요약

  • RFC 1108은 IPv4 옵션 130을 정의하여 분류 수준과 보호 기관 플래그가 데이터그램과 함께 이동하고 검증 및 라우팅에 영향을 줄 수 있도록 했습니다.
  • 이 옵션은 암호화도, 보편적인 인터넷 정책도 아니었습니다. 공유된 라벨 의미에 의존했으며 주로 한정된 고보안 환경 내에서만 의미를 유지했습니다.

헤더 안의 정책

이 옵션은 값이 130인 타입 옥텟으로 시작했습니다. 복사 비트는 단편화 시 라벨이 모든 단편에 복사됨을 의미했습니다. 한 번만 나타날 수 있고, 가변 길이는 세 옥텟 — 타입, 길이, 그리고 하나의 분류 바이트 — 에서 시작했습니다. 보호 기관 플래그가 뒤따를 수도 있지만 없을 수도 있었습니다.

이 작은 구조가 담은 것은 큰 제도적 전제였습니다. RFC 1108은 시스템이 전송을 검증하고, 전달을 검증하고, 선택된 경로가 패킷에 표시된 모든 기관이 수용할 수 있는 보호를 제공하는지 확인하기 위해 사용할 수 있는 표준 보안 라벨을 기술했습니다. 따라서 이 라벨은 단말 처리뿐 아니라 포워딩 정책에도 속했습니다.

분류 바이트는 의도적으로 단순한 순서 척도가 아니었습니다. 값은 희소 인코딩이었고, 예약된 패턴과 목록에 없는 패턴은 오류로 처리되었습니다. 구현체는 단순 산술 비교로 한 라벨이 다른 라벨보다 우선한다고 판단할 수 없었습니다. 정의된 어휘를 알아야 했습니다. 그 뒤의 기관 필드는 비트맵이었습니다. 여러 프로그램이 동시에 처리 관련성을 주장할 수 있었고, 마지막 옥텟은 패딩될 수 있었습니다. 이 기관들은 누구의 규칙이 적용되는지를 밝히는 것이었지, 그들 자신이 인가 기관은 아니었습니다.

이 설계는 단일 호스트를 넘어섰습니다. 라우터가 라벨에 따라 경로를 선택하려면 라우팅 프로토콜이 보안 라벨 정보를 배포해야 했습니다. 패킷이 요구하는 보호를 알릴 수 있더라도, 네트워크는 여전히 어떤 경로가 그 요구를 충족할 수 있는지에 대한 공유 지도를 필요로 했습니다. 정렬된 경로 지식 없는 분류 구문은 통제 체계의 절반에 불과했습니다.

이 지점이 메커니즘의 한계이기도 합니다. 이 옵션은 페이로드를 암호화하지 않았습니다. 발신자의 신원을 증명하지도, 현재의 기관 목록을 공개하지도, 모든 중간 시스템이 동일한 정책을 시행함을 입증하지도 않았습니다. 설정된 보안 도메인이 취할 수 있는 메타데이터를 실었을 뿐입니다.

좁은 생존

2014년까지 RFC 7126은 많은 IPv4 옵션을 운영상 부담으로 취급했습니다. 그러나 옵션 130을 남은 배포 사례가 없는 실험과 같은 범주로 두지는 않았습니다. 특정 고보안 환경에서의 사용을 기록하고 당시 알려진 운영체제와 라우터에서의 구현을 언급했습니다. 따라서 이 옵션을 담은 모든 패킷을 폐기하는 일괄 에지 규칙은 정당하고 한정된 배포를 깨뜨릴 수 있었습니다.

이것이 공용 인터넷 전반의 채택 증거는 아닙니다. 인용된 RFC들은 현재 시장 점유율도, 보편적인 방화벽 기본값도, 활성 기관 명단도 제공하지 않습니다. 더 좁은 주장이 오히려 유익합니다. 메커니즘은 일반 전송에는 번거로우면서도, 참여자들이 라벨과 라우팅 정보, 시행 규칙을 공유하는 전문화된 도메인에는 여전히 부합할 수 있습니다.

출처