Zusammenfassung

  • RFC 9887 sieht eine sofortige TLS-Aushandlung nach dem TCP-Aufbau und mindestens TLS 1.3 vor. TACACS+ wird ausschließlich als TLS-Anwendungsdaten übertragen. Ein TLS-Server darf keine Nicht-TLS-Verbindungen annehmen, und der Client darf bei einem TLS-Fehler nicht wechseln.
  • Zertifikatsbasierte gegenseitige Authentisierung ist der Mindeststandard. Beide Seiten prüfen die Zertifikatskette des Gegenübers einschließlich des Widerrufs. PSK und Raw Public Key (RPK) sind optionale Alternativen; TLS-PSK muss von alten TACACS+-Obfuskationsgeheimnissen getrennt bleiben.
  • Peers, die über TLS arbeiten, MUST TAC_PLUS_UNENCRYPTED_FLAG auf 1 setzen, weil die alte TACACS+-Obfuskation nicht verwendet wird. TLS liefert Vertraulichkeit und Integrität; das Flag bedeutet daher nicht, dass die Transportverbindung ungeschützt ist.
  • 0-RTT ist für TACACS+-Daten wegen des Replay-Risikos verboten. Wiederaufnahme-Tickets sind nur einmal verwendbar, und beim Resume ist der Widerruf erneut zu prüfen. IANA hat TCP-Port 300 und den Dienstnamen tacacss zugewiesen; alternative Ports bleiben nach ausdrücklicher betrieblicher Abwägung möglich.

RFC 9887 bezeichnet eine Migration, in der TLS und Nicht-TLS gleichzeitig bestehen, als unsicher bis zu ihrem Abschluss. Ihre Dauer soll minimiert werden, und Nicht-TLS-Server sollen getrennt werden. Das ist die normative Aussage des RFC; daraus folgt weder ein absolutes Gebot der kürzestmöglichen Dauer noch eine Behauptung, dass RFC 9887 eine Theo-March-Checkliste vorschreibt. Inventar, Eigentümer des Cutovers, Ablauf von Ausnahmen, Entfernung von Firewall-Regeln und Routen, Löschen alter Geheimnisse sowie Aufbewahrung von Nachweisen sind Analyse und Betriebsempfehlungen von Theo March.

Entscheidungspfad für Betreiber:

  1. Erfassen Sie Geräte, Ziele, Adressen, Ports und je Pfad verwendete Geheimnisse. Kennzeichnen Sie Geräte, die nicht sofort migrieren können, ohne daraus eine allgemeine Herstellerabdeckung oder eine erwartete Migrationsdauer abzuleiten.
  2. Aktivieren Sie unmittelbare TLS-Aushandlung mit mindestens TLS 1.3, gegenseitigen Zertifikaten und Widerrufsprüfung. PSK oder RPK sind bewusste optionale Alternativen; TLS-PSK und alte TACACS+-Geheimnisse bleiben getrennt. Prüfen Sie bei jedem TLS-Peer TAC_PLUS_UNENCRYPTED_FLAG=1.
  3. Erzwingen Sie bei einem fehlgeschlagenen Handshake einen sichtbaren Fehler statt eines Wechsels zu Nicht-TLS. Prüfen Sie die Ablehnung von 0-RTT, die Einmalverwendung von Resumption-Tickets und die erneute Widerrufsprüfung beim Resume.
  4. Halten Sie Nicht-TLS-Server während der Mischphase getrennt und minimieren Sie deren Dauer im Sinn von RFC 9887. Das Abschalten alter Server, das Entfernen alter Firewall-Regeln und Routen, das Löschen von Geheimnissen, die Benennung des Cutover-Eigentümers und die Aufbewahrung von Evidenz sind operative Empfehlungen von Theo March, keine zusätzlichen RFC-Anforderungen.

Die Evidenzgrenze bleibt eng. RFC 9887 belegt weder aktuelle Herstellerabdeckung noch produktive Nutzung von TCP 300, beobachtete Migrationsdauern oder Downgrade-Vorfälle, die Verfügbarkeit von Zertifizierungsstellen oder Widerrufslatenzen in realen Netzen, noch gemessene Leistungseffekte der TLS-Wiederaufnahme. Es belegt außerdem weder Bereitstellungsergebnisse, Herstellerkonformität, eine Vorfallhistorie noch aktuelle Betreiberakzeptanz.

Quellen