Кратко

  • Wathīqa предлагает продлевать доказательство новыми подписями: каждое звено подписывает тот же адрес содержимого, а следующее фиксирует канонический хеш предыдущего.
  • Квитанция о включении в журнал прозрачности задумана как аутентифицированное доказательство «не позднее». Якорь маяка случайности несёт метаданные «не ранее», но в редакции 00 доказательство маяка не проверяется.
  • Проверки свидетелей обязательны только при передаче вызывающей стороной доверенного набора открытых ключей W. Без него проверяются содержимое, подписи и связь звеньев, но не временная квитанция журнала.
  • Это индивидуальный Internet-Draft с предполагаемым статусом Experimental, а не стандарт или решение IETF. Документ заявляет реализации на трёх языках, однако не даёт ссылку на репозиторий или зафиксированный commit и признаёт отсутствие независимой криптографической экспертизы.
  • Результат следует разделять на валидность криптографической цепочки, проверенную при конкретной политике верхнюю границу, непроверенную нижнюю границу и локальное решение о принятии либо обновлении.

Криптографическая преемственность зависит от своевременности

Байты архивного документа могут не меняться, а доверие к его алгоритму — меняться. Новая атака, компрометация ключа или пересмотр допустимой стойкости способны сделать прежнюю подпись неприемлемой. Если новое звено добавлено уже после такого перехода, оно не возвращает утраченную уверенность: к тому моменту могли появиться альтернативные истории, подписанные взломанным старым способом.

RFC 4998 строит Evidence Record Syntax вокруг упреждающего продления. Архивные метки времени следует обновлять до ослабления алгоритмов или утраты действительности сертификатами. При этом сведения об ослаблении, риске компрометации и допустимом сроке находятся вне синтаксиса. Формат хранит результат решения, но не умеет самостоятельно следить за будущими открытиями криптоанализа.

Wathīqa revision 00 переносит этот подход на смену алгоритмов подписи. Защищаемые данные представлены адресом содержимого. Каждое звено подписывает этот адрес выбранным примитивом и связывает следующее звено с каноническим хешем предыдущего. Указанные в проекте ML-DSA и SLH-DSA стандартизованы в FIPS 204 и FIPS 205. Статус этих алгоритмов не является проверкой профиля Wathīqa и не определяет срок их допустимости в политике конкретной организации.

Журнал и маяк отвечают на противоположные вопросы

Верхняя временная граница опирается на журнал прозрачности. Хеш подписи звена становится листом дерева Merkle; путь включения связывает его с подписанной головой дерева. Если проверяющая сторона доверяет ключу журнала и путь сходится, она получает доказательство, что звено было включено не позднее времени этой головы. В проекте используются идеи RFC 6962. Это не точное время создания, а верхний предел.

Для нижнего предела нужен публичный, заранее непредсказуемый сигнал. Если подпись действительно связывает звено с аутентифицированным импульсом, звено не могло быть подготовлено раньше публикации значения. Страница NIST Randomness Beacon 2.0 описывает нумерованные, снабжённые временем, подписанные и соединённые хешами импульсы. Сам сервис 2.0 на ней по-прежнему назван бета-версией и незавершённой работой.

В Wathīqa данные импульса входят в подписываемый материал. Но редакция 00 не проверяет подпись импульса или иное доказательство маяка. Она лишь сверяет хеш, связывающий записанный якорь с подписью звена. Такая самопривязка защищает запись якоря от незаметной перестановки, но не доказывает, что NIST действительно выпустил заявленный импульс.

Раздел Security Considerations говорит об этом прямо: злоумышленник может заполнить метаданные «не ранее» произвольными значениями, поэтому якорь нельзя считать аутентифицированным временем. Это не вывод о взломе работающей системы. Это ограничение, зафиксированное автором. Постквантовая подпись защищает утверждение от последующего редактирования, но не делает источник утверждения подлинным.

Необязательный W создаёт два разных режима

Квитанция журнала тоже получает силу только через локальный выбор. Процедура принимает необязательный набор W — открытые ключи свидетелей, которым доверяет проверяющая сторона. При наличии W каждое звено обязано иметь действительную квитанцию включения, голова дерева должна проверяться одним из этих ключей, а её времена не должны идти назад.

Если W не передан, эти требования не выполняются. Адрес содержимого, подписи и предыдущие хеши всё равно проверяются, после чего цепочка может быть принята в более узком смысле. Один и тот же файл способен получить два успешных ответа: «структура и подписи корректны» и «кроме того, квитанции подтверждены этой версией списка свидетелей».

Булевый индикатор скрывает различие. Аудитор не увидит, что W отсутствовал. Две компании могут хранить идентичный файл, но доверять разным журналам и потому не разделять одно временное заключение. Переносимость записи ещё не означает переносимость её политики доверия.

Проект рекомендует поддерживать преемственность ключей свидетелей в дописываемом журнале, разрешать её кворумом и закреплять на долгоживущем якоре. Это признание задачи, а не готовая схема управления. Не определены состав кворума, экстренный отзыв скомпрометированного поколения, выбор между расходящимися историями и хранитель после прекращения первоначального оператора.

У первой редакции нет статуса принятого стандарта

Datatracker показывает индивидуальный Internet-Draft без RFC stream. Документ датирован 3 сентября 2026 года, нацелен на Experimental и истекает 7 марта 2027 года. Объявление от 5 сентября подтверждает публикацию редакции 00, но не принятие рабочей группой и не одобрение IETF.

В тексте заявлены полная эталонная реализация на Python, проверяющие программы на JavaScript и Rust и общий набор векторов, воспроизводящий канонический хеш. Там же сказано, что аргументация безопасности не прошла независимую криптографическую экспертизу. Репозиторий и неизменяемый commit не указаны, поэтому в рамках этой статьи утверждение о перекрёстной проверке независимо не воспроизводилось.

Есть и видимая несовместимость описаний версии. Раздел 4.3 называет обёрнутую форму ASN.1 DER профилем версии 3 и временно объявляет авторитетным внешний Python-файл с модулем. Приложение B называет текущий DER-профиль версией 4, разрешает декодировать версии 1–3 и утверждает, что выпускается только версия 4. RFC 9169 публикует современные модули ASN.1 для ERS, но не разрешает внутреннюю развилку версии расширения Wathīqa.

Вероятно, это исправимый след редактирования первого проекта. Он не доказывает ни уязвимость, ни отказ реализации. Однако спецификация, исходный код и векторы должны указывать на один зафиксированный объект, прежде чем независимые стороны смогут воспроизвести совместимость. Регистрации двух предлагаемых медиатипов также отмечены как ещё не поданные в IANA.

Проверяемая часть уже, чем полная временная история

Текущая проверяемая область ясна. Любая сторона может заново вычислить адрес содержимого, проверить подпись каждого звена и проследить обязательства перед предыдущими хешами. С явно выбранным W она способна добавить подтверждённую верхнюю границу. Нижняя граница в описанной процедуре остаётся неаутентифицированной.

Сама запись не решает, когда алгоритм выводится из допустимых, чей прогноз считать основанием, каким свидетелям доверять и кто запускает срочное обновление. Эти решения закономерно остаются у полагающейся стороны. Риск возникает тогда, когда интерфейс не фиксирует их и выдаёт условное заключение за вечное свойство файла.

Ранняя версия Wathīqa полезнее как попытка сделать продление переносимым, чем как обещание абсолютной уверенности. Её предупреждение о нижней границе позволяет построить честный результат — если последующая реализация не скроет предупреждение.