Zusammenfassung

  • RFC 3514 ist ein Informational-Dokument des Independent Stream vom 1. April 2003: eine Satire, kein Internetstandard und kein Beleg für einen eingesetzten Schutzmechanismus.
  • Das Evil Bit lässt den Absender jene Aussage wählen, nach der die Firewall handeln soll. Eine falsche Null lässt den Angriff durch; eine falsche Eins kann legitimen Verkehr lahmlegen.

Der Witz von RFC 3514 lässt sich schnell erzählen. Bösartige Pakete sollen ein Bit setzen, harmlose Pakete lassen es frei. Interessanter ist, wie konsequent das Dokument die Prämisse durch ein ganzes Sicherheitssystem führt. Es verteilt Pflichten an Angriffsprogramme, Fragmentierer, Relays, NATs, Proxys, Firewalls und Intrusion-Detection-Systeme. Je vollständiger die Spezifikation wirkt, desto deutlicher wird ihr unlösbarer Vertrauensfehler.

Zuerst muss der Publikationskontext feststehen. Steven M. Bellovins „The Security Flag in the IPv4 Header“ trägt das Datum 1. April 2003. Der Status lautet Informational; der Text erklärt ausdrücklich, keinen Internetstandard irgendeiner Art festzulegen. Der Datatracker führt ihn im Independent Stream. Das Themenregister des RFC Editor beschreibt humor als humoristische RFCs, die April-1-Serie sowie Gedichte und Parodien. RFC 2555 dokumentiert diese spielerische Seite der Reihe ebenfalls.

Diese Einordnung schützt vor einer falschen Lesart der normativen Sprache. RFC 3514 benutzt MUST, SHOULD und MUST NOT mit der formalen Autorität von RFC 2119. Doch Großbuchstaben sind kein Nachweis, dass reale Angreifer einer Verpflichtung zugestimmt haben. Die Forderung ist Teil der Pointe: Eine Regel soll den Gegner zwingen, die für ihn nachteilige Wahrheit selbst zu liefern, ohne ihn zwingen zu können.

Das vorgeschlagene Feld ist das höchstwertige Bit im IPv4 Fragment Offset. Null bedeutet keine böse Absicht; Hosts und Netzelemente sollen das Paket für harmlos halten und auf Abwehr verzichten. Eins bedeutet böse Absicht; sichere Systeme sollen sich verteidigen. Der Messwert ist eindeutig. Seine behauptete Semantik ist es nicht.

Angriffsprogramme MUST das Bit setzen, heißt es anschließend. Das geprüfte Subjekt schreibt damit das Ergebnis der Prüfung. Ein Mitschnitt kann belegen, dass an einem bestimmten Punkt eine Null stand. Er beweist weder die Ehrlichkeit des Senders noch die Unversehrtheit des Pfades, den letzten Schreiber oder den späteren Ausgang.

Die weiteren Regeln verwandeln reale Zurechnungsfragen in binäre Beichten. Von Hand gebaute Angriffspakete müssen sich kennzeichnen. Systeme, die Angriffsverbindungen waschen und weiterleiten, sollen die Absicht bewahren. Ein Portscan soll Forschung von feindlicher Aufklärung unterscheiden. Hinter einer Firewall dürfen interne Hosts das Bit nicht setzen, weil die Satire den externen Angreifer zum Axiom erklärt.

Fragmentierung zeigt, dass der Wert vom Beobachtungspunkt abhängt. Ein für sich gefährliches Fragment muss markiert sein. Zerlegt ein Zwischenrouter ein gesetztes Paket in einzeln ungefährliche Fragmente, soll er das Bit löschen und nach dem Zusammensetzen wiederherstellen. Zwei korrekte Mitschnitte desselben Vorgangs können Gegensätzliches zeigen. Ohne Ort, Transformator und betrachtete Verhaltenseinheit fehlt die Provenienz.

NAT und transparente Proxys vergrößern den Kreis möglicher Autoren. Traditionelles NAT verändert Pakete; RFC 3514 gibt ihm deshalb eine satirische Verantwortung für die Markierung. Ein Proxy, der bösen Inhalt erkennt, soll das Bit ebenfalls setzen. Das Feld behauptet nun nicht nur Senderabsicht, sondern kann Urteil, Sichtweite und Richtlinie eines Middlebox-Betreibers enthalten.

Die Firewall-Regel schließt den Kreis. Sie MUST gesetzte Pakete verwerfen und MUST NOT ungesetzte verwerfen. Ein rationaler Angreifer wählt Null. Wer legitimen Verkehr stören will, versucht Eins einzutragen. Prüft die Firewall zusätzlich Identität, Verhalten oder Kontext, tragen diese unabhängigen Signale die Entscheidung. Das Evil Bit ist dann ein Merkmal, kein Urteil.

Intrusion-Detection-Systeme dürfen Fehlpositive und Fehlnegative probabilistisch korrigieren. Damit kehrt alles zurück, was das Bit ersparen sollte: Modell, Konfidenz, Schwelle, Beobachtungsfenster und asymmetrische Fehlerkosten. Sobald ein IDS die Selbstauskunft für falsch erklären kann, besitzt sie keine abschließende Autorität.

Router ohne Sicherheitsfunktion sollen das Bit ignorieren. Weiterleitung bleibt dadurch von Beurteilung getrennt. Beobachtung ist keine Zurechnung. Zurechnung ist keine Autorisierung. Ein Drop beweist nicht den Schaden, der ohne ihn entstanden wäre. Auch wenn ein Gerät mehrere Rollen übernimmt, bleiben deren Belege verschieden.

Die Security Considerations benennen beide Ausfälle. Das Funktionieren hängt entscheidend davon ab, dass das Bit korrekt gesetzt wird. Eine falsche Null verhindert die vorgesehene Abwehr. Eine falsche Eins kann Denial of Service erzeugen. Die Konstruktion besitzt keine unabhängige Wahrheit; sie verbindet eine ungeprüfte Behauptung direkt mit Zwang.

Die Errata liefern redaktionellen Kontext. Eine Verifier-Notiz scherzt sogar, ein Bericht hätte am 1. April eingereicht werden sollen. Solche Einträge machen aus der Satire weder einen Standard noch einen Implementierungs- oder Adoptionsnachweis.

Im September 2026 führte draft-traviss-evil-byte-00 die Idee fort. Weil Sender angeblich nicht zuverlässig markierten, sollte ein „Morality-Inspecting Trusted Middleman“ ein ganzes Byte bewerten. Der Datatracker kennzeichnet den Text als verfallendes Internet-Draft und work in progress. Seine Aussagen über Betriebserfahrung gehören zur Satire, nicht zu einer Messstudie. Er belegt die kulturelle Fortsetzung der Kritik, keine Produktionstechnik.

Die belastbare Lehre lautet deshalb: Ein Feldwert beweist zunächst nur, dass dieser Wert an einem genannten Beobachtungspunkt vorhanden war. Wer ihn schrieb oder änderte, verlangt Integritäts- und Herkunftsbelege. Verhalten braucht unabhängige Telemetrie. Erlaubnis braucht eine anwendbare Richtlinie. Durchsetzung und Ergebnis brauchen eigene Quittungen.

Mit Heng Lus Realitätsschichten gesprochen, liegt das Label in der symbolischen Realität. Absicht, Befugnis und Schaden liegen in operativer und physischer Realität. Eine minimale Spezifikation kann ehrliche Teilnehmer koordinieren. Sie kann einen Gegner nicht durch das gedruckte Wort MUST wahrheitsgemäß machen. Das Paket durfte sich harmlos nennen. Die Firewall hatte damit noch keinen Beweis.

Sources