Zusammenfassung

  • Revision 01 des MBONED-Entwurfs ist ein aktiver Informational Internet-Draft, kein RFC und kein Nachweis einer Browserimplementierung.
  • Ein Browser muss einen Ursprung daran hindern, beliebige fremde Kanäle zu abonnieren; das Netz braucht unabhängig davon Schutzschalter gegen Überlast und missbräuchliche Join-Muster.
  • Ein gemeinsamer Entschlüsselungsschlüssel beweist nicht den Sender, weil ein naives symmetrisches Verfahren einem Empfänger auch Fälschungsmacht geben kann.
  • Join, Quellenbeweis, Reihenfolge, Anfragebindung, Übergabe an den Renderer und sichtbares Ergebnis bleiben getrennte Zustände.

Der Ursprung kann Last an den Rand verlagern

Webseiten dürfen Code im Browser ausführen, obwohl der Nutzer ihrer Absicht nicht vertrauen muss. Genau deshalb schützt das Webmodell den Nutzer vor dem besuchten Ursprung. Multicast erweitert die Wirkung eines Skripts: Ein Join kann Verkehr in das Zugangsnetz holen, ohne dass der Server für jeden Empfänger einen gewöhnlichen Unicast-Strom aufbaut.

Ein feindlicher Ursprung könnte viele Kanäle abonnieren. Der Browser sollte mindestens verhindern, dass ein Kanal ohne Beziehung zur hostenden Website beigetreten wird. Für eine gemeinsame Nutzung über Ursprungsgrenzen hinweg braucht es einen expliziten Mechanismus nach Art von CORS.

Diese Browserentscheidung autorisiert eine Anforderung. Sie reserviert keine Netzkapazität, authentifiziert keinen Inhalt und beweist keine Zustimmung zu jeder späteren Einheit. Die Herkunftsbeziehung, der Join und die Nutzung müssen im Audit als verschiedene Ereignisse erscheinen.

Das Netz verteidigt einen anderen Nenner

Der vorgelagerte Router sieht die Summe der Abonnements und die verfügbare Zugangskapazität. Er kann missbräuchliche Muster oder Überlast erkennen und Schutzschalter anwenden, etwa weniger populäre Inhalte begrenzen. Seine Autorität gilt der gemeinsamen Ressource.

Der Browser dagegen kennt Ursprung, Benutzerkontext und private Sitzung. Er kann entscheiden, ob eine Website den Join überhaupt auslösen darf. Keine der beiden Ebenen kann die andere ersetzen: Ein erlaubter Join kann das Netz überlasten, und ein kapazitiv möglicher Join kann vom falschen Ursprung stammen.

Eine Kennzahl wie „erfolgreiche Kanalbeitritte“ vermischt diese Grenzen. Besser sind Join-Versuche pro Ursprung, genehmigte Ursprungsbeziehungen, aktive Kanäle pro Kontext, eingehender Verkehr, ausgelöste Schutzschalter, verworfene Inhalte und nachfolgende Anwendungsnutzung.

Der Gruppenschlüssel macht keinen Absender

Mehrere Empfänger benötigen oft dasselbe Material, um den gemeinsamen verschlüsselten Inhalt zu öffnen. Wird dieses Material in einem naiven symmetrischen Verfahren auch für Herkunftstags verwendet, kann jeder Schlüsselinhaber ein Tag erzeugen, das andere Gruppenmitglieder akzeptieren.

Das ist kein Urteil über jede Gruppensicherheit. Es ist der Grund für eine asymmetrische Herkunftseigenschaft pro Inhaltseinheit. Signaturen behalten den privaten Signierschlüssel beim Sender. TESLA erzeugt Zeit-Asymmetrie durch verzögerte Schlüsselfreigabe. AMBI verwendet ein authentisiertes, geordnetes Manifest von Paket-Digests.

Jedes Verfahren verschiebt die Vertrauensstelle. Die Signatur braucht eine vertrauenswürdige Zuordnung des Prüfschlüssels. TESLA braucht Zeitabgleich und verzögerte Freigabe. Das Manifest braucht einen authentisierten Kanal und vollständige Abdeckung. „Verschlüsselt“ beschreibt keine dieser Provenienzketten.

Daten dürfen nicht vor dem Urteil in den Renderer

Bei einer Prüfung nur auf Objektebene kann ein injiziertes Paket Speicher, Sortierung, Fehlerkorrektur und partielle Dekodierung auslösen, bevor der abschließende Digest scheitert. Viele Empfänger können danach Unicast-Reparatur anfordern und eine kleine Eingabe in große Anbieterlast verwandeln.

Paketweise Authentisierung grenzt die Oberfläche ein. UDP liefert dennoch keine Zuverlässigkeit, Reihenfolge, Deduplizierung oder native Abwehr von Wiederholung. Sequenznummern, TESLA-Intervalle oder geordnete Manifeste müssen Wiederholung, Umordnung und Löschung sichtbar machen.

Für den Browser ist der Freigabezeitpunkt entscheidend. Nur entschlüsselte Daten sind nicht sicher für Parser, Codecs oder Rendering. Herkunftsprüfung, benötigter Sequenzzustand und Anfragebindung müssen vor der Nutzung abgeschlossen sein.

Ein echter Sender kann die falsche Anfrage beantworten

Bei Unicast-HTTPS gehören Anfrage und Antwort zu einem geschützten Austausch. Der Multicast-Datenkanal ist einseitig und trägt die individuelle Clientanfrage nicht. Zwei Kanäle können vom richtigen Sender authentisiert sein und dennoch verschiedenen Objekten oder Berechtigungen dienen.

Ohne zusätzliche kryptografische Bindung kann ein Angreifer auf dem Pfad Pakete zwischen zwei vertrauenswürdigen Kanälen austauschen. Eine Signatur über Quelle und Paket bleibt gültig. Es fehlt die Aussage, dass diese Daten genau die Anfrage dieses Clients beantworten.

Quellenidentität, Einheit, Anfrage, Nutzungsberechtigung und Ergebnis sind fünf Nachweise. Ein „verified stream“-Flag kann ihre Reihenfolge nicht abbilden und erklärt einen authentischen, aber falschen Inhalt nicht.

Privater Modus bleibt auf dem Netz sichtbar

Privates Browsen beschränkt lokale dauerhafte Daten und viele Formen der Nachverfolgung. Ein Multicast-Join kann trotzdem über IGMP oder MLD Metadaten an Netzelemente abgeben. Der Entwurf empfiehlt deshalb eine ausdrückliche Zustimmung.

Ein Beobachter kann erkennen, dass irgendeine Entität hinter einem Pfadelement einem Kanal beigetreten ist, ohne sofort die genaue Person zu kennen. Dieser begrenzte Unbestimmtheitsraum ist keine vollständige Anonymität. Wechsel zwischen Zugangsnetzen können Mitgliedschaftsmuster mit verschlüsselten Kontrollflüssen korrelieren.

Die Zustimmung autorisiert einen beobachtbaren Join. Sie bestätigt nicht den Absender, den Wahrheitsgehalt, die Integrität jeder Einheit oder einen menschlich wahrgenommenen Ausgang.

Verschlüsselung bewahrt eine gemeinsame Spur

Payload-Verschlüsselung schützt Bytes vor Parteien ohne Schlüssel. Paketgröße, Zeitpunkt, Adressen und Protokollmuster bleiben oft sichtbar. Multicast macht zusätzlich erkennbar, dass wesentlich gleicher Inhalt mehrere Empfänger erreicht, auch wenn der Beobachter ihn nicht lesen kann.

Ein kompromittiertes Gerät kann den Gruppenschlüssel einer Epoche offenlegen. Individuelle Zulassung, Auslieferung über einen vorwärtsgeheimen Unicast-Kanal, kurze Epochen und tatsächliches Löschen begrenzen den Zeitraum. Eine konfigurierte Rotation beweist noch keine Umschaltung oder Löschung.

Der Widerruf braucht drei Quittungen: Der Sender verwendet die alte Epoche nicht mehr, Empfänger lehnen sie ab, und Geräte haben das alte Material entfernt. Eine geänderte Mitgliederliste ist nur der administrative Anfang.

Eine belastbare Betriebsakte

Erfassen Sie Ursprungsbeziehung, Join-Anforderung, Browserentscheidung, Netzentscheidung, Empfängerzulassung, Schlüssel-Epoche, Prüfschlüssel oder Manifest, Authentisierung pro Einheit, Sequenz, Wiederholung, Verlust, Reparatur, Anfragebindung, Parserfreigabe und Anwendungsergebnis getrennt.

Geheimnisse und persönliche Inhalte gehören nicht ins Log. Geräte, Anfragen und Objekte können gehasht und an Epochen gebunden werden. Die Akte muss zeigen, welcher Eigentümer welche begrenzte Entscheidung traf.

Warnungen sollten ungewöhnliche Kanal-Fächer, Joins ohne Ursprungsbeziehung, private Joins ohne Zustimmung, Überlastschutz, gemeinsame Schlüssel als alleinigen Quellenbeweis, Nutzung vor Prüfung, TESLA-Daten nach Freigabezeit, Manifestlücken, Reparaturverstärkung, Kanalaustausch und Akzeptanz nach Epochenende abdecken.

Quellen und Grenzen

Das eingefrorene Paket enthält Revision 01 und Datatracker-Status, Historie und Referenzen, MBONED, RFCs zu Internet- und UDP-Bedrohungsmodellen, SSM und interdomain ASM-Ablösung, TLS 1.3, TESLA, NORM, ALC und Multicast-Authentisierung sowie WebRTC-Sicherheit, Client Hints, QUIC, WebTransport und AMBI.

Die Quellen belegen Protokolltext und offiziellen Status. Sie belegen keine Implementierung, Verbreitung, Leistung, tatsächliche Überlast, Fälschung, Gerätekompromittierung, Datenschutzverletzung oder sichtbares Ergebnis. Das Eingangsszenario ist konstruiert.

Quellen