معين، تتحقق عدة محققين عادةً من السلطة المستمدة من نفس مسار الجذر النشط. إذا تغيرت السلسلة الأصلية بشكل صحيح، يتبعها المحققون الصحيحون. إذا تم اختراق المفتاح الجذري، فإن تنوع البرمجيات لا يستعيد الإصدار الموثوق. إذا كان قرار السجل متنازعًا عليه، فإن اتفاق المحلل لا يوفر الإجراءات القانونية الواجبة.

الرد ليس السخرية من RPKI. يوفر التحقق من المصدر بيانًا تشفيريًا مفيدًا يفتقر إليه BGP وحده. وزنه التشغيلي المتزايد هو بالضبط سبب استحقاق طبقة السلطة لحوكمة صريحة. يجب أن يزيد النجاح التقني من التدقيق في السلطة المنبع بدلاً من إخفائها.

يجمع أقوى نشر بين كلا النوعين من التحكم. برامج الأطراف المعتمدة المتنوعة تفحص المحتوى غير الموثوق به بشكل مستقل. تستخدم عمليات مرساة الثقة وسلطة الشهادات مفاتيح محمية وسلطة مقسمة وتدويرًا آمنًا. تغييرات التسجيل مبررة وقابلة للمراجعة. النشر مرن وقابل للملاحظة. تتعامل سياسة تغذية الموجه مع الحالات القديمة والمتباينة بشكل متعمد. تظل الاستثناءات المحلية محدودة. يقدم ضمان خارجي تقارير عن كل طبقة دون استبدال واحدة بأخرى.

يمكن لتنوع المحققين أن يؤكد أنه يتم تفسير تسلسل هرمي للثقة بشكل صحيح. لا يمكنه جعل هذا التسلسل الهرمي متعددًا. تبدأ الشرعية المؤسسية عندما يقول النظام ذلك بوضوح ثم يبني الفحوصات المفقودة حيث توجد السلطة فعليًا.

المصادر