Zusammenfassung

  • RFC 9770 macht Hashes widerrufener, noch nicht abgelaufener Tokens über eine TRL verfügbar; sie benennt ausdrücklich das Zeitfenster, bevor ein RS vom Widerruf erfährt.
  • Der AS-Entschluss, die Listenänderung, Observe oder Abruf, Empfang, lokale Expungierung und das Ergebnis eines geschützten Requests sind nicht derselbe Beleg.

Ein Verzeichnisstatus ist kein Vollzug. RFC 9770 wurde 2025 von Marco Tiloca, Francesca Palombini, Samuel Echeverria und Grace Lewis als Standards-Track-Arbeit veröffentlicht. Registrierte ACE-Geräte können die Token Revocation List per CoAP vollständig oder als Differenz abrufen und sie mit Observe beobachten. Die TRL enthält Token-Hashes. Ein Hash verbindet das Protokoll mit einem Token; er beweist weder die Ursache des Widerrufs noch die Identität eines Akteurs oder die Antwort auf einen späteren Request.

Der Standard zieht die Zuständigkeitslinie schon vor der Liste: Wie ein Token für widerrufen erklärt wird und wie der AS davon erfährt, liegt außerhalb des Dokuments. Aus einem TRL-Eintrag lässt sich daher keine vollständige Policy- oder Schuldgeschichte ableiten. Er dokumentiert die Darstellung des AS.

Auch ein abgesandtes Observe-Paket belegt nicht das Wissen des Empfängers. RFC 9770 nennt die Unterdrückung von Benachrichtigungen durch einen Angreifer und verlangt deshalb, sich nicht allein auf Observe zu verlassen. Regelmäßige Vollabfragen folgen einer lokalen Anwendungspolitik und dem tatsächlichen Verfügbarkeitsmuster. Bei keiner Antwort oder einer Fehlermeldung darf ein Requester weder auf Widerruf noch auf Ablauf schließen. Begrenzte Differenzsammlungen können alte Updates verlieren, während eine vollständige Liste ein eingeschränktes Gerät überfordern kann.

Nach einer einschlägigen Antwort ist der lokale Schritt dagegen präzise: Das Gerät muss das gespeicherte Token zum gelisteten Hash aussondern; ein RS muss den Hash danach behalten. Dies ist die notwendige Zustandsänderung am Durchsetzungspunkt. Sie beweist nicht die Zustellung an andere Teilnehmer und nicht die Ablehnung jeder künftigen Anfrage.

Die RFC formuliert die Konsequenz offen: Zwischen Widerruf und Kenntnis des RS kann ein Client noch zugreifen; sofern der RS das Token speichert, kann der Zugriff erfolgreich sein, obwohl er es nicht sein sollte. Das ist eine Sicherheitsverletzung. Eine korrekte Untersuchung braucht daher den AS-Stand und die Empfangs-, Speicher- und Entscheidungsbelege des RS.

Heng Lus Maßstab einer schmalen gemeinsamen Schnittstelle hält die Aussage sauber: Die TRL koordiniert Information. Netz, Polling, Speicher und laufender Zugriffscode bleiben lokale Entscheidungsträger.

Quellen