Zusammenfassung

  • RFC 9761 ergänzt MUD um deklarierte TLS- und DTLS-Profile für IoT-Geräte. Das Profil ist eine Erwartung, keine Integritätsbescheinigung für laufenden Code.
  • Ein bekannter, nicht deklarierter Wert kann eine Reaktion rechtfertigen. Kennt die Firewall den Wert selbst nicht, darf sie nicht allein deshalb sperren; steht er bereits im Profil, ist der Prüfer nachweislich veraltet.
  • TLS 1.3, ECH und verschlüsseltes DNS verkleinern passive Evidenz. Ein Proxy gewinnt Sichtbarkeit nur durch eine neue Datenschutz-, Vertrauens- und Zertifikatsgrenze.

Der Hersteller hatte sein Profil aktualisiert. Die Firewall hatte ihr Wörterbuch nicht aktualisiert. Beim nächsten Verbindungsaufbau erschien deshalb ein Wert, den das Gerät ausdrücklich verwenden durfte, den der Prüfer aber nicht benennen konnte.

Die falsche Schlussfolgerung wäre „unbekannt gleich gefährlich“. RFC 9761 verlangt das Gegenteil. Ein vom Profil abweichender Wert kann nur dann als bekannte Abweichung bewertet werden, wenn die Firewall ihn erkennt. Ist der Wert für sie unbekannt, darf diese Unkenntnis allein die Sitzung nicht stoppen.

Erwartung ist keine Fernsteuerung

RFC 8520 nutzt den begrenzten Kommunikationsbedarf zweckgebundener Geräte. Der Hersteller veröffentlicht eine Manufacturer Usage Description; der lokale Betreiber kann daraus Zugriffsregeln ableiten. Der Hersteller beschreibt die beabsichtigte Nutzung. Er erhält damit weder die letzte Entscheidung noch die Haftung für das Netz.

RFC 9761 erweitert das ACL-Modell aus RFC 8519. Erfasst werden TLS/DTLS-Versionen, Cipher Suites, Erweiterungen, Gruppen, Signaturverfahren, PSK-Modi, ALPN, Vertrauensanker, akzeptierte Zertifizierungsstellen und Zertifikatskompression. So wird aus „Verbindung auf Port 443“ ein überprüfbares technisches Profil.

Trotzdem bleibt es eine Erklärung. Das Profil beschreibt einen Gerätetyp, der Mitschnitt eine einzelne Sitzung und die Firewall ihren eigenen Wissensstand. Ihre Übereinstimmung ist keine Messung des Programmspeichers.

Vier Felder statt eines Compliance-Signals

Steht der Wert im Profil und kennt ihn die Firewall, ist er erwartet. Schadsoftware kann dieselbe Liste nachbilden; „erwartet“ bedeutet nicht „sauber“.

Fehlt er im Profil, ist der Firewall aber bekannt, liegt eine interpretierbare Abweichung vor. Unerlaubte Software, Angriff, ein legitimes Firmware-Update vor der Profilpflege oder eine falsche Modellzuordnung kommen infrage. Alarm, Quarantäne oder Sperre benötigen den konkreten Wert und eine lokale Regel.

Steht der Wert im Profil, ist dem Prüfer aber unbekannt, muss der Prüfer ihn ignorieren und den eigenen Lieferanten sowie den Gerätehalter alarmieren. Fehlt er auf beiden Seiten, bleibt die Bedeutung offen. Auch dann gilt die Mittelbox-Regel aus RFC 8446: unbekannte Suites, Erweiterungen und Parameter dürfen die TLS-1.3-Verbindung nicht allein durch ihre Neuheit brechen.

GREASE hält die Öffnung beweglich

RFC 8701 lässt Clients reservierte GREASE-Werte senden, um starre Gegenstellen früh zu finden. RFC 9761 verbietet, diese Werte in das MUD-Profil aufzunehmen. Würde jede GREASE-Erscheinung als Profilbruch gelten, erzeugte die Sicherheitskontrolle genau die Protokollverknöcherung, die der Test verhindern soll.

Die IANA-Verzeichnisse für TLS-Parameter, YANG-Parameter und MUD koordinieren Namen und Modulstände. Ein Eintrag beweist weder Implementierung noch geladenen Parser. Deshalb gehören Registerstand, Profilrevision und Firewall-Generation in jeden Entscheidungsbeleg.

Ein pauschal geschlossenes System verlagert Macht. Der langsamste Sicherheitsanbieter entscheidet dann faktisch, wann eine offene TLS-Erweiterung nutzbar wird. Zulassen und alarmieren hält die Unsicherheit sichtbar, ohne lokale Reaktionen auf bekannte Risiken zu verhindern.

Mit TLS 1.3 verliert der Beobachter Sicht

TLS und DTLS 1.2 senden ClientHello, ServerHello und Certificate im Klartext. TLS 1.3 verschlüsselt fast den gesamten Handshake nach ClientHello; DTLS 1.3 zieht dieselbe Grenze. Eine passive Firewall sieht Angebote, aber kein Serverzertifikat und nicht das vollständige Profil.

ECH kann SNI und weitere Felder verbergen. Verschlüsseltes DNS entzieht zusätzlich die Namensauflösung. Nutzt das Gerät einen nicht vom Netz bestimmten Resolver, verliert eine namensbasierte MUD-Regel ihren Durchsetzungspunkt. DDR und DNR können netzbestimmte verschlüsselte Resolver bekanntmachen; ihre tatsächliche Nutzung bleibt gesondert zu prüfen.

Vollständige TLS-1.3-Inspektion verlangt einen Proxy. RFC 9761 beschränkt ihn auf firmeneigene und -verwaltete IoT-Geräte, bindet ihn an Sicherheits- und Datenschutzanforderungen und rät möglichst von seinem Einsatz ab. Der Proxy wird selbst zum Vertrauensendpunkt, verlagert Zertifikatsprüfung und kann personenbezogene oder medizinische Daten sehen.

RFC 9325 hilft, schwache kryptografische Wahl zu bewerten. RFC 8613 zeigt mit OSCORE einen anderen Zuschnitt: Anwendungsobjekte können Ende-zu-Ende geschützt bleiben, obwohl eine Zwischenstelle auf anderer Ebene beteiligt ist. Beide geben Leitplanken, keine automatische Freigabe zur Entschlüsselung.

Ein passendes Profil kann kopiert sein

Der RFC räumt ein, dass Malware legitime Parameter nachahmen kann. Modellspezifische Unterschiede, Zertifikate, Zielkontext und Aktualisierungsrhythmus erhöhen den Aufwand, schließen ihn aber nicht aus. Eine Übereinstimmung beseitigt nur eine Abweichungsklasse.

Nachvollziehbare Evidenz verbindet Geräte- und Modellbindung, MUD-URL, Dateihash und Signatur, Profilstand, Firmware, Fluss, Rohwert, Profilvergleich, Parserstand, DNS/IP-Kontext, ECH, Proxy, lokale Entscheidung, Endpunktprüfung und Anwendungsergebnis. is-supported=false zeigt das Ende der Herstellerpflege, nicht automatisch einen Defekt.

Die Trennung der Realitätsebenen verhindert, dass Standard, Eintrag, signierte Datei, laufende Regel, Paket und Wirkung einander ersetzen. Primat des laufenden Codes verlangt die tatsächlich geladenen Stände. Eine minimale Anfangsspezifikation mit lokaler Zukunftsentscheidung koordiniert Begriffe, ohne die Sperrentscheidung zu zentralisieren.

RFC 9761 macht Unsicherheit nicht kleiner, indem es sie versteckt. Er weist sie dem richtigen System zu.