Resumen

  • La capacidad FCI.DelegatedCredentials y la carga MI.DelegatedCredentials describen anuncios y transferencias concretas, no un recibo de despliegue por punto de presencia.
  • Una clave privada puede viajar cifrada en JWE o permanecer en el dominio del CDN descendente; esas rutas tienen pruebas de custodia diferentes y no deben reducirse al mismo estado.
  • Para afirmar uso real hacen falta evidencias de identidad, vigencia, clave, versión de metadatos, instalación, encaminamiento, oferta del cliente, algoritmo negociado y resultado de la sesión.

El verde del plano de control puede ocultar el camino de reserva

La operación más peligrosa no siempre es la que falla de forma visible. El CDN descendente puede recuperar la nueva carga sin error, validar su sintaxis y marcar la tarea como terminada. Mientras tanto, una parte del tráfico continúa por el certificado convencional porque el proceso TLS no recargó la clave, el cliente no ofreció la extensión o el encaminamiento eligió un nodo rezagado.

El servicio funciona y el control aparece sano. Sin embargo, la afirmación «la credencial delegada está desplegada» es falsa para esa sesión. RFC 9677 permite separar las capas porque define con precisión lo que cruza la interfaz. El error comienza cuando la organización amplía el significado del recibo.

La credencial delegada existe para reducir la necesidad de distribuir la clave privada duradera del certificado. El certificado conserva la identidad autorizada; la credencial de vida corta habilita una clave operacional limitada. CDNI aporta el canal común entre un proveedor ascendente y otro descendente. Nada de ello convierte el intercambio en telemetría de ejecución.

La cifra anunciada es un límite, no una lista de servidores

Mediante FCI.Metadata, el CDN descendente anuncia compatibilidad con el objeto de metadatos. FCI.DelegatedCredentials añade el máximo de credenciales que admite y puede incluir una PrivateKeyEncryptionKey en formato JWK para proteger claves privadas transmitidas.

Ese máximo ayuda a dimensionar la entrega. El propio RFC advierte que solo suele corresponder al número de servidores y que no tiene por qué hacerlo. Una credencial puede desplegarse en muchos nodos; también puede asignarse una diferente a cada uno. El valor no informa cuántas credenciales están instaladas, cuántos nodos reciben tráfico, qué cupos están libres ni qué regiones terminaron la rotación.

Confundir capacidad con estado crea una conclusión aparentemente cuantitativa y operacionalmente vacía. Diez credenciales admitidas no equivalen a diez nodos listos.

Dos orígenes de clave privada cambian la investigación

MI.DelegatedCredentials transporta un arreglo de entradas. La parte pública incorpora la estructura de RFC 9345 dentro de un CertificateEntry codificado en base64. La clave privada correspondiente es opcional. Si se incluye, debe ir en serialización compacta JWE y cifrarse con la clave anunciada por el receptor.

Si no se incluye, el CDN descendente puede haber generado el par y comunicado la parte pública al ascendente por un mecanismo fuera de banda. Esta opción evita que la clave privada cruce la interfaz, pero exige enlazar dos registros: la generación local y la emisión remota de la credencial para esa clave pública.

Ante un incidente, ambas rutas plantean preguntas distintas. ¿Quién originó el secreto? ¿Qué JWK era vigente? ¿Qué componente descifró la envoltura? ¿Qué almacén recibió el material? ¿Qué solicitud fuera de banda vinculó la clave pública? Registrar solo «objeto aceptado» elimina la respuesta antes de que sea necesaria.

El cifrado de transporte no otorga secreto hacia el futuro

RFC 9677 desaconseja enviar claves privadas por MI. Cuando se hace, la clave de cifrado debe tener una fortaleza igual o superior a la clave protegida. El JWE evita exponer el secreto durante el intercambio, pero no aporta secreto hacia adelante. Si la clave privada de descifrado del CDN descendente se compromete después, las envolturas capturadas pueden abrirse.

La corta vigencia reduce el tiempo durante el cual el atacante puede usar la credencial y la clave juntas. No demuestra que se borraron copias ni que nadie conservó el ciphertext. Tampoco demuestra que el JWK anunciado seguía bajo control exclusivo o que el secreto entró en el límite de seguridad previsto.

La bitácora adecuada conserva huellas, identificadores de clave, algoritmos, tiempos y decisiones de validación, nunca el material privado. También distingue una credencial pública bien formada de una pareja realmente utilizable.

El cliente aporta condiciones que CDNI no puede anticipar

RFC 9345 requiere que el cliente anuncie la extensión de credencial delegada y los esquemas de firma compatibles. El servidor no puede enviar la credencial si el cliente no ofreció soporte. La cadena del certificado y la identidad esperada siguen verificándose; también se comprueban la firma de delegación, la vigencia y la coincidencia del algoritmo de CertificateVerify.

La vigencia máxima predeterminada es de siete días y nunca puede superar la del certificado delegante. Una credencial correctamente entregada puede estar vencida para el reloj del cliente, depender de un esquema no ofrecido o estar unida a un certificado sin la extensión requerida.

Además, el servidor puede no usar la credencial aunque el cliente la acepte. Las implementaciones pueden conservar un certificado ordinario o una firma remota para compatibilidad y contingencia. Por eso, «TLS funcionó» y «TLS usó la credencial delegada» son hechos diferentes.

La zona entre adquisición y uso contiene la mayor parte del trabajo

El flujo del RFC muestra anuncio, adquisición, conexión y renovación. No muestra un mensaje normativo de «todos los bordes ya instalaron». En esa zona intermedia viven el descifrado, la comprobación, el almacén de secretos, la generación de configuración, el despliegue gradual, la recarga del proceso, las pruebas y el cambio de tráfico.

La aceptación de una cola no prueba que el trabajo terminó. El almacenamiento no prueba activación. La activación no prueba selección por encaminamiento. La selección de un nodo no prueba que el cliente ofreció los algoritmos necesarios. Cada salto necesita su propio recibo.

Una vista de flota debe enumerar los nodos esperados y sus cohortes: instalado, activo, antiguo, fallido, drenado, sin observación o en reserva. Una media sin denominador puede ocultar precisamente el nodo que todavía recibe clientes y solo posee material vencido.

La expiración convierte un defecto latente en una decisión inmediata

FCI.DelegatedCredentials no administra renovaciones. El CDN ascendente debería vigilar lo entregado y sustituirlo a tiempo. Si un servidor descendente solo dispone de credenciales vencidas, debe rechazar nuevas conexiones que requieran una credencial actual.

Ese rechazo local es valioso: evita fingir una autenticación válida. Sin embargo, no describe el estado global. Algunos nodos pueden tener el sucesor, otros seguir dentro de un solapamiento válido y otros recurrir a la vía convencional. El análisis debe conservar esta diversidad.

La vida corta intercambia alcance de compromiso por frecuencia de cambio. Cuantas más rotaciones, más veces se ejercitan dependencias raras. El objetivo de disponibilidad debe incluir convergencia por cohorte, margen antes de expiración, éxito de canarios y una reserva verificada, no limitarse a la hora en que el emisor creó el sucesor.

Una cadena de diez pruebas evita el salto semántico

Primero, conservar el certificado delegante: identidad, huella, extensión de uso y fechas. Segundo, la credencial: huella, clave, algoritmo y vencimiento. Tercero, la procedencia de la clave privada. Cuarto, el anuncio FCI exacto, su ámbito y el identificador de cifrado.

Quinto, registrar la versión de MI recuperada y sus resultados de integridad. Sexto, obtener recibos de validación e instalación por nodo. Séptimo, declarar la convergencia con todas las excepciones. Octavo, registrar qué decisión de encaminamiento eligió qué nodo.

Noveno, observar la sesión TLS: oferta del cliente, versión, algoritmos, cadena, extensión y resultado. Décimo, enlazar la transacción HTTP y el efecto de aplicación. El estándar cubre componentes de la cadena, no su totalidad. La arquitectura operacional debe cerrarla sin atribuir al RFC afirmaciones que no formula.

Diseñar el fracaso antes de depender del éxito

Si falta la capacidad, elegir otra vía explícita. Si el máximo no cubre la demanda, reducir el conjunto o rediseñar; no convertir el anuncio en reserva. Si falta la clave o falla el JWE, aislar la entrada. Si la flota está mezclada, drenar rezagados o mantener una reserva comprobada.

Los canarios deben representar clientes con y sin soporte, combinaciones de firma, credenciales nuevas y próximas a vencer, y todas las cohortes de borde. El sistema debe registrar cuándo la disponibilidad provino del certificado ordinario. De lo contrario, la reserva oculta la falta de despliegue y elimina la señal que permitiría corregirla.

Ante una posible pérdida de la clave de cifrado, hay que rotar la clave receptora y las credenciales, además de evaluar las envolturas históricas. Siete días no son una política completa de respuesta.

Un objeto limitado puede ser una herramienta fuerte

RFC 9677 no emite certificados, no revoca credenciales, no decide rutas, no certifica el parque y no entrega contenido al usuario. Define un formato común para que dos CDN coordinen una delegación sin copiar indefinidamente la clave principal.

La prioridad del código en ejecución y las capas de realidad de Heng Lu proporcionan la disciplina: intención, configuración, ejecución y resultado deben permanecer distinguibles. Una especificación mínima coordina lo común; el operador conserva autoridad y responsabilidad sobre el despliegue local.

La conclusión no es pedir que MI diga más de lo que puede observar. Es construir las pruebas posteriores y dejar de llamar despliegue a una entrega.

Fuentes