Zusammenfassung

  • RFC 9891 ist eine experimentelle IETF-Spezifikation. Sie erweitert ACME, damit eine DTN-Knoten-ID als BundleEID-Zertifikatsidentität und als bundleEID-ACME-Identifier geprüft werden kann.
  • Der Nachweis verteilt das Autorisierungsmaterial auf zwei Kanäle: token-chal gehört zur ACME-Account-Challenge, während token-bundle an ein bestimmtes Challenge-Bundle gebunden ist. Der Digest des Response-Bundles verknüpft beide Werte mit dem Empfang dieses Bundles.
  • Eine Node-ID muss eine singleton Bundle-Protocol-Endpoint-ID sein. Eine non-singleton EID wird durch die Erweiterung nicht zu einer gültigen Node-ID.

Die zentrale Frage lautet nicht nur, ob ein Bundle eingetroffen ist. Entscheidend ist, welche Evidenz zeigt, dass die beabsichtigte singleton Endpoint-ID — und nicht lediglich ein Beobachter auf dem Übertragungsweg oder ein vertrauenswürdiges Gateway — genau diese ACME-Autorisierung abgeschlossen hat. Der Server sendet ein oder mehrere Challenge-Bundles an die beanspruchte Node-ID. Der BP Agent des Clients gibt Response-Bundles zurück. Die Prüfung korreliert die Account-Challenge, den Account-Schlüssel, token-chal, token-bundle, das empfangene Bundle und den Digest der Antwort. Das Bundle-Token ersetzt das ACME-Challenge-Token nicht; die Autorisierung bleibt bewusst auf ACME- und BP-Kanal verteilt.

Im ACME-Kontext bezeichnet bundleEID den Identifier für das DTN-Ziel. BundleEID ist die damit verbundene Zertifikatsidentität. Daraus folgt nicht automatisch, welche Organisation organisationsübergreifend über die Namensautorität verfügt. RFC 9891 legt außerdem weder ein allgemeines Bereitstellungsmodell noch eine Routing-Policy oder eine allgemeine Vertrauensdelegation fest. Ein optionales Integrity Gateway kann die Quelle von Response-Bundles bezeugen. Seine Policy, die Vertrauensdelegation und sein Verhältnis zum ACME-Server bleiben experimentelle und organisatorische Fragen.

Die Abbruchbedingung muss auf den tatsächlichen Einsatzfall begrenzt werden: Wird das optionale Integrity Gateway verwendet und ist sein Vertrauensmodell nicht festgelegt, darf das Ergebnis nicht als geklärt akzeptiert werden. Wird dieses Gateway nicht verwendet, tritt genau diese Bedingung nicht ein; die übrigen Prüfungen der Bindung zwischen Konto, Challenge, Bundle und Node-ID bleiben jedoch erforderlich. Die optionale Gateway-Beteiligung darf nicht stillschweigend zu einer allgemeinen Pflicht werden.

RFC 9891 untersucht On-Path-Angriffe und den noch unbestimmten Nutzen einer Validierung aus mehreren Perspektiven in einem DTN-Overlay, dessen Topologie von der zugrunde liegenden IP-Topologie abweichen kann. Die Spezifikation belegt nicht, dass mehrere Perspektiven in einem bestimmten Netz wirksam sind. Der Quellenbestand belegt ebenso wenig Produktionsverbreitung, Erfolgsraten, Latenz, Verfügbarkeit oder DoS-Toleranz für ein konkretes Netz.

Prüfbare Evidenz

Eine Analyseaufzeichnung kann die singleton Node-ID und ihre genaue EID, das ACME-Konto, die Account-Challenge, token-chal, die Kennung des Challenge-Bundles, token-bundle, Sende- und Empfangszeiten, das Response-Bundle, seinen Digest sowie — falls ein Gateway verwendet wird — dessen Attestierung und die angewandte Vertrauens-Policy festhalten. Damit lässt sich die Bindung an ein konkretes Bundle nachvollziehen. Das ist ein analytischer Vorschlag zur Evidenzaufbewahrung, kein von RFC 9891 gefordertes Bereitstellungsartefakt. Eine non-singleton EID ist ein Negativfall für die Node-ID-Identität; ebenso eine Antwort ohne die erwartete Bindung oder ohne nachgewiesenen Empfang der relevanten Challenge.

Grenzen außerhalb der Erweiterung

Zertifikatsbereitstellung, Provisionierung privater Schlüssel, Bundle-Routing, Ratensteuerung und die Kommunikation zwischen ACME-Komponenten und BP Agents liegen außerhalb der Erweiterung. Zertifikatsinstallation und Lebenszyklus privater Schlüssel bleiben Implementierungsfragen. Der Nachweis kann Evidenz für Empfang und Account-Beteiligung liefern, löst aber weder organisationsübergreifende Namensautorität noch Gateway-Governance oder Routing-Policy.

Quellen