Resumen

  • El borrador MoQ del 2 de noviembre incorpora reglas para solicitudes que nombran un prefijo de espacio de nombres. PUBLISH_NAMESPACE, SUBSCRIBE_NAMESPACE y SUBSCRIBE_TRACKS abarcan los espacios que comienzan con él.
  • Para autorizar la solicitud completa, el ámbito del token debe usar MATCH_PREFIX y su patrón ha de cubrir el prefijo solicitado. SUBSCRIBE_TRACKS también exige MATCH_PREFIX con patrón vacío para nombres de pistas porque puede alcanzar cualquier pista de esa rama.
  • En SUBSCRIBE_NAMESPACE y SUBSCRIBE_TRACKS, el relevo puede aceptar un ámbito menor si restringe todos los mensajes pertinentes que emite a lo autorizado. El texto no ofrece esa salida para PUBLISH_NAMESPACE.

El permiso del mostrador y la puerta del almacén

La lista visible de pistas cambia. La forma de una solicitud por prefijo, en cambio, alcanza todo espacio de nombres que empiece igual. La sección 3.3.3 recién añadida del esquema Privacy Pass para MoQ obliga a medir el permiso contra esa rama entera, incluso si mañana se añade otra pista bajo ella. El texto de julio carecía de esta regla específica.

Un token limitado a una subrama no autoriza sin más a pedir la rama principal. La regla general exige que namespace_match sea MATCH_PREFIX y que el patrón del token sea prefijo del que trae la solicitud. En SUBSCRIBE_TRACKS, el nombre de la pista se compara con MATCH_PREFIX y patrón vacío, porque cualquier pista puede entrar en la suscripción. Las otras dos acciones no indican nombre de pista, así que no se evalúa esa parte.

El borrador permite una salida más estrecha solo para las dos acciones de suscripción. El relevo puede admitir el token parcial si no envía NAMESPACE, NAMESPACE_DONE, PUBLISH ni PUBLISH_SKIPPED fuera del ámbito autorizado. El relevo deja de ser una ventanilla que comprueba un ticket una vez: debe vigilar cada salida. Los PUBLISH derivados de SUBSCRIBE_TRACKS quedan cubiertos por el token de la petición inicial, que no se copia a cada mensaje. La prueba de cumplimiento tiene que reconstruir ese vínculo.

La verificación del token, el control de reutilización y al menos un ámbito coincidente siguen siendo condiciones del algoritmo. El registro de IETF identifica un Internet-Draft de grupo. El transporte MoQ también conserva piezas de autenticación abiertas. Las fuentes no documentan despliegues ni fugas observadas.