Zusammenfassung

  • Der Dezimalwert von Max-Forwards gibt bei TRACE und OPTIONS an, wie oft die Anfrage noch durch Proxys weitergeleitet werden darf. Bei null muss der empfangende Vermittler selbst antworten.
  • Die Rolle als letzter Empfänger gilt für genau diese Anfrage. Sie macht den Vermittler weder zum Ursprung noch zum Eigentümer der Ressource.
  • Via und Proxy-Status liefern zusätzliche Hinweise, erlauben aber Pseudonyme und begrenzte Offenlegung. Pfadbeobachtung, Betreiberidentität und Genehmigung bleiben getrennte Entscheidungen.

Ein Zähler statt eines zentralen Netzplans

Zwischen Client und Ursprung können Ausgangsproxy, Edge-Dienst, Lastverteiler, Service-Mesh und Reverse Proxy liegen. Eine Schleife lässt sich oft untersuchen, indem mehrere Anfragen nacheinander an verschiedenen Tiefen enden. Dafür braucht es keinen vollständigen, ständig aktualisierten Weltplan der Vermittler.

RFC 9110 gibt Max-Forwards eine enge Bedeutung. Der Wert ist die verbleibende Zahl von Weiterleitungen. Jeder Vermittler muss ihn bei TRACE oder OPTIONS vor dem Weiterleiten prüfen. Null beendet die Weiterleitung und verpflichtet den Empfänger, als letzter Adressat zu antworten. Ein positiver Wert wird um eins vermindert, wobei ein niedrigeres lokal unterstütztes Maximum gilt. Bei anderen Methoden darf das Feld ignoriert werden.

Die Arithmetik kennt keine Unternehmensgrenzen. Ein Betreiber kann mehrere hintereinanderliegende Komponenten führen; mehrere Dienstleister können hinter einem sichtbaren Gateway stehen. Eine Weiterleitung ist deshalb weder eine neue juristische Person noch eine neue Sicherheitsfreigabe.

Auch „letzter Empfänger“ ist kein Eigentumstitel. Der Knoten ist nur für diese Diagnoseanfrage an dieser Stelle final. Er muss nicht der Origin-Server sein und vertritt nicht automatisch die Systeme dahinter. Eine spätere Anfrage kann anders geroutet werden.

OPTIONS beschreibt, TRACE spiegelt

OPTIONS fragt nach Kommunikationsmöglichkeiten einer Ressource oder eines Servers, ohne eine Ressourcenaktion auszulösen. Das Sternziel betrifft den Server allgemein, ein normales Ziel die Kommunikation mit der konkreten Ressource. Max-Forwards kann einen bestimmten Empfänger in der Kette adressieren. Ein Proxy darf das Feld beim Weiterleiten nicht erfinden, wenn es in der empfangenen OPTIONS-Anfrage fehlte.

Es gibt keine universelle vollständige OPTIONS-Antwort. Ein erfolgreicher Empfänger sollte anwendbare optionale Funktionen anzeigen, darf aber lokale Erweiterungen und Offenlegungsregeln haben. Eine sichtbare Fähigkeit ist noch keine Nutzungserlaubnis; ihr Fehlen beweist nicht, dass die gesamte Organisation sie nicht besitzt.

TRACE fordert eine Schleifenrückgabe der empfangenen Anfrage auf Anwendungsebene. Das macht Veränderungen und besonders Via sichtbar, kann aber Geheimnisse reflektieren. Der Client darf keine sensiblen Felder wie Zugangsdaten oder Cookies senden; der Empfänger sollte wahrscheinlich sensible Angaben entfernen. TRACE enthält keinen Inhalt, und seine Antwort ist nicht cachefähig.

Die Wahl einer Tiefe erteilt daher kein Prüfungsrecht. Lokale Richtlinien können TRACE deaktivieren, filtern oder nur authentifizierten Betriebsrollen erlauben. Max-Forwards bestimmt den Stopp, nicht die zulässige Offenlegung.

Protokollnamen sind keine Firmenregister

Via verzeichnet Zwischenempfänger und Protokollversionen. Es unterstützt Schleifenerkennung und Kompatibilitätsanalyse. Wenn ein echter Hostname sensibel ist, darf received-by durch ein Pseudonym ersetzt werden. Kommentare sind optional und entfernbar. Eine Zusammenfassung mehrerer Mitglieder ist nur unter Bedingungen möglich, darunter gemeinsame organisatorische Kontrolle und passende Empfangsprotokolle.

Ein Via-Mitglied entspricht folglich nicht zwingend einer Maschine oder einem Unternehmen. Diese Unschärfe ist Teil der Sicherheitsgrenze: Das Protokoll erhält genügend Verlauf für die Zusammenarbeit, ohne die vollständige interne Topologie öffentlich zu machen.

RFC 9209 definiert Proxy-Status für zusätzliche Angaben zur Antwortverarbeitung, etwa Fehler, nächsten Hop, empfangenes Protokoll oder empfangenen Status. Die Mitglieder stehen vom Ursprungsbereich in Richtung User Agent. Vermittler entscheiden jedoch selbst, wann sie Angaben hinzufügen, und können frühere Mitglieder entfernen, um interne Informationen zu schützen. Origin-Server dürfen Proxy-Status nicht erzeugen.

Die Spezifikation nennt einen ernsten Grund. Backend-Topologie und Konfiguration können Angreifern helfen, Dienste direkt anzusprechen, die auf hohe Last oder fehlerhafte Eingaben nicht vorbereitet sind. Manche Details sind nur für autorisierte Parteien geeignet. Ein fehlender Eintrag beweist deshalb keinen fehlenden Vermittler; ein vorhandener Eintrag beweist nicht allein dessen Rechtsträger.

Ein Befund braucht ein Datum

Lastverteilung, Fehlerumschaltung und regionale Edge-Auswahl verändern Pfade. Zwei gleiche Anfragen können bei demselben Ausgangswert an unterschiedlichen Empfängern enden. Der Datensatz „Hop 3“ ohne Zeit und Ausgangsanfrage ist kein belastbares Inventar.

Eine Beobachtung sollte Methode, Ziel-URI, Startwert, Zeitpunkt, Transportkontext, Status und Antwortdigest verbinden. Via und Proxy-Status werden unverändert zusammen mit ihrem Offenlegungskontext aufbewahrt. Weicht eine spätere Messung ab, entsteht ein zweiter Befund statt einer Überschreibung.

OPTIONS- und TRACE-Antworten sind nicht cachefähig. Für eine Prüfung dürfen sie archiviert werden, aber nicht als aktuelle HTTP-Antwort wiederverwendet werden. Archivierung dokumentiert Vergangenheit; Caching bedient Gegenwart.

HTTP Message Signatures können ausgewählte Komponenten gegen unbemerkte Änderung schützen. Eine Signatur kann also die Integrität eines Zählers oder Diagnosefelds stärken. Sie stellt ausgelassene Vermittler nicht wieder her, bestätigt keine juristische Betreiberidentität und genehmigt keine weitere Untersuchung.

Drei getrennte Nachweisräume

Der Protokollnachweis beschreibt Weiterleitung und Stopp. Der Identitätsnachweis ordnet technische Empfänger anhand von Vertrag, Inventar und unabhängiger Bestätigung einem Betreiber zu und erhält ein Ablaufdatum. Der Autorisierungsnachweis hält fest, wer welche Ziele und Angaben wie lange untersuchen darf. Max-Forwards gehört nur in den ersten Raum.

So entsteht aus einer Null-Antwort kein administrativer Zugang. Eine Via-Änderung wird nicht automatisch zum Vorwurf einer verborgenen Auslagerung. Ein neues Proxy-Status-Mitglied kann eine Ersatzroute anzeigen; ein entferntes Mitglied kann einer Datenschutzregel folgen. Erst zusätzliche lokale Evidenz erlaubt eine Zuordnung.

Die Diagnose selbst bleibt sparsam. Eine konkrete Fehlerannahme bestimmt die ersten Tiefenstufen; bei ausreichender Erklärung endet die Messung. TRACE wird von Geheimnissen und Inhalt freigehalten. OPTIONS erhält nicht deshalb experimentelle Daten, weil Inhalt mit Content-Type syntaktisch möglich ist: RFC 9110 definiert dafür keinen Verwendungszweck.

Sources