Zusammenfassung

  • RFC 9734 von Rohan Mahy führt id-kp-imUri als X.509-EKU für Zertifikate ein, die die Identität eines IM-Clients belegen sollen.
  • Die engere Zweckbindung hilft gegen Protokollverwechslung; sie protokolliert weder Zustellung noch Anzeige noch Aufbewahrung.

Ein kleiner Wert mit klarer Wirkung

Allgemeine Zwecke wie clientAuth und serverAuth können für viele Kontexte gelten. Für eine Zertifizierungsstelle oder eine prüfende Anwendung kann gerade diese Breite ein Problem sein. RFC 9734 schafft daher einen besonderen Zweck für IM-Identitätsberechtigungen. Die Spezifikation rät davon ab, ihn zugleich mit den allgemeinen Zwecken zu setzen: Dann ginge die gewonnene Trennschärfe verloren.

Das ist keine neue Form einer Chatgarantie. Es ist eine Policy-Information im Zertifikat. Sie kann einer Anwendung helfen, eine Berechtigung außerhalb ihres vorgesehenen Kontextes abzulehnen.

Zwischen Schlüsselprüfung und Nachricht liegen Systeme

Die korrekte Prüfung eines Zertifikats beantwortet nur eine enge Frage über Schlüssel, Kette und Zweck. Für den Weg einer Nachricht fehlen ihr die Beobachtungspunkte. Hat der Dienst einen Auftrag angenommen? Wurde ein Warteschlangeneintrag verarbeitet? Konnte ein Endgerät entschlüsseln? Wurde eine Nachricht dargestellt? Jede dieser Fragen verlangt Daten vom jeweiligen System.

Behauptung Passender Nachweis Nicht im IM-EKU enthalten
Schlüssel ist für IM-Identität vorgesehen Zertifikat und Validierung Nachricht wurde erstellt
Dienst nahm eine Anfrage an Dienstprotokoll Empfängerergebnis
Inhalt war auf einem Gerät verfügbar Endpunktbeobachtung menschliche Kenntnisnahme
Vorgang bleibt überprüfbar Integritäts- und Aufbewahrungsnachweis tatsächliche Archivierung

Der Unterschied schützt auch die Untersuchungspraxis. Ein gültiges Zertifikat kann ein wichtiges Eingangssignal sein, darf aber weder einen Zustellfehler verdecken noch einen Streit über Aufbewahrung beenden.

Autorschaft ist keine Betriebshoheit

Der IETF-Datatracker nennt Mahy als Autor von RFC 9734 und als Vorsitzenden der Digital-Emblems-Arbeitsgruppe. Damit ist sein standardisierender Beitrag sauber belegt. Daraus folgt keine Kontrolle über eine CA, einen Messenger oder das Ergebnis einer einzelnen Unterhaltung. Offene Standards verteilen diese Zuständigkeiten bewusst.

Quellen