الخلاصة

  • الحقل الاختياري token-authority يساعد العميل على اكتشاف المكان، ولا يعمل مرساة ثقة للخادم؛ الثقة تأتي من سياسة النظام البيئي المهيأة ومن شهادة المُصدِر المشار إليها عبر x5u أو x5c.
  • يعامل خادم ACME قيمة JWTClaimConstraints كسلسلة معتمة، ويقارن قيمة الطلب الأصلي مع tkvalue بايتاً ببايت، من دون فك ترميز أو إعادة ترميز أو تطبيع.
  • يتطلب نجاح التحدي إيصالات منفصلة للمُصدِر والتوقيع والنوع والهوية الدقيقة وexp وjti ومفتاح حساب ACME ودور CA في طلب الشهادة. ولا يثبت الإصدار تحقق JWS لاحقاً أو نتيجة مكالمة.

لافتة طريق لا تفويض ثقة

قد يحتوي تحدي tkauth-01 على عنوان token-authority. يستطيع العميل، إن وُجد، استعماله للوصول إلى السلطة التي تقدم JWTClaimConstraints Authority Token. وإذا غاب، يُفترض أن يكون موقع السلطة معروفاً للعميل من إعداد خارج النطاق.

تحدد المراجعة 05 سقف هذا العنوان بوضوح: خادم ACME لا يستخدمه عند التحقق من استجابة التحدي. فالمعلومة التي توجه العميل إلى خدمة لا تمنح موقّع تلك الخدمة تلقائياً مكاناً في مجموعة الثقة لدى الخادم.

يأتي قرار الثقة من مسار آخر. يجب أن يوقَّع Authority Token بشهادة أعدّ الخادم نفسه للثقة بها كمُصدِر للرموز في النظام البيئي المعني. يمكن أن يشير رأس HTTPS x5u إلى الشهادة، أو أن يحمل x5c مادتها. إن غاب الاثنان، أو تعذر الاسترجاع، أو لم تكن الشهادة موثوقة لهذا الدور، وجب فشل التحقق. وقد يسمي iss الاختياري المُصدِر، لكن الاسم الذي يعلنه الرمز عن نفسه ليس قرار ثقة.

يسمح الفصل بتغيير موقع الخدمة لأسباب تتعلق بالتوافر من دون توسيع السلطة، وبسحب الثقة من مُصدِر من دون الادعاء بأن طريق العميل تغيّر. أما جمع الاكتشاف والثقة في إعداد واحد فيحوّل تعديلاً تشغيلياً بسيطاً إلى تغيير غير مرئي في حدود التفويض.

المعنى عند Token Authority والهوية عند ACME

تحمل هوية JWTClaimConstraints في الطلب الجديد ترميز base64url غير المحشو لكائن ASN.1 من نوع JWTClaimConstraints أو EnhancedJWTClaimConstraints مشفراً وفق DER. يعيد الرمز القيمة نفسها في atc.tkvalue.

للبنية الداخلية معنى خاص بمنظومة STIR. تتحقق Token Authority، وفق RFC 8226 وRFC 9118، من أن القيود تناسب الموارد والادعاءات التي يحق للطالب تمثيلها. ولا يعيد خادم ACME تفسير ASN.1 أو اتخاذ القرار الدلالي نفسه؛ فالقيمة معتمة من منظوره.

مهمة الخادم هي إثبات أن القيمة التي أجازتها السلطة دلالياً هي عينها التي طلبها العميل في الطلب الأصلي. وبذلك يبقى العقد المشترك في حده الأدنى: صيغة معيارية واحدة، مساواة مباشرة، وروابط صريحة بالمُصدِر والتوقيع والزمن والحساب والدور. تبقى سياسة STIR لدى الجهة التي تملك سياقها.

لا مكان للمساواة التقريبية في التفويض

يجعل DER مع base64url غير المحشو تسلسل البايتات وحيداً. يجب على الخادم مقارنة السلسلتين كما وصلتا، مباشرة وبايتاً ببايت. ولا يجوز أن يفكهما أو يعيد ترميزهما أو يجري عليهما أي تسوية قبل الحكم بالمساواة.

وجود محرف الحشو = أو محرف خارج أبجدية base64url أو مسافة أو أبجدية بديلة أو BER غير مطابق لـDER أو اختلاف بايت واحد كلها أسباب للفشل. كما توصي المسودة بمقارنة ثابتة الزمن، مع أن القيم ليست سراً.

كل محول متسامح يضيف سلطة جديدة: الشيفرة التي تقرر أن اختلافين لا يؤثران في المعنى. وقد تتغير هذه القاعدة بين اللغات والإصدارات. تمنع المقارنة الدقيقة هذه السلطة الخفية، وتتيح حفظ دليل قابل للإعادة: تجزئة آمنة وطول لكل سلسلة أصلية ونتيجة فحص الأبجدية والحشو والمساواة.

ثمانية أسباب خلف النتيجة الواحدة

أولاً، يجب أن يكون atc كائناً صحيحاً يحوي tktype وtkvalue وfingerprint. ثانياً، يجب أن تكون شهادة الموقّع مُصدِراً مهيأً للثقة. ثالثاً، يجب أن يصح التوقيع. رابعاً، يجب أن يكون النوع JWTClaimConstraints. خامساً، يجب أن تطابق tkvalue قيمة الطلب الأصلي المحفوظة بايتاً ببايت.

سادساً، يجب وجود exp وألا يكون قد انقضى بحسب ساعة الخادم وهامش الانحراف المحلي الصغير، كما يجب وجود jti. سابعاً، يجب أن تطابق البصمة مفتاح حساب ACME الذي قدم الاستجابة. ثامناً، يجب أن تتوافق قيمة ca مع قيمة CA في Basic Constraints داخل طلب توقيع الشهادة.

لا تستعمل Token Authority البصمة لإثبات تحكم الطالب بالحساب. بل توقّعها داخل الرمز كي يربطها خادم ACME لاحقاً بالمفتاح الفعلي. إذن يأتي الإذن الدلالي وضبط الحساب من محققين مختلفين.

إذا فشلت خطوة واحدة يصبح التحدي غير صالح، وقد يصدر خطأ تفويض ACME. عدّ كل الحالات تحت اسم «رمز غير صالح» يحتفظ بالحكم لكنه يمحو السبب: الثقة أو استرجاع الشهادة أو التوقيع أو البايتات أو الساعة أو معرّف المعاملة أو الحساب أو دور CA.

التزام يبدأ بعد إصدار الشهادة

نجاح التفويض لا يعني أن الشهادة صدرت بعد. وبعد الإصدار، تسمح المسودة لجهة CA بإضافة x5u اختياري إلى استجابة الطلب الناجح، كي يشير مالك الشهادة إليها في كائنات JWS لاحقة. وينبغي أن يبقى العنوان قابلاً للاسترجاع ما دامت الأطراف المعتمدة تحتاجه للتحقق، وغالباً حتى انتهاء صلاحية الشهادة على الأقل.

هذا x5u اللاحق ليس هو مرجع شهادة مُصدِر Authority Token. ينتمي كل منهما إلى مرحلة ومفتاح والتزام زمني مختلف. لا يثبت سجل الإصدار أن جهة لاحقة استطاعت استرجاع الشهادة أو قبلتها أو قبلت أي ادعاء هاتفي.

حدود الاستنتاج

نُشرت المراجعة 05 في 5 سبتمبر 2026 بوصفها Internet-Draft لمجموعة عمل IETF، وتنتهي في 9 مارس 2027 ما لم تُحدَّث. يمكن أن تتغير وليست RFC. لم يختبر هذا التقرير أي عميل أو خادم أو CA أو Token Authority أو بيئة تشغيل أو مستودع شهادات أو مشغل أو مسار مكالمة.

لا تثبت المصادر تبنياً أو مطابقة أو تشغيلاً بينياً أو إصداراً ناجحاً أو سلطة على أرقام هاتف أو مصادقة مكالمة أو خفضاً للاحتيال. إنها تصف عقداً مقترحاً، لا تنفيذه في أنظمة حية.

المصادر