أخفى العقدة بعض جيرانها عمداً، ولم يجعل ذلك الحزمة كاذبة

الخلاصة

• تفرض النسخة 04 من مسودة SAND النشطة حماية BPSec، لكنها تترك للعقدة المعلِنة اختيار أنواع الرسائل ومثيلاتها وفق الشبكة التحتية ونقطة الإنهاء ووجهة BP؛ وقد يرى جاران مجموعتين صحيحتين لا تتقاطعان.
• نجاح الاستلام والمصادقة لا يمنح إذن الاستخدام؛ فالعقدة المكتشفة تفوّض البيانات أو تستبعدها محلياً، كما أن Router Advertisement الموثق لا يصبح مساراً مأذوناً تلقائياً.
• تحتاج المقارنة إلى إيصال إسقاط يربط Source وSecurity Source وPrevious Node والوجهة والواجهة وإصدار المرشح وReference Time والصلاحية وقرار supersession وسياسة المستقبِل.

يُغري اسم «الاكتشاف» بتصور عملية محايدة: توجد حقيقة كاملة في العقدة، فتنسخها الرسالة، ثم يعرضها المستقبِل. لكن SAND لا يصف هذا المسار البسيط. المرسِل يقرر ما يكشفه في سياق بعينه، والمستقبِل يقرر ما يسمح باستخدامه في سياقه. والنتيجة خريطة مرت عبر سلطتين محليتين.

تتناول مسودة Bundle Protocol Secure Advertisement and Neighborhood Discovery بيئة BPv7 والشبكات المتحملة للتأخير. وتعرّف رسائل لطلب البيانات وبيانات الاعتماد والشبكات التحتية وطبقات التقارب والموارد والطوبولوجيا المحلية والاستعداد للتوجيه ونقاط النهاية. هذه المعلومات مفيدة للبدء والتشغيل، لكنها ليست نسخة من سجل مركزي شامل.

السؤال المهني ليس «هل التوقيع صحيح؟» فقط، بل «أي قول حماه التوقيع، ولأي وجهة، وعبر أي نقطة إنهاء، وفي أي زمن، ومن امتلك قرار استخدامه؟»

المصدر والعقدة السابقة ومصدر الحماية أدوار منفصلة

تحمل SAND Bundle معرف Source EID وتُوجَّه إما إلى SAND Group EID أو إلى SAND Singleton EID أخرى. وتستخدم الرسائل المعدّة لجيران قفزة واحدة Hop Limit يساوي واحداً. لكن قِصر النطاق لا يضمن أن مصدر الحزمة هو نفسه مرسِل القفزة الأخيرة.

عند التمرير، تطلب النسخة 04 تعريف previous hop بصورة إيجابية. تأتي أولاً هوية موثقة من convergence layer إن توفرت، ثم Previous Node extension block موثق، ثم Source Node ID موثق في القفزة الأولى. وبذلك يمكن للحزمة أن تحتفظ بالمصدر الأصلي وبالعقدة التي سلّمتها في هذه القفزة.

يجب أن تحتوي كل SAND Bundle على Block Integrity Block يحمي payload. ويجب أن تعرّف Security Source الخاصة به العقدة نفسها التي يعرّفها Bundle Source EID، مع إمكان استخدام EID مختلفة بحسب سياسة الهوية. وإذا وُجد Previous Node block وجبت حمايته أيضاً، ويشير Security Source الخاص به إلى العقدة السابقة.

تجيب هذه الحقول عن أسئلة مختلفة: من أنشأ الحزمة، ومن أرسلها في آخر قفزة، وأي هوية تشفيرية تحمي كل block. قد تربط السياسة بينها ربطاً صحيحاً، لكن حذف القيم الأصلية ووضعها في خانة node_id واحدة يمحو سلسلة الإسناد.

تثبت BPSec سلامة القول ونسبته إلى مفتاح وهوية. ولا تثبت أن القائل كشف كل ما يعرفه، أو أنه كشف المجموعة نفسها لكل وجهة.

طلب البيانات لا يمنح حق الاطلاع الكامل

تعبر Data Solicitation عن رغبة في تلقي نوع من البيانات. ولا يجوز لها، وفق النص، أن تتجاوز السياسة المحلية للعقدة المعلِنة. فالعقدة وحدها تختار message types التي ترسلها، ثم تختار instances التي تُدخلها أو تستبعدها.

قد يكون السبب تشغيلياً: نقطة إنهاء غير مفعلة للاكتشاف، أو credential ثابتة لا تحتاج إلى التكرار، أو parameter لا يفيد على هذه التقنية. وقد يكون السبب أمنياً: لا يكشف الإعلان إلى group destination إلا ما يكفي لإنشاء الاتصال، ثم تُرسل التفاصيل الحساسة إلى singleton destination ذات حماية أفضل.

يسمح Context-Specific Advertisement Filtering بالاختيار وفق ULN أو termination point أو BP source أو destination. ويمكن قصر شهادة من PKIX خاصة على الشبكة التي تثق بجذرها، أو إظهار CL instance تعمل بـIPv6 على نقطة إنهاء IPv6 فقط. ويمكن جمع أكثر من مرشح.

تسمّي المسودة النتيجة نوعاً من «split brain»: يرى جيران مختلفون مجموعات مختلفة، وربما غير متقاطعة، مرتبطة بالعقدة المعلِنة نفسها. لا يعني ذلك أن كل اختلاف مرغوب، لكنه يمنع اعتبار الاختلاف وحده دليلاً على الكذب أو الضياع.

وتفسر السرية جانباً من هذا التصميم. ففي group messaging الأولي من أجل التسجيل قد يكون payload مكشوفاً ما لم تُضف سرية أخرى. ولا يضمن Hop Limit 1 أن middlebox لن يراه. لذلك قد يكون حجب DNS names أو addresses أو neighbors أو CL instances أو certificates عن بعض نقاط الإنهاء إجراءً سليماً لتقليل التسرب.

الخطأ يقع عندما يحوّل المخزون المركزي «لم يُكشف هنا» إلى «غير موجود في أي مكان».

المستقبِل يصنع الإسقاط الثاني

لا يُلزم استلام SAND message ضمن شروط النقل الصحيحة العقدة المكتشفة باستخدام كل محتواه. البنى mandatory-to-implement، أما الاستعمال فقرار محلي.

قد يعتمد التفويض على message type أو source أو destination أو خصائص convergence layer عند الاستلام أو معلومات سابقة عن المعلِن. وبعد ذلك يجوز للمستقبِل cull البيانات غير المناسبة. فقد تستبعد عقدة IP-only معاملات غير IP، أو تحذف عنواناً لا يوجد إليه route حالياً من تمثيلها النشط.

هذا الاستبعاد ليس حكماً عالمياً على الحقيقة. قد تتغير routing configuration لاحقاً، وقد تفهم نسخة برمجية جديدة ما عجزت عنه القديمة. وإذا نقل النظام الجدول النهائي فقط، فلن يستطيع التمييز بين إخفاء المرسِل ورفض المستقبِل وعدم دعم النوع وعدم إمكان الوصول المؤقت.

ويتطلب context-specific authorization ربط الرسالة بالحزمة التي احتوتها وبـCL instance المحلية التي وصلت عبرها. تعترف المسودة بأن بعض واجهات BPA–application لا تقدم هذا العمق. وعندئذ قد تكون السياسة مكتوبة، لكن البرنامج الذي يتخذ القرار لا يملك الدليل اللازم لتطبيقها.

وهكذا تكون الخريطة المحفوظة إسقاطاً لإسقاط: مرشح المرسِل أولاً، ثم تفويض المستقبِل وقرارات culling.

الحزمة الصحيحة قد تكون أقدم من أن تغيّر الحالة

تحمل رسائل SAND المجموعة الكاملة لنوعها، ولا تعتمد على سلسلة فروق متتابعة. يجعل ذلك المعالجة idempotent ويتلاءم مع التكرار المتوقع في BPv7. لكنه يحتاج قاعدة واضحة لـsupersession.

بعد المعالجة تحفظ العقدة Reference Time بحسب Bundle Source وMessage Type، أو تستخدم Creation Timestamp عند غيابه. وقبل معالجة الرسالة التالية تقارن القيم. ويجب تجاهل الرسالة ذات الزمن المساوي أو الأقدم. ويستخدم الترتيب DTN Time ثم Sequence Number. ولا يعد تجاهل رسالة superseded فشلاً.

لذلك قد تمر حزمتان من فحص BPSec، بينما يحق لواحدة فقط تغيير current state. يمكن لـreplay أن يهدر الموارد، لكنه لا ينبغي أن يعيد حالة أقدم عند تطبيق القاعدة. وفي الاتجاه الآخر، إذا أرسل المعلِن عند تغير الحالة فقط، فقد تبقى خريطة قديمة إن ضاعت الرسالة البديلة.

تحدد Validity Duration وRepetition Interval والمؤقتات الدورية والإرسال القائم على الحدث معنى الصمت. ولا يحل وقت وصول السجل إلى collector محل Reference Time ولا يثبت حداثته.

SYMMETRIC لا يعني نجاح خدمة ثنائية الاتجاه

تستخدم Local Topology Advertisement الحالات HEARD وSYMMETRIC وLOST. تعني HEARD أن رسالة من peer وصلت، لكن هذه العقدة لم تر نفسها بعد في الطوبولوجيا التي أعلنها peer. وتعني SYMMETRIC أن peer أعلن هذه العقدة، أي إن رسالة واحدة على الأقل وصلت في كل اتجاه. وتعني LOST عدم وصول رسالة خلال timeout يحدده التنفيذ.

لا تثبت أي حالة سعة مستقرة أو transaction تطبيقية أو تسليماً من طرف إلى طرف. كما لا توجد مزامنة مفروضة لـrouting metrics بين الجيران المتبادلين. وحتى عند إعلان العناصر نفسها، لا تضمن المسودة تساوي القيم ولا تتوقعه. وتترك reconciliation للتنفيذ.

وتظل Router Advertisement محدودة أيضاً. يمكن للعقدة إعلان willingness من صفر إلى ستة وإضافة Attached Networks patterns، بما في ذلك *:** كسلوك gateway. لكن النص يحذر من أن إعلان gateway ينبغي أن تراه stub network مناسبة فقط.

تسجيل الإعلان، وتفويضه للتوجيه، وتثبيت route ثلاثة أفعال منفصلة. ومن دون تفويض صحيح تبقى مخاطر route leaking وhijacking. وتشير المسودة إلى عدم وجود نظير لـRPKI لتفويض BP routing. الإعلان الموثق قول يمكن إسناده، لا تفويضاً بالمرور.

إيصال الإسقاط يحفظ ما تحذفه لوحة التحكم

الحل التشغيلي المقترح هو إيصال إسقاط الإعلان. وهذا نموذج evidence في هذا التحليل، وليس wire format تفرضه النسخة 04.

يحفظ الإيصال hash وهوية الحزمة المحمية وSource EID وBIB Security Source وPrevious Node وdestination وHop Limit وCreation Timestamp ووقت الاستلام. ويسجل مسار identity validation الذي استُخدم فعلاً، ويربط الرسالة بـULN وtermination point وCL instance للإرسال أو الاستلام.

ولكل Message Type يحفظ instances وReference Time وValidity Duration وRepetition Interval ونتيجة supersession. وإذا أمكن، يثبت filter أو configuration epoch لدى المعلِن. وعند المستقبِل يسجل authorization وculling مع السبب، ثم hash للإسقاط المخزن بعد السياسة.

ينتهي هذا الإيصال قبل سلطة الطبقة التالية. يحتاج route installation إلى قرار مستقل. ويحتاج forwarding إلى observation في data plane. ويحتاج application outcome إلى إثبات آخر. والهدف أن لا يتحول authenticated=true من دون تصريح إلى كامل ومفوّض ومثبت ومسلّم.

بوجود إيصالين يمكن تصنيف الاختلاف: scope مقصود، policy epoch مختلفة، staleness، supersession، culling محلي، parameter غير مدعوم، loss، misconfiguration أو divergence غير مفسرة. ومن دونهما لا يبقى سوى صورتين للشاشة.

حالة المسودة لا تمنحها سلطة أكبر

يسجل Datatracker النسخة 04 Internet-Draft نشطة في DTN Working Group، نُشرت في 8 سبتمبر 2026 وتنتهي في 12 مارس 2027. يذكر العنوان Standards Track، بينما كان حقل intended RFC status خالياً وقت تجميد الأدلة. ليست RFC ولا allocation نهائية.

تذكر فقرة Implementation Status نموذج proof of concept. وتوضح الفقرة نفسها أن المعلومات قدمها contributors ولم تُتحقق، وليست catalogue ولا endorsement من IETF. لا يدعي المقال adoption أو interoperability أو سلوك منتج معين أو حادثة أو route leak أو outage حقيقية.

يعرّف RFC 9171 ‏BPv7، ويعرّف RFC 9172 ‏BPSec، ويضع RFC 8949 وRFC 8610 أساس CBOR/CDDL. ويوفر RFC 6130 سياق neighborhood discovery. وتشرح RFC 4593 وRFC 7908 وRFC 6480 تهديدات routing وroute leaks وRPKI. ولا تجعل أي منها إسقاط SAND المحلي خريطة عالمية.

النتيجة المنضبطة تكفي: المصادقة تنسب قولاً في سياق. أما الاكتمال وسلطة التوجيه والنتيجة فتحتاج إلى أدلة أخرى.