Zusammenfassung

  • Der controlling Agent nominiert für jede Komponente ein gültiges Kandidatenpaar; beanspruchen zwei vollständige Agenten diese Rolle, entscheidet ihr gleichverteilt gewählter 64-Bit-Wert.
  • Der höhere Wert belegt weder organisatorischen Vorrang noch menschliche Zustimmung, Signalvertrauen, Medienabsicherung oder einen erfolgreichen Dienst.

Ein Konflikt, der keine Rangordnung kennt

RFC 5245 löst eine mechanische Kollision. Jeder vollständige Agent wählt vorab gleichverteilt eine Zahl zwischen null und 2^64−1. Senden beide ICE-CONTROLLING, werden die Werte verglichen. Einer behält die Rolle, der andere wechselt; eine Antwort 487 Role Conflict kann den Zustand berichtigen.

Der Vergleich kennt keinen Anrufer, Vertragspartner, Geräteinhaber oder Netzbetreiber. Auch nach einem Rollenwechsel wird die Zahl nicht allein deshalb neu gewählt. Sie ist kein Identitätsmerkmal, sondern verhindert, dass beide Seiten dieselbe Verfahrensentscheidung treffen.

Wer im Betriebsportal daraus „Sitzungseigentümer“ oder „autorisierte Seite“ macht, vereinfacht nicht bloß die Darstellung. Er versieht einen Zufallsentscheid mit einer Macht, die auf dem Draht nie nachgewiesen wurde.

Vor der Nominierung stehen mehrere Belege

ICE sammelt Host-, serverreflexive und Relay-Kandidaten, tauscht sie über einen bereits vorhandenen Signalisierungskanal aus, bildet Paare und führt STUN-Prüfungen aus. Eine erfolgreiche Transaktion kann ein Paar in die Valid List aufnehmen. Sie zeigt, dass Prüfmeldungen den getesteten Weg zu diesem Zeitpunkt in beide Richtungen durchlaufen konnten.

Erst danach wendet der controlling Agent seine lokale Auswahlpolitik an. Bei regulärer Nominierung sendet er eine Prüfung mit USE-CANDIDATE. RFC 8445 behielt dieses Verfahren bei und entfernte die aggressive Nominierung aus RFC 5245.

Kandidatenpriorität, bestandene Prüfung, Gültigkeit, Nominierung und Auswahl sind fünf getrennte Tatsachen. Ein bevorzugter Kandidat muss nicht erreichbar sein; ein gültiges Paar muss nicht ausgewählt werden; eine Auswahl bleibt nicht zwangsläufig aktuell. Das Sammelfeld „verbunden“ löscht genau diese Unterschiede.

ICE erbt die Vertrauensgrenze der Signalisierung

ICE setzt einen Signalisierungskanal voraus und stellt dessen NAT-Überwindung nicht selbst her. Kandidaten, Username-Fragmente und Kurzzeitpasswörter kommen über diese äußere Grenze. Die STUN-Integrität schützt Prüfmeldungen, doch ihre Aussage hängt davon ab, ob die Schlüssel sicher beim richtigen Gegenüber ankamen.

Manipulierte Signalisierung kann einem korrekt arbeitenden ICE falsche Eingaben liefern. RFC 8445 behandelt falsch-negative, falsch-positive und falsche peer-reflexive Ergebnisse. „Gültig“ bezeichnet deshalb eine begrenzte Protokollfeststellung, keinen Besitznachweis für die Adresse und keine universelle Identität.

Ein Audit muss neben dem Integritätsergebnis auch die Herkunft der Zugangsdaten erhalten. Sonst ist nur bekannt, dass Nachricht und Schlüssel zusammenpassen – nicht, warum dieser Schlüssel die erwartete Partei vertreten sollte.

Zustimmung besitzt ein Ablaufdatum

RFC 7675 wertet den anfänglichen ICE-Erfolg als erste anwendungsbezogene Zustimmung zum Senden auf dem Paar. Zugleich stellt das Dokument klar, dass kein Mensch beteiligt ist. Die Zustimmung gilt für ein einzelnes Fünf-Tupel und muss durch wiederholte Anfrage und Antwort erneuert werden.

Ein ausgewähltes Paar kann gespeichert bleiben, während der letzte Zustimmungsbeleg verfällt. ICE allein meldet das Ende der Zustimmung nicht. Daher gehören Paar, Fünf-Tupel, letzte Erneuerung und außerhalb des Protokolls eingeholte menschliche oder geschäftliche Berechtigung in getrennte Felder.

Auch über den Inhalt sagt der Pfad wenig. Andere Protokolle sichern Vertraulichkeit, Integrität und Endpunkte; die Anwendung entscheidet über Dekodierung und Annahme. Ein ausgewählter Pfad beweist weder verständliche Medien noch SLA-Erfüllung.

Sichtbarkeit ist kein Eigentum

RFC 8828 schützt Host-Kandidaten, weil ihre Offenlegung Topologie verraten kann. Kenntnis und Erreichbarkeit einer Adresse geben kein Recht zur Veröffentlichung. RFC 5128 zeigt außerdem, dass direkte Pfade scheitern und Relays nötig werden können. Nominiert bedeutet nicht direkt, billig, stabil oder unabhängig.

Statt einer grünen Gesamtanzeige braucht der Nachweis eine Leiter: Rollenbehauptung, Konfliktauflösung, authentisierter Kandidatenaustausch, STUN-Integrität, erfolgreiches Paar, Nominierung, beidseitige Auswahl, aktuelle Zustimmung, geschützter Verkehr, Annahme durch die Anwendung und beobachtetes Ergebnis.

Lu Hengs Disziplin der Realitätsebenen verbietet es, einem unteren Beleg die Autorität eines höheren zuzuschreiben. RFC 5245 ist inzwischen historisch; RFC 8445 ersetzt das gemeinsame ICE-Verfahren, RFC 8839 trennt den SDP-Teil. Für die Prüfung zählt die richtige Generation. Die Grenze bleibt: Eine Zufallszahl verteilt Arbeit, keine Herrschaft.

Quellen