الخلاصة

  • قُدمت المراجعة 07 من مسودة الإنترنت الفردية draft-howard-virp في 6 سبتمبر 2026، وتحمل الوثيقة تاريخ 7 سبتمبر. وهي ليست معياراً أو وثيقة اعتمدتها مجموعة عمل أو تصميماً أقرته IETF.
  • يقيّد ملف External Authorization Binding الجديد الهوية الدائمة للبوابة بأوامر الرصد، ويجعل خدمة لا تسيطر عليها البوابة صاحبة قرار السماح بالكتابة.
  • يقارن النموذج نية البوابة وسجل تنفيذها بقرار الخدمة الخارجية وبمحاسبة الأوامر الصادرة من الجهاز. ولا تتحول الفجوة إلى نجاح أو رفض مفترض، بل تحتفظ بتصنيف مستقل.
  • تقول الوثيقة إن سياسة ثابتة لكل أمر والمطابقة مع محاسبة الجهاز منفذتان ومجربتان على Cisco IOS وIOS-XE. هذا تقرير صادر عن المؤلف، لا إعادة تحقق مستقلة ولا دليلاً على انتشار التنفيذ.
  • الجزء الحاسم لم يكتمل: المنحة المقيدة بموافقة ومدة واستهلاك واحد غير منفذة، كما أن قرارات التفويض الخارجية ليست بعد سجلات أصلية داخل السلسلة.

نقل المفتاح أهم من إضافة قاعدة إلى البوابة

يسجل تاريخ Datatracker رفع المراجعة 07 وقبولها وإتاحتها في 6 سبتمبر. وتضيف الوثيقة المؤرخة في 7 سبتمبر ملف نشر يختبر سؤالاً مباشراً: إذا اختُرقت البوابة التي تستقبل طلبات الوكيل المؤتمت، فهل يحصل المهاجم معها على بيانات الاعتماد القادرة على تغيير جهاز الإنتاج؟

تجيب البنية الجديدة بأن هوية البوابة الدائمة يجب أن تكون للقراءة فقط. يطلب الجهاز من خدمة تفويض منفصلة قراراً بشأن كل أمر يتجاوز الرصد. ولا يجوز حفظ هوية قادرة على الكتابة داخل البوابة بصورة يمكن استعمالها من دون قرار مستقل لكل فعل يصدره طرف آخر.

الفارق بنيوي. المصنف الموجود داخل العملية نفسها التي تحمل السر المميز لا يبقى حاجزاً بعد اختراق تلك العملية. أما إذا طبق الجهاز قرار خدمة خارجية، فلا يكفي الاستيلاء على البوابة لتحويل تصنيفها الذاتي إلى سلطة. ويجب أن تسلك طلبات التفويض وسجلات المحاسبة مساراً لا تستطيع البوابة وحدها حجبه أو تزويره.

لا تدعي المراجعة أن المكونات جديدة. تحدد RFC 8907 تفويض TACACS+ لكل أمر والمحاسبة، كما أن هويات الإدارة المقيدة بالقراءة مألوفة. وتتمثل إضافة VIRP المعلنة في جمعها حول طالب مؤتمت: فصل هويتي القراءة والكتابة، ثم مقارنة رواية البوابة بأدلة نشأت خارجها.

يجب ألا تُوسع المكانة المؤسسية. تصف صفحة Datatracker النص بأنه Internet-Draft فردي بلا RFC stream ولا مسؤول AD. وتقول صراحة إن أي شخص يستطيع تقديم مسودة، وإن هذه الوثيقة غير مؤيدة من IETF ولا مكانة رسمية لها في عملية المعايير. شكل الوثيقة ليس تفويضاً جماعياً.

أربعة سجلات لا تتساوى في المصدر والحيازة

يسبق gate_intent/1 الاتصال بالجهاز ويسجل ما تنوي البوابة فعله، بينما يسجل gate_execution/1 ما تقول إنها فعلته لاحقاً. وكلاهما موصوف بأنه منفذ. ويحمل device_accounting/1 حدث الأمر الذي ينشئه الجهاز ويتلقاه جامع يمكن الوصول إليه بصورة مستقلة عن البوابة، ثم يضاف عند الاستلام إلى السلسلة. وهذا موصوف أيضاً بأنه منفذ.

أما authorization_decision/1 فله وضع مختلف. من المفترض أن يحمل قرار الخدمة الخارجية بالسماح أو الرفض مع الجهاز والهوية والأمر المعياري أو بصمته والتوقيت. عُرفت دلالاته في المواصفة، لكن التنفيذ المرجعي لا يصدره كسجل في السلسلة. يبقى القرار في سجل الخدمة المحلي ويُعرض كمرفق ذي مصدر منفصل.

لهذا يوجد نوعان من الرفض. قد يرفض مصنف VIRP النية داخل حدود البوابة، فينتج سجلاً موثقاً ومتسلسلاً. وقد ترفض خدمة التفويض أمراً أرسلته البوابة بالفعل، لكن قرارها لا يملك بعد الحيازة نفسها. وضع الاثنين تحت نتيجة واحدة يمحو هوية صاحب القرار.

تربط المطابقة بين معرف الجهاز وهوية الطرف وبصمة الأمر المعياري الدقيقة ونافذة زمنية معلنة. إذا لم تكن ساعة الجهاز موثوقة، فالنتيجة UNRESOLVED. وإذا اتفقت السجلات المؤهلة فهي MATCHED. وإذا ادعت البوابة التنفيذ بلا سجل جهاز مؤهل فهي GATE-ONLY. وإذا سجل الجهاز فعلاً بلا تنفيذ مقابل من البوابة فهو DEVICE-ONLY. أما DENIED فيحتاج قرار التفويض ولا يستنتج من غياب المحاسبة.

الاحتفاظ بعدم اليقين نتيجة سليمة، لا عيباً في العرض. تقريب الأزمنة أو الأوامر حتى تتطابق يصنع لوحة مكتملة ويهدم الدليل في اللحظة نفسها.

محاسبة TACACS+ لا تثبت التنفيذ في كل جهاز

تصف RFC 8907 المحاسبة بأنها تسجيل ما يفعله المستخدم أو فعله. لكنها، في إدارة الأجهزة، تطلب إرسال سجل بدء لكل أمر أُدخل بصرف النظر عن طريقة تفويضه. لذلك قد يثبت السجل في منصة ما إدخال الأمر فقط، لا السماح به أو تنفيذه.

تُلزم المراجعة كل نشر بتحديد معنى السجل لكل فئة أجهزة: أمر مدخل، أو مفوض، أو منفذ، أو حدث ذو دلالة تنفيذ مجهولة. ولا يجوز بناء تصنيف التنفيذ إلا على محاسبة ثبت أنها تشهد التنفيذ.

تورد الوثيقة ملاحظة أضيق من تجارب Cisco IOS وIOS-XE: اقترن السجل هناك بأمر منفذ، ولم ينتج الرفض سجل المحاسبة نفسه. ثم تمنع تعميم النتيجة على منصات أخرى. ويدير المشروع نفسه مستودع VIRP المرجعي، فهو مصدر أولي لما يعلنه المؤلف عن التنفيذ، وليس جهة تحقق مستقلة.

كما يدخل مسار AAA في نطاق الثقة. تشير المراجعة إلى RFC 9887 لحماية TACACS+ بواسطة TLS 1.3 عند دعم الطرفين. لا تكفي استقلالية مربعات الرسم إذا استطاعت البوابة اعتراض الاتصال الذي يحمل القرار والمحاسبة أو تغييره أو إسقاطه.

المنحة المؤقتة محددة بدقة لكنها غائبة

ينبغي لمصدر غير البوابة أن يتحقق من توقيع Ed25519 لموافق مسجل، وأن يربطه بالأمر المحدد والجهاز والمهلة. وتحمل الموافقة المخصصة لتنفيذ واحد معرفاً فريداً. ويسجل المصدر الاستهلاك بصورة دائمة قبل إطلاق سلطة الكتابة، ثم يرفض إعادة الاستخدام. ولا تكفي المهلة، لأن الموافقة غير المستهلكة يمكن تكرارها خلال فترة صلاحيتها.

ويجب أن يطابق الأمر الموافق عليه الاستدعاء الذي يصل فعلاً إلى الجهاز. إذا غير برنامج التشغيل التمثيل المعياري، فعلى النشر إثبات العلاقة. وتحتاج السياسة النصية إلى تثبيت طرفي الأمر كي لا يطابقها أمر أطول أو مركب. ويشمل الانتهاء الفعلي تأخر خدمة التفويض في تطبيق الإلغاء؛ فنجاح إعادة تحميل غير متزامنة لا يثبت زوال المنحة القديمة.

لكن المراجعة 07 تصف هذا المسار صراحة بأنه غير منفذ. والموجود، وفق النص، سياسة ثابتة: هوية قراءة وهوية مشغل ورفض لكل ما عدا ذلك، مع مطابقة محاسبة الجهاز. تقلل هذه الحدود أثر الاختراق، لكنها ليست قدرة قصيرة العمر مشتقة من موافقة وتنتهي بعد استعمال واحد.

أما توقيعات Ed25519 الجديدة لكل مدخل ولكل رأس سلسلة فهي اختيارية، ومعطلة افتراضياً، وتُفعل لكل عقدة. وهي إضافة إلى HMAC الإلزامي لا بديل عنه. وقد تسهل تحققاً عاماً عند تفعيلها، لكنها لا تجعل ملاحظة البوابة برهاناً على حقيقة الجهاز ولا تنشئ سجل القرار الخارجي المفقود.

إيصال لحيازة سلطة الكتابة

يحتاج كل فعل كتابة إلى إيصال يثبت أن هوية البوابة الدائمة للقراءة فقط، ويسمي خدمة التفويض المستقلة، ويربط الموافقة ببصمة الأمر والهدف والمهلة والمعرف الفريد، ويظهر أن الاستهلاك سُجل قبل إطلاق السلطة. كما يحدد زمن الإلغاء الفعلي والاستدعاء الذي تلقاه الجهاز.

ثم يجمع الإيصال نية البوابة وتنفيذها المعلن وقرار الخدمة ومحاسبة الجهاز. وتبقى نافذة المطابقة وسلامة الساعات ودلالة المحاسبة الخاصة بالجهاز ملازمة للحكم. وعند نقص الأدلة تكون UNRESOLVED النتيجة الصحيحة.

هذا الإيصال اقتراح من Daniel Kade، وليس مطلباً في VIRP أو RFC 8907 أو RFC 9887 أو IETF. وغايته منع واجهة مركزية من استعارة سلطة المفوض وقوة سجل الجهاز في وقت واحد.

المصادر