Zusammenfassung

  • RFC 9511 schafft mit /.well-known/probing.txt und weiteren URI-Formen eine kleine Zuordnungsfläche, auf der Messbetreiber Zweck, Gültigkeit und Kontakt angeben können.
  • Die Angabe ist eine prüfbare Behauptung, kein Freibrief. Sie kann gefälscht oder veraltet sein; Filterung, Untersuchung und Vertrauen bleiben Entscheidungen des empfangenden Netzes.

Die Erklärung fehlt im ersten Alarm

Aktive Messung beginnt oft mit einer vernünftigen technischen Frage: Ist ein Ziel erreichbar, wo verändert sich ein Pfad, oder wie behandeln Netze ein bestimmtes IPv6-Headerformat? Der Forschende kennt Hypothese und Rate. Die andere Seite sieht nur einen ICMP-Request, ein TCP-SYN, UDP-Nutzdaten oder eine ungewöhnliche Option.

Damit wandert Aufwand zum Empfänger. Ein Betriebsteam sucht Captures, prüft Häufigkeit und Verteilung, löst die Quelladresse auf und findet einen Abuse-Kontakt. Selbst geringe Raten können eine Untersuchung auslösen, weil der Empfänger der Messung nicht zugestimmt hat und Absicht nicht aus dem Paket lesen kann.

RFC 9511, veröffentlicht im November 2023, setzt an dieser Asymmetrie an. Das Informational RFC trägt die Namen Eric Vyncke, Benoît Donnet und Justin Iurman und durchlief die IETF-Prüfung. Es ist keine verpflichtende Norm und erklärt Scans nicht pauschal für zulässig.

Der Entwurf verlangt weder ein weltweites Reputationssystem noch eine Vertrauensentscheidung im Control Plane. Er standardisiert einen Ort, an dem der Absender seine Behauptung hinterlassen kann. Der Empfänger behält das Recht, sie zu prüfen oder zu verwerfen.

Ein bekannter Ort mit Ablaufdatum

Der „Probe Description URI“ kann auf eine Datei, eine E-Mail-Adresse oder eine Telefonnummer zeigen. Für Dateien ist /.well-known/probing.txt vorgesehen. Das Format greift Felder aus security.txt in RFC 9116 auf: Canonical, Contact, Expires und Preferred-Languages. Hinzu kommt eine einzeilige Beschreibung der Messung.

Expires macht Alterung ausdrücklich sichtbar. Eine beendete Kampagne soll nicht unbegrenzt durch eine alte Erklärung legitimiert erscheinen. Ein Gruppenpostfach schützt persönliche Daten und verteilt Bereitschaft. Bevorzugte Sprachen erleichtern die Kommunikation zwischen Netzen verschiedener Regionen. Canonical hilft, eine maßgebliche Fassung von Kopien zu unterscheiden.

Im IANA-Register für Well-Known URIs ist probing.txt als permanenter, von der IETF kontrollierter Suffix verzeichnet. Der Registereintrag bestätigt den Fundort und die zuständige Spezifikation, nicht den Wahrheitsgehalt einer konkreten Datei. Global ist nur die minimale Form gemeinsam; Glaubwürdigkeit wird lokal beurteilt.

Außerhalb des Pakets: wenig Eingriff, lockere Bindung

Bei der Out-of-Band-Methode leitet der Analyst aus Quelladresse und gegebenenfalls Reverse DNS den Ort der Beschreibung ab. Die Prüfung kann später anhand gespeicherter Daten erfolgen. Das Messpaket bleibt unverändert, sodass die Kennzeichnung seine Behandlung nicht unmittelbar beeinflusst.

Eine Adresse kann jedoch mehrere Rollen verdecken. NAT und dynamische Zuweisung lösen einfache Eigentumsannahmen auf. Bei von Dritten betriebenen Messknoten fallen Auftraggeber, Host und Adressverwalter auseinander. RIPE Atlas dokumentiert ein weltweites Netz verteilter Probes und Anchors, die von Freiwilligen gehostet werden. Genau dort ist „von dieser Adresse“ nicht automatisch „von diesem Messauftraggeber“.

Quelladresse und DNS sind deshalb Evidenz, aber kein Urteil. Erst die Übereinstimmung mit veröffentlichten Bereichen, einer gültigen Datei und einem erreichbaren Kontakt macht die Zuordnung belastbarer.

Im Paket: Sichtbarkeit kann den Messwert verändern

Die In-Band-Methode legt den URI an den Anfang einer ICMP-, UDP- oder TCP-Nutzlast oder in eine IPv6-Hop-by-Hop- beziehungsweise Destination-Option. Die Erklärung begleitet das einzelne Paket und ist nicht vollständig von Reverse DNS abhängig.

Zusätzliche Bytes können allerdings eine Path-MTU-Grenze überschreiten. TCP-SYNs mit Daten werden nicht überall wie gewöhnliche SYNs behandelt. Ungewohnte IPv6-Optionen werden von manchen Implementierungen verworfen. Die Kennzeichnung, die den Versuch erklären soll, verändert möglicherweise dessen Erfolg.

RFC 9511 rät auch von einer speziellen magischen Zeichenfolge ab. Ein Middlebox-Hersteller oder Betreiber könnte sie erkennen und gekennzeichnete Pakete bevorzugen, drosseln oder blockieren. Das Instrument würde dann die Reaktion auf seine eigene Erkennbarkeit messen.

Keine Methode gewinnt überall. Out-of-Band schont das Paket, hängt aber an der Adressbeziehung. In-Band bindet die Erklärung eng an das Ereignis, riskiert jedoch Selektionsverzerrung. Die Kombination erhöht die Zahl der Anhaltspunkte, ersetzt aber keine kryptografische Bindung.

Zuordnung endet vor Authentifizierung

Die zentrale Sicherheitsgrenze ist unmissverständlich: Die gefundenen Angaben dürfen nicht blind vertraut werden. Angreifer können den URI einer bekannten Institution kopieren, eine falsche Datei veröffentlichen oder einen unbeteiligten Dritten als Kontakt nennen. Die Kennzeichnung selbst kann damit zur Fehlzuordnung dienen.

Kann oder will der Empfänger die Information nicht bestätigen, soll er den Flow behandeln, als gäbe es keine Zuordnung. probing.txt ist keine automatische Allowlist. Es setzt weder Rate Limits noch Incident-Response-Regeln außer Kraft und verwandelt eine ungebetene Messung nicht in Einwilligung.

Authentifizierung müsste Paket, Quellinfrastruktur, Kampagnenverantwortlichen und eine vom Empfänger anerkannte Identität fester verbinden. Autorisierung verlangt eine weitere Entscheidung: Darf diese Identität dieses Ziel jetzt mit dieser Rate vermessen? RFC 9511 liefert beides nicht. Es liefert eine Behauptung, deren Überprüfung günstiger sein kann.

Im Betrieb ist das wertvoll. Aktuelle Ablaufdaten, passende Bereiche und ein betreutes Postfach verkürzen eine offene Suche zu konkreten Prüfungen. Ein Fehlalarm kann früher geschlossen oder eine Kampagne genauer gesperrt werden. Der Nutzen ist zunächst organisatorisch: Zwischen Beobachtung und verantwortlicher Stelle liegen weniger Schritte.

Was die NCSC-Erklärung zeigt

Als verwandtes Beispiel nennt der RFC das britische National Cyber Security Centre. Die öffentliche NCSC-Seite zum Scanning nennt Quelladressen, zusammenpassendes Forward und Reverse DNS, einen identifizierenden HTTP-Header, Sicherheitsvorkehrungen und eine Opt-out-Adresse.

Kein Signal reicht allein. Header lassen sich kopieren, Webseiten altern, Adressen können in anderem Zusammenhang erscheinen. Glaubwürdigkeit entsteht aus Übereinstimmung und einer Institution, die tatsächlich antwortet.

Die Veröffentlichung verschiebt zugleich Aufwand zum Absender. Er muss Bereiche und Fristen pflegen, Beschwerden und Ausschlüsse bearbeiten und Missbrauch seines Namens untersuchen. Transparenz ist ein laufender Betriebsdienst, keine einmalige Datei.

Eric Vyncke in einem gemeinsamen Standardisierungsprozess

Das IETF-Datatracker-Profil von Eric Vyncke führt ihn als Internet Area Director und beschreibt Arbeit an Standards, IPv6, Telemetrie und Sicherheit. Sieben RFCs sind dort seiner Autorenschaft zugeordnet, darunter RFC 9511. Auch die aktuelle IESG-Mitgliederseite nennt ihn als einen der Direktoren des Internet-Bereichs.

Das belegt Kontext, nicht Alleineigentum. RFC 9511 hat drei Autoren, verwendet frühere Mechanismen und wurde kollektiv geprüft. IANA, Messbetreiber, DNS-Administratoren und Zielnetze haben getrennte Aufgaben und Entscheidungsrechte.

In RFC 7404, gemeinsam mit Michael Behringer, untersuchte Vyncke Vor- und Nachteile ausschließlich link-lokaler Adressen auf IPv6-Infrastrukturlinks, ohne allgemeine Empfehlung. Dasselbe Muster ist hier erkennbar: eine Option präzisieren, Nutzen und Grenzen offenlegen und die Kontextentscheidung beim Betreiber lassen.

Gemeinsame Grammatik, getrennte Autorität

Probe Attribution kann Zweck, Kontakt, Gültigkeit und Aktualisierungsort sichtbar machen. Sie beweist keine Absicht, verhindert keine Täuschung, garantiert keine Zustellung und zwingt niemanden zur Freigabe.

In einem Internet aus unabhängig verwalteten Netzen ist diese bescheidene Reichweite sinnvoll. Eine globale Instanz muss nicht jede Sonde für alle legitimieren. Ein leicht publizierbares und prüfbares Format kann lokale Entscheidungen verbessern, ohne sie zu zentralisieren.

Grenzen der Belege

Die Quellen belegen Inhalt, Autoren und Status des RFC, den IANA-Eintrag, veröffentlichte Rollen, die NCSC-Praxis und das RIPE-Atlas-Modell. Sie zeigen keine Verbreitungsrate von probing.txt und keine gemessene Verringerung von Alarmen.

Sie zeigen auch nicht, dass Eric Vyncke eine konkrete Messplattform, Arbeitgeberentscheidung oder Reaktion eines Zielnetzes kontrolliert. Das Personenprofil muss Mitautorschaft und verteilte Betriebshoheit erhalten.

Quellen