Resumen

  • RFC 9519 sustituye IETF Review por Expert Review en numerosos rangos de los registros SSH, sin eliminar los rangos de Standards Action ni el uso privado.
  • IANA coordina un identificador. No certifica que haya código mantenido, una negociación correcta, compatibilidad entre productos o una política segura de activación.
  • La trazabilidad debe separar solicitud y decisión experta de commits, versiones, pruebas cruzadas, señales en el protocolo, adopción y retirada.

Una entrada nueva aparece en IANA y un inventario de cumplimiento la marca como «estándar». Otro equipo la incorpora a una lista de requisitos. Solo después alguien pregunta qué versión la implementa. Ese orden invertido es el problema que RFC 9519 vuelve más visible.

RFC 9519 no rediseña SSH. Cambia el procedimiento de asignación creado o ampliado por RFC 4250, RFC 4716, RFC 4819 y RFC 8308. En los rangos enumerados, Expert Review reemplaza IETF Review. Algunas zonas siguen exigiendo Standards Action y otras permanecen reservadas al uso privado.

La diferencia es autoridad y coste de proceso. IETF Review suele requerir un RFC del flujo IETF y consenso. Expert Review permite que un grupo designado evalúe documentación y riesgos sin esperar ese recorrido completo. RFC 8126 obliga a tratar esa delegación como función responsable: criterios claros, respuesta oportuna, recusación ante conflictos, ayuda de otros especialistas y posibilidad de apelación.

El registro actual de parámetros SSH revela el mosaico. Message Numbers conserva Standards Action; diversos nombres de algoritmos muestran Expert Review, expertos identificados y la referencia a RFC 9519. Una fila demuestra que el identificador dejó de estar sin asignar bajo esa política. No dice cuántos clientes o servidores lo reconocen.

La adopción se prueba de otra manera. RFC 4253 selecciona algoritmos mediante listas ordenadas de ambos pares. Sin intersección no hay selección. RFC 8308 añadió anuncios de extensiones para que un par pueda declarar capacidades tras el intercambio de claves. La declaración sigue sin demostrar implementación correcta, configuración activa o resultado seguro. RFC 9142 muestra además que un nombre registrado puede sobrevivir como vocabulario histórico después de perder recomendación criptográfica.

La auditoría necesita dos cadenas. La primera contiene registro, rango, identificador, documentación, solicitante, controlador del cambio, expertos, conflictos, discusión, revisiones, decisión y fecha IANA. La segunda contiene repositorio, commit, versión, rol, prueba, segundo implementador, captura de negociación, valor por defecto, política, errores, uso observado y plan de retiro.

Las fuentes permiten reconstruir el cambio institucional: ficha editorial, texto, XML, erratas, historial del RFC y draft final. Ninguna contiene telemetría de una flota posterior.

La primacía del código en ejecución, la especificación inicial mínima y las capas de realidad aportan una regla práctica: reconocer la autoridad simbólica del registro sin confundirla con la evidencia física del software.