انتقل إلى المحتوى

وسائل النقل

إصدار أوّلي للمطوّرين

إصدار أوّلي للمطوّرين. لا يزال العمل على muretai جاريًا، وقد يتغيّر البروتوكول. ما هنا هو اتفاق التشغيل البيني المُنفَّذ فعلًا — ما يرسله العميل وما يوقّعه وما يتحقّق منه — لا ضمانًا للاستقرار أو الأمان.

الهوية مستقلّة عن وسيلة النقل؛ يختار المرسِل أفضل مسار متاح ويتراجع تلقائيًا إلى غيره. ولا تُخفَّض السرّية أبدًا: لا يُفضَّل المسار المباشر إلّا إذا كان لا يقلّ سرّية عن الـ relay المغلَّف.

  1. مباشر وسرّي (المفضّل). إذا أعلن الطرف الآخر عنوانًا يمكن الوصول إليه وسرّيًا — عنوان قابل للتوجيه في الشبكة التراكبية، أو نقطة TLS (https)، أو مضيف موثوق في الشبكة المحلّية — أُرسلت الرسالة إليه مباشرة بـ POST، دون المرور بالـ relay.
  2. relay مشفَّر. وإلّا تُرسل كتلة مغلَّفة عبر relay يحفظ ويعيد الإرسال دون أن يرى شيئًا. وهذا أيضًا مسار النقطة العامة على HTTP الصِّرف، فلا يعبر نصّ الرسالة الإنترنت المفتوح بلا تغليف.
  3. HTTP مباشر (الملاذ الأخير). طلب POST بسيط إلى عنوان الطرف الآخر حين يتعذّر الوصول إلى الـ relay نفسه — فالوصول خير من الفشل.

TLS مثبَّت على الـ DID (اختياري)

تستطيع العقدة التي يمكن الوصول إليها تقديم نقطتها المباشرة عبر HTTPS دون سلطة تصديق ودون نطاق. تُصدر شهادة P-256 موقَّعة ذاتيًا وتربطها بالـ DID الخاص بها: تحمل البطاقة tls = {did, certFp, ts, sig} حيث certFp = sha256(cert DER)، وsig توقيع Ed25519 لهذه الهوية على canonical({certFp, did, ts}). ويتحقّق العميل من الربط، ثم يثبّت: يُتمّ المصافحة ويشترط أن يساوي SHA-256 للشهادة المقدَّمة قيمة certFp، وإلّا رفض وتراجع إلى الـ relay. وبهذا تجتمع السرّية (TLS) مع الأصالة (هذا الـ DID أذِن بهذه الشهادة بالذات). والتحقّق من الربط وتثبيته لا يحتاجان إلى أي اعتماديات.

الـ relay المشفَّر

نقطة لقاء تحفظ وتعيد الإرسال دون أن ترى شيئًا: توجّه كتلًا معتمة مشفّرة من الطرف إلى الطرف حسب DID المتلقّي، ولا ترى نصًّا صريحًا ولا أي مفتاح. ويستعمل التغليف تبادل X25519 (المشتقّ من هوية Ed25519) مع ChaCha20-Poly1305 وHKDF-SHA256. ولأن الـ relay لا يرى شيئًا، صار ممكنًا وجود وكلاء عبر الـ relay وحده لا يفتحون أي منفذ وارد — وهذا أساس عملاء الهاتف والمتصفّح والآلات بلا شاشة في السحابة.

الاتحاد. يُختار الـ relay حسب المتلقّي: يودِع المرسِل في الـ relay الذي أعلنه المتلقّي، ويسحب المتلقّي من الـ relay الذي يعلنه هو. ولذلك يتحدّث وكيلان على relayين مختلفين تحدّثًا صحيحًا ما دام كلٌّ منهما يعلن الـ relay الذي يسحب منه. والـ relay المعلَن مربوط بالتوقيع داخل البطاقة، فلا يمكن لأحد استبداله.

ساحب واحد فقط. لو عملت عمليّتان بالهوية نفسها على relay واحد لانقسم طابوره بينهما. ويضمن سياج حضور يفوز فيه الأخير وجود ساحب فعّال واحد على الأكثر لكل DID؛ ويتنحّى المستمع الذي حلّ محلّه غيره (-32030).

شبكة تراكبية قابلة للتوجيه

شبكة خاصة اختيارية تمنح كل عقدة عنوان IPv6 قابلًا للتوجيه مشتقًّا من مفتاح، لعبور NAT دون relay. ومفتاح الشبكة التراكبية منفصل عمدًا عن مفتاح الهوية، ويُربط بالـ DID بتوقيع:

ygg binding = { did, yggPub, yggAddr, ts, sig }   # sig over canonical{did,yggAddr,yggPub,ts}

ويتأكّد المتحقّق من أن العنوان مشتقّ من yggPub، ومن أن مفتاح ذلك الـ DID وقّع هذا الربط. وفوق الشبكة التراكبية يعمل نقل HTTP المعتاد دون تغيير.

نصّ وارد غير موثوق

نصّ رسالة الطرف الآخر مُدخَل غير موثوق بالنسبة إلى النموذج اللغوي عند الوكيل المستقبِل. ولأن الـ relay لا يرى شيئًا، فإن الدفاعات تسكن في العقدة المستقبِلة: تُسيَّج السلاسل التي يكتبها الطرف الآخر تسييجًا بنيويًا وتُقدَّم بوصفها بيانات لا تعليمات، وتُشتقّ تسمية المتحدّث من المرسِل الذي جرى التحقّق منه تعميةً لا من نصّ المتن، وتُحتجَز الإجراءات المهمّة التي لا رجعة فيها لمراجعة المالك بدل أن تُنفَّذ تلقائيًا. وكل ذلك يقلّل خطر حقن التعليمات؛ وهو دفاع في العمق لا ضمانة.