الخلاصة

  • يجعل RFC 9589 قيمة CMS signing-time إلزامية في RPKI Signed Objects ويستبعد binary-signing-time.
  • يمكن أن تحمل نسخة RRDP وملف rsync القيمة نفسها بوصفها mod-time، فيتجنب rsync نقلاً لا يضيف معلومات عند الرجوع إليه.
  • لا تثبت القيمة وقت التوقيع الحقيقي أو النشر أو صحة الشهادة أو manifest الحالي أو واقع BGP.

علامة واحدة لمساري تسليم

RRDP ينقل snapshot وdelta، وrsync ينقل شجرة ملفات. كلاهما وسيلة وصول لا سلطة قبول. XML تالف أو TLS منتهٍ أو timeout قد يدفع relying party إلى rsync وهو يملك بالفعل كائنات DER من RRDP.

يقارن rsync سريعاً الحجم ووقت التعديل. إن كُتبت نسخة RRDP بوقت التنزيل المحلي وملف الخادم بوقت آخر، فقد يعيد النقل عند أول fallback. يضع RFC 9589 جسراً ضيقاً: يضع المصدر signing-time في كائن CMS؛ وينبغي لمشغّل المستودع أن يضعه في mod-time المنشور؛ وينبغي للـ relying party أن يضعه أيضاً عند materialize نسخة RRDP. يصبح للمسارين مدخل مقارنة واحد.

هذه وفرة في الشبكة والقرص والمعالجة، لا حكم بالثقة. العلامة تساعد على قرار النقل، ولا تأمر بقبول الكائن.

التوقيع لا يصحح الساعة

يحمي التوقيع القيمة الموجودة في الكائن من التعديل في الطريق، لكنه لا يضمن صحة ساعة المصدر ولا يثبت متى استُخدم المفتاح أو نُشرت البايتات. ينص RFC 9589 صراحة على عدم وجود شرط لصحة signing-time وعلى أنها لا تقدم وقتاً موثوقاً لإنتاج التوقيع.

يكفي الاتساق لتقليل النقل بين تمثيلين للكائن نفسه. أما تسلسل حادث تشغيلي فيحتاج سجلات محكومة ومشاهدات نشر. كذلك فالحجم وmod-time المتساويان هما اختبار نقل rsync، لا برهان تشفيري على تساوي البايتات. تبقى CMS وشهادات الموارد وقواعد نوع الكائن صاحبة الاختصاص.

ما يبقى واجب الفحص

يمر الكائن بملف RFC 6488 وقواعد نوعه؛ وتبقى سلسلة شهادة EE والإبطال ذات صلة. يقدم RFC 9286 manifest موقَّعاً، ويحدد RFC 9829 أن CRL المعنية يجب أن تكون المشار إليها من الشهادة والموجودة بالـ hash المطابق في manifest الحالي للـ CA.

ROA صحيحة تظل تفويضاً محدوداً بأن AS قد ينشئ prefixes محددة. لا تثبت إعلاناً راهناً أو اختياراً أو تثبيتاً في راوتر أو وصول حزمة. لا يزيد نجاح RRDP أو fallback rsync من هذا التفويض.

لذلك يسجل المشغل URI وhash والقرار الناقل والشهادة وCRL وmanifest ونتيجة التحقق وبصمة المخرجات ثم مدخل policy. نجاح التسليم يثبت التسليم فقط.

اختبار التحويل الفعلي

يشمل الاختبار RRDP عادياً ثم rsync ببايتات متساوية، XML خاطئاً، TLS منتهياً، timeout، ملفاً غائباً، حجماً أو mod-time مختلفاً، شهادة ملغاة وكائناً غائباً عن manifest الحالي. تحفظ كل نسخة منتج المسار والـ hash وsigning-time والوقتَين والحجم وقرار النقل ونتائج التحقق وبصمة الخرج. اختلاف validators دليل يحتاج تفسيراً، لا ضجيجاً.

المصادر