Resumen

  • El borrador individual del IETF del 27 de octubre empaqueta políticas de lenguajes distintos en un artefacto YANG con área, propietario y autor obligatorios. La comprobación de que ese propietario puede mandar sobre el área receptora figura como MAY.
  • Una demostración prevista entre un dominio Rego/OPA y otro de protección IPsec pondrá a prueba el reparto de políticas. La prueba de gobierno será el expediente de quién autorizó cada instalación, cada cambio y cada retirada.

Dos dominios y una pregunta que no cabe en el paquete

En el primer dominio, una política Rego decide una petición. En el segundo, una instrucción de seguridad de red acaba creando un túnel IPsec entre dos nodos. Esa es la demostración que una autora anunció en la lista NMOP para un próximo hackatón. Si ambos sistemas reciben el artefacto y actúan, el transporte habrá funcionado. Aun quedará la pregunta que una demo de luces verdes suele esconder: ¿quién tenía derecho a ordenar el cambio en cada administración?

El nuevo borrador individual propone un contenedor YANG para un solo artefacto de política en tránsito. Exige area, language, policy-content, owner y author. El contenido de la regla viaja como material opaco. El contenedor sabe qué idioma declara el paquete; no ejecuta Rego ni interpreta por sí mismo una instrucción basada en RFC 9061. Esto permite distribuir lenguajes heterogéneos sin fingir que todos tienen la misma semántica.

El peligro aparece cuando un campo declarativo se disfraza de autorización. Un URI en owner identifica al responsable que el paquete afirma tener. author identifica al redactor declarado. area señala dónde quiere operar. El receptor no puede extraer su propio consentimiento de esas tres frases escritas por el remitente. Una firma de procedencia, como la que estudia el borrador de procedencia YANG, permite comprobar origen e integridad del dato firmado. La potestad para fijar reglas en la red ajena requiere otra fuente.

El dibujo instala un guardia; el texto permite dejarlo en casa

La sección 6.1 asigna al Policy Administration Point, PAP, la validación del esquema y el control del ciclo de vida. Antes de aceptar o repartir el artefacto, el PAP MAY preguntar a un Policy Decision Point si el propietario declarado o el emisor está autorizado a definir o modificar políticas en el área. En la página siguiente, el diagrama coloca una vistosa casilla de «Governance Authorization Check» dentro del PAP. Un operador que lea solo la imagen puede creer que el control viene de serie. La palabra MAY dice otra cosa: hay que elegirlo e implementarlo.

La elección no es un detalle de sintaxis. Una política puede cambiar acceso, comportamiento operativo o restricciones de seguridad. Si el destinatario deja pasar una actualización sin verificar el mandato, luego tendrá que averiguar quién la aceptó, por qué autoridad y bajo qué versión. La consulta de gobierno podría usar un PDP distinto del PDP que evalúa solicitudes en tiempo de ejecución; el propio borrador separa esas funciones. Un resultado favorable de ejecución no demuestra que el autor estuviese autorizado a instalar la regla.

El Datatracker registra el texto como propuesta individual activa, no como decisión de un grupo de trabajo. El correo anuncia una prueba futura. No hay en estas fuentes un registro de la prueba completada ni de sus decisiones de autorización. El problema que describe el borrador sí es actual en su lógica: en intercambios entre dominios, conocer una fuente no basta para saber si puede imponer una política a la zona receptora.

Lo que debería viajar con la decisión

El borrador no prescribe un protocolo de distribución. Permite guardar revisiones antiguas fuera del modelo y registrar eventos de ciclo de vida en un libro append-only. Si el receptor adopta esas opciones, conviene vincular cada aceptación con el hash de la revisión, la identidad comprobada del firmante, el alcance y caducidad de su delegación local, el dispositivo o servicio afectado y la orden capaz de retirar la versión. RFC 2904 ya distingue funciones de autorización. Ninguna caja común reemplaza el documento que delega autoridad para el área concreta.

Fuentes