Zusammenfassung

  • Der IESG startete am 25. September die Last Call für SATP Core in Version 17 als möglichen Proposed Standard. Stellungnahmen sind bis 9. Oktober erbeten; ein RFC ist damit nicht verabschiedet.
  • Die Wirkung eines Abbruchs hängt laut Abschnitt 11.5 von der Phase ab. Nach Übermittlung von commit-final ist er nicht mehr wirksam; bei einem Gateway-Ausfall kann bereits die Abbruchnachricht verloren gehen.
  • Der aktuelle Kernentwurf unterstützt keine Wiederherstellung oder Wiederaufnahme einer Sitzung. Über mögliche Verfahren außerhalb des Protokolls entscheidet dieser Satz nicht.

Zwei Gateways können einen Übertragungsablauf sorgfältig absichern und trotzdem an unterschiedlichen Stellen wissen, was geschehen ist. Gerade deshalb verdient eine unscheinbare Passage des SATP-Core-Entwurfs Aufmerksamkeit: Ein Abbruch ist nur in bestimmten Phasen ein sinnvoller Rückweg. Der Internet Engineering Steering Group liegt seit dem 25. September die Version 17 des Kernprotokolls zur Schlussprüfung vor. Anders als die zuvor geprüften, auf Informational-Status zielenden Architektur- und Anwendungsfalldokumente strebt dieser Text den Status Proposed Standard an.

Der ältere BTW-Beitrag fragte nach Verwahrung und Haftung bei undurchsichtigen Ausgangsbüchern; der neue Prüfgegenstand ist der Zustand des Protokolls selbst.

Der Kerntext beschreibt eine Gateway-zu-Gateway-Übertragung über einen gesicherten Kanal mit zweiphasigem Commit. Zunächst sperrt das sendende Gateway den Vermögenswert im Ursprungsnetz und bekräftigt dies mit einer Signatur. Danach bereitet die Gegenseite eine Repräsentation unter ihrer Kontrolle vor und meldet Bereitschaft. Erst in den folgenden Schritten löscht die Ursprungsseite den alten Zustand, sendet commit-final, worauf die Gegenseite den neuen Vermögenswert dem Begünstigten zuordnet und eine Schlussbestätigung zurückgibt. Die Abfolge ist mehr als technische Choreografie: An jeder Stelle haben die Beteiligten andere Eingriffsmöglichkeiten.

Abschnitt 11.5 nennt die Grenzen. Vor der Bereitschaftsmeldung der Empfängerseite schildert der Entwurf, wie eine Sperre am Ursprung gelöst oder eine lokale Änderung am Ziel zurückgenommen werden kann. Er weist zugleich darauf hin, dass eine Abbruchnachricht bei einem Absturz möglicherweise nie beim Peer ankommt. Nach dem commit-final des sendenden Gateways soll ein Abbruch keine Wirkung mehr haben. Daraus folgt weder, dass in einem bestimmten Netz bereits ein Schaden entstanden ist, noch dass jeder Fehler zwangsläufig zu Verlust führt. Es folgt nur, dass der Nachrichtentyp „Abbruch“ keine unbegrenzte Rückabwicklung verspricht.

Auch Abschnitt 10.8 lässt sich nicht als Nebensatz abtun. Die vorliegende SATP-Fassung unterstützt weder die Wiederherstellung noch die Wiederaufnahme einer Sitzung. Ein späterer Entwurf oder eine eigenständige Spezifikation könnte das ändern. Betreiber könnten sich außerhalb des Protokolls auf gespeicherte Belege, Abgleiche und Vereinbarungen stützen; der Kerntext liefert dafür aber keinen standardisierten Wiederaufnahmepfad. Ein Test, der lediglich eine ungestörte Übertragung zeigt, beantwortet die Frage einer verlorenen Schlussbestätigung daher nicht.

Im Sicherheitsteil erörtert der Entwurf Unterbrechungen, absichtlich verzögerte oder zurückgehaltene Nachrichten und mögliche Gebühren oder finanzielle Schäden auf Betreiberseite. Das sind Risikoanalysen, keine dokumentierten Vorfälle. Die Arbeitsgruppen-Charta rechnet zudem mit rechtlichen oder sonstigen Abmachungen zwischen teilnehmenden Netzen und nimmt deren Ausgestaltung aus dem SATP-Auftrag heraus. Eine Signatur ordnet eine Erklärung zu; sie ersetzt keine vorherige Entscheidung darüber, wer bei einem unterbrochenen Commit das Risiko trägt.

Der 9. Oktober beendet die Frist für Kommentare, nicht die Standardisierung. Sachliche Stellungnahmen können jetzt verlangen, dass reversible Zustände, der letzte gemeinsam bekannte Schritt und der Umgang mit fehlender Sitzungsfortsetzung auseinandergehalten werden. Erst dann lässt sich beurteilen, welche Zusage eine Implementierung ihren Nutzern tatsächlich machen darf.

Quellen