Summary

  • IPv4-Option 130 trug eine Klassifizierungsstufe und optional mehrere Schutzbehörden-Kennzeichen, die Prüfung, Zustellung und Routenwahl beeinflussen konnten.
  • Die Option verschlüsselte nichts und wirkte nur dort verlässlich, wo ein abgegrenzter Sicherheitsbereich gemeinsame Bedeutungen und Durchsetzungsregeln pflegte.

Ein gemeinsames Wörterbuch im Netz

Der technische Rahmen war knapp: Typ 130, variable Länge, mindestens drei Oktette und höchstens ein Vorkommen pro Datagramm. Weil das Copy-Bit gesetzt war, musste die Option auch in jedem Fragment stehen. Auf Typ und Länge folgte ein Klassifizierungsoktett; danach konnte ein Bitfeld für Schutzbehörden angefügt werden.

Gerade das Klassifizierungsoktett warnte vor einer zu einfachen Implementierung. RFC 1108 definierte verstreute Bitmuster statt einer lückenlosen Zahlenreihe. Reservierte oder nicht aufgeführte Werte galten als Fehler. Höher oder niedriger ließ sich deshalb nicht zuverlässig durch gewöhnlichen Zahlenvergleich bestimmen; der Empfänger brauchte die festgelegte Zuordnung.

Im folgenden Bitfeld konnten mehrere Programme gleichzeitig markiert sein. Diese Stellen bezeichneten Regelbereiche, nicht Akkreditierungsstellen. Das Paket führte also keine selbstbeglaubigende Freigabe mit sich. Es meldete, welche Schutzvorschriften seine Behandlung bestimmen sollten.

RFC 1108 verband das Format mit drei Aufgaben: Übertragung und Zustellung prüfen sowie eine Route wählen, deren Schutz allen markierten Behörden genügte. Dafür mussten Routingprotokolle Informationen über Sicherheitskennzeichnungen verbreiten. Der Header allein kannte keinen geeigneten Weg; erst die verteilte Routing-Sicht machte aus der Kennzeichnung eine mögliche Weiterleitungsentscheidung.

Damit war die Option von Beginn an institutionell gekoppelt. Ein gemeinsames Bitformat genügte nicht. Endsysteme, Router und Betreiber mussten dieselben Klassifizierungen verstehen. Die Option verschlüsselte keine Nutzdaten, bewies keine Identität und garantierte keine einheitliche Durchsetzung.

Warum pauschales Filtern zu grob sein konnte

RFC 7126 bewertete IPv4-Optionen später aus betrieblicher und sicherheitstechnischer Sicht. Für Typ 130 dokumentierte es jedoch bekannte Nutzung in bestimmten Hochsicherheitsumgebungen und damalige Implementierungen in Betriebssystemen und Routern. Ein universelles Verwerfen am Rand konnte daher legitime Netze beschädigen.

Das ist kein Beleg für weite Verbreitung. Die Quellen nennen weder heutige Marktanteile noch allgemeine Firewall-Vorgaben oder eine aktuelle Behördenliste. Sie zeigen nur, warum öffentliche Transitpolitik und eine kontrollierte Sicherheitsdomäne zu verschiedenen Urteilen über dieselben Bits kommen können.

Sources