요약

  • RFC 9997은 두 개의 사설 YANG SID 메가범위를 예약하고, 자격을 갖춘 PEN 보유자가 모든 할당을 IANA에 개별 요청하지 않고도 자체 블록을 계산할 수 있게 한다. 이 메커니즘은 번호 공간을 효율적으로 분리할 뿐, 블록 안에 배치되는 자료를 인증하지는 않는다.
  • RFC는 명확히 말한다. SID에 포함된 PEN은 출처(provenance)의 지표가 아니다. RFC 9595는 거짓 정수-스키마 매핑이 압축 인코딩된 데이터의 의미를 바꿀 수 있기 때문에.sid파일의 권위 있는 출처를 별도로 요구한다.
  • Daniel Kade는 레지스트리 상태, 범위 산출, 저장소 권위, 모듈 및 SID 파일 다이제스트, 매핑 수명 주기, 무결성 검사, 배포된 YANG Library 컨텍스트, 수용 결과를 결합하는 프라이버시 최소화된 출처 바인딩 영수증을 제안한다.

이야기가 맞지 않을 때에도 산수는 작동한다

관리 애플리케이션이 압축 페이로드 속 낯선 정수를 만났다고 가정하자. 그 숫자는 수학적으로 잘 알려진 기업의 PEN과 연관된 블록 안에 들어 있다. 엔지니어는 그 숫자를 알아보고, 저장소에서 그럴듯한 YANG 모듈을 찾아 함께 들어 있는.sid파일을 임포트한다. 모든 번호는 충돌 없이 배치되어 있다. 디코더는 작동한다. 항목 이름도 그럴듯하게 보인다.

그러나 그중 어느 것도 해당 저장소가 PEN 보유자의 것임을, 모듈이 기기가 기대하는 리비전임을, 매핑 파일이 그 기업을 대표할 자격이 있는 누군가의 승인을 받은 것임을 증명하지 않는다. 결정론적 계산은 “어느 블록인가?”라는 질문에 답했을 뿐이다. 운영자는 그 계산이 “누구의 소프트웨어인가?”라는 질문에도 답하도록 허용한 것이다.

바로 이 추론을RFC 9997은 거부한다. 2026년 7월 IETF 표준 트랙에서 Proposed Standard로 발표된 이 문서는 사설 사용을 위한 PEN 기반 범위로 YANG SID 할당 모델을 확장한다. 그 목적은 사설 번호 공간을 규모 있게 실용적으로 만드는 것이며, 특히 모든 실험, 독점 모델, 폐쇄 배포마다 중앙 등록 블록을 구하는 일이 마찰을 만들지 않도록 하는 것이다.

YANG SID는 전 세계적으로 고유한 63비트 부호 없는 정수다. 이들은 YANG 스키마 항목—모듈, 아이덴티티, 노드 및 관련 구조—을 YANG-CBOR 같은 제약 인코딩에 적합한 압축 숫자로 매핑한다. SID는 긴 스키마 이름 대신 작은 정수 하나가 놓일 수 있기 때문에 바이트를 절약한다. 따라서 그 의미적 힘은 매핑에서 나온다. 송신자와 수신자가 그 정수가 동일한 스키마 항목을 가리킨다는 데 동의해야 한다.

전역 고유성은 그 동의를 한 종류의 실패로부터 보호한다. 두 할당 권위가 자신에게 배정된 범위 안에 머문다면, 우연히 같은 숫자를 독립 식별자로 할당하지 않을 것이다. 그러나 고유성은 진위성을 확립하지 않는다. 위조된 여권 번호도 길이와 관할 접두어가 맞을 수 있다. 마찬가지로, 어떤 숫자가 올바른 기업 기반 구간 안에 놓여 있으면서도 권위 없는 모듈이나 조작된 매핑 파일과 함께 도착할 수 있다.

두 개의 메가범위는 대기열을 없앨 뿐, 검증 의무를 없애지 않는다

RFC 9997은Private등록 정책에 따라 두 개의 큰 구간을 배정한다. 첫 번째는 3,000,000,000부터 3,999,999,999까지다. 두 번째는 300,000,000,000부터 399,999,999,999까지다. 이들은IANA YANG SID 레지스트리에 공개된 사실이다. “Private”은 할당 정책을 묘사하는 말이지, 범위나 그 사용이 기밀이라는 뜻이 아니다.

PEN이 100,000 미만이면, RFC는 문서가 다루는 32비트 지향 범위 안에서 압축적으로 표현 가능한 더 작은 구간에 10,000-SID 블록을 정의한다. PEN이 1,000,000 미만이면, 더 큰 구간에 100,000-SID 블록을 정의한다. PEN 보유자는 자기 기업 번호로 시작 지점을 계산한다. 그 파생 블록에 대해서는 추가 IANA 상호작용이 필요 없다.

이것은 우아한 위임이다. 중앙 레지스트리는 메가범위와 PEN 번호 공간을 공표하고, 산수가 자격 있는 보유자들 사이에서 사설 SID 자원을 분할한다. 각 보유자는 내부 할당마다 새 요청을 제출하지 않고도 자기 몫을 관리할 수 있다. 같은 계산을 하는 다른 보유자들은 다른 위치에 도달한다.

문서의 예제는 프로토콜 규율을 보여주는 유용한 신호다. PEN 32473은RFC 5612가 예제와 문서화 용도로 예약한 번호다. RFC 9997은 그 번호를 사용하고, 두 개의 파생 예제 블록도 문서화 용도로 예약한다. 독자는 어떤 실제 기업의 할당을 마구잡이 샘플 데이터로 취급할 위험 없이 계산을 반복해 볼 수 있다.

이 메커니즘은 의도적으로 낮은 진입 장벽을 가진다. RFC는 PEN 등록을 낮은 오버헤드로, 파생 SID 블록을 PEN이 존재하기만 하면 무상호작용으로 묘사한다. 이것은 실험과 사설 배포에 대한 이점이다. 동시에 호환되는 번호를 보유하는 것을 고신뢰 신원 검사로 취급하지 않아야 하는 이유이기도 하다. 반복적인 검증을 피하도록 설계된 절차가 반복적인 검증의 역할을 묵묵히 대신할 수는 없다.

할당 권위와 공표 권위는 서로 다른 통제다

RFC 9997은 파생 블록의 관리를 해당 PEN 보유자에게 위임한다. 이는 레지스트리 정책상 누가 그 블록 안에서 할당할 권한이 있는지를 알려 준다. 그러나 패키지 미러, 코드 호스트, 이메일 첨부 또는 기기 이미지에서 발견된 임의 파일이 그 보유자에게서 왔다는 것을 증명하지는 않는다.

보안 고려사항(Security Considerations)은 안심시키는 지름길을 남기지 않는다. SID에 특정 PEN이 존재한다는 것은 출처의 지표가 아니며, 해당 SID나 그 밑에 있는 YANG 모델이 PEN 보유자에게서 기원했다는 것을 보장하지 않는다. 이것은 본래 신원을 담는 숫자에 붙은 사소한 단서가 아니다. 이것이 메커니즘의 경계를 정의한다.

이 구분에는 적어도 네 층이 있다. PEN 레지스트리는 번호 배정을 기록한다. YANG SID 레지스트리는 할당 범위와 정책을 기록한다. 저장소나 배포 채널은 모듈과 매핑 파일을 공급한다. 가동 중인 시스템은 현재 사용하는 스키마를 선언한다. 어느 한 층이 정확하면서도 다른 층이 거짓이거나 낡았을 수 있다.

예컨대 PEN 기록은 상표 심판이 아니고, 소프트웨어 서명 인증서도 아니며, 특정인이 여전히 저장소를 통제한다는 증명도 아니다. 올바르게 파생된 범위는 모듈 목록이 아니다. 익숙한 네임스페이스를 지닌 모듈이 기기가 구현한 리비전이라는 보장은 없다. 모듈 이름과 일치하는.sid파일이, 데이터를 인코딩하는 데 쓰인 파일과 다른 정수를 배정할 수도 있다.

RFC 9595는 YANG SID 할당 프레임워크를 정의하면서 출처 권위가 왜 중요한지 설명한다. SID 파일은 의미적 스키마 항목을 정수로 번역한다. 신뢰할 수 없는 매핑을 임포트하면 시스템이 수신된 값을 잘못된 개념과 연결할 수 있다. 그래서 이 문서는 개발자에게.sid파일을 권위 있는 출처에서만 임포트할 것을 권하고, 관리 시스템에는 YANG 모듈 자체에 사용한 것과 동등하게 권위 있는 출처가 필요하다고 말한다.

그 지침은 구간만 확인하는 것으로 충족되지 않는다. 범위 소속은 어떤 숫자가 한 권위에 의해 할당될 자격이 있음을 증명할 뿐이다. 출처 검증은 그 특정 할당 선언이 실제로 그 선언을 할 권한이 있는 채널을 통해 왔음을 증명한다. 전자는 산수이고, 후자는 출처(provenance)다.

탐색은 의도적으로 계산 밖에 둔다

RFC 9997은 모든 PEN 기반 SID의 배후에 어떤 모듈이 있는지 운영자에게 알려 주는 전역 탐색 서비스를 만들지 않는다. 은폐가 의도되지 않은 경우, PEN 보유자가 관련 YANG 모델과 SID 파일을 공개 저장소 및/또는 구현체의 YANG Library를 통해 노출하도록 권한다.

이 조언은 찾아볼 수 있는 장소를 제공할 뿐, 보편적인 신뢰 앵커가 아니다. “공개 저장소”라도 여전히 물음이 남는다. 어느 저장소가 공식인가, 통제권은 어떻게 확립되었는가, 어느 리비전을 회수했는가, 검토자가 어떤 다이제스트를 승인했는가, 이전이나 침해 이후에는 무엇이 일어나는가? YANG Library는 가동 중인 서버에 대해 또 다른 물음들에 답하지만, 그 서버에 도달한 파일의 역사에 서명하지는 않는다.

RFC 8525는 YANG Library의 인벤토리 모델을 정의한다. 서버는 모듈, 리비전, 네임스페이스, 지원 기능, 편차(deviations), 스키마 및 데이터스토어를 보고할 수 있다. 그 라이브러리 정보가 바뀌면 서버별content-id는 반드시 바뀌어야 한다. 그러나 동일한 정보가 서로 다른 시각이나 서로 다른 서버에서 같은 식별자를 생성할 필요는 없다. 이 식별자는 보편적 콘텐츠 다이제스트가 아니라 특정 운영 컨텍스트에서의 변경 신호다.

따라서 YANG Library는 배포 평면에서 가치 있는 증거다. 페이로드가 처리될 때 서버 A가 모듈 리비전 R, 기능 집합 F, 스키마 컨텍스트 C를 선언했다는 것을 보여줄 수 있다. 그것만으로는 저장소 B가 PEN 보유자에게 승인받았는지, 앞서 내려받은 파일이 변하지 않았는지, 서버 D의 이름이 비슷한 모듈이 같은 내용인지 확립할 수 없다.

따라서 통제면은 조회 테이블이 아니라 체인이다. 레지스트리 정책이 번호 공간을 한정한다. 저장소 권위가 출처를 한정한다. 다이제스트가 명명된 아티팩트를 바이트에 묶는다. 무결성 메커니즘이 이전 또는 릴리스를 책임 있는 게시자에게 묶는다. YANG Library가 선언된 스키마 집합을 서버 컨텍스트에 묶는다. 수용 결정은 이 사실들을 운영자의 실제 의존에 묶는다.

SID 수명 주기는 어제의 유효한 매핑으로는 부족하다고 만든다

출처 문제는 첫 임포트에만 국한되지 않는다. RFC 9595는 불안정(unstable), 안정(stable), 폐기(obsolete) SID 할당을 구분한다. 개발 중에는 불안정한 매핑이 바뀔 수 있다. 안정 상태에 이르면 할당에는 더 강한 연속성 기대가 붙는다. 폐기되면 번호는 기록에 남아 다른 의미 항목에 재활용되지 않는다.

이 수명 주기는 특히 위험한 형태의 압축 모호성—은퇴한 번호가 나중에 새 의미를 지니고 돌아오는 일—을 막는다. 그러나 이 보호는 올바른 매핑 역사의 보존에 의존한다. 이전 안정 및 폐기 상태가 버려졌다면, 지금의 깨끗한 파일은 오래된 페이로드를 설명할 수 없다. 반대로 오래된 권위 파일이 진짜일 수 있으면서도, 더 새 리비전 기준으로 만들어진 페이로드를 디코딩하는 데는 부적합할 수 있다.

따라서 운영자는 서로 다른 두 진술이 필요하다. 아티팩트가 권위 있는 경로로 획득되었다는 것, 그리고 그 수명 주기 상태가 특정 인코딩 또는 배포에 적합했다는 것. 하나만으로는 불완전하다. 진짜 폐기 데이터가 최신이 되지는 않고, 최신처럼 보이는 미인증 데이터가 신뢰할 수 있게 되지도 않는다.

RFC 9254는 압축 식별자가 그렇게 큰 운영 의미를 지니는 YANG-CBOR 맥락을 제공한다. 압축이 가치 있는 것은 바로 양쪽이 반복되는 이름을 생략하고 공유된 스키마 지식에 의존하기 때문이다. 그 지식이 틀렸을 때, 압축성은 불일치를 자명하게 드러내는 대신 감춘다. SID 같은 정수를 들여다보는 사람은 서술적인 경로를 읽는 사람보다 의미적 경고를 훨씬 적게 받는다.

출처 바인딩 영수증은 시스템을 수집하지 않으면서 연결을 보존할 수 있다

이 문제의 해법은 기기 설정, 독점 모델, 디코딩된 트래픽을 담는 창고가 되어서는 안 된다. 그런 자료는 민감할 수 있고, 한정된 결정을 증명하는 데도 불필요하다. 빠져 있는 것은 여덟 개의 증거 평면을 결합하는 작고 변조 방지 가능한 영수증이다.

첫째, 사설 메가범위를 인식하는 데 사용된 IANA 레지스트리 스냅숏 또는 버전을 기록한다. 둘째, PEN 번호, 적용되는 자격 경계, 결정론적 범위 계산을 보존한다. 이는 해당 숫자가 특정 위임 블록 안에 들어간 이유를 증명하며, 아티팩트의 진위를 라벨로 다는 것이 아니다.

셋째, 권위 있는 저장소 또는 배포 루트와 조직이 그 권위를 수용한 근거를 식별한다. 넷째, YANG 모듈의 이름, 네임스페이스, 리비전, 암호학적 다이제스트를 바인딩한다. 이름은 탐색을 돕고, 다이제스트는 검토된 바이트를 식별한다.

다섯째,.sid파일을 다이제스트로 바인딩하고, 관련 할당 역사와 함께 그 매핑 수명 주기—불안정, 안정, 폐기 또는 지배 절차가 정의한 다른 상태—를 기록한다. 여섯째, 무결성 또는 서명 검증을 기록한다. 어떤 메커니즘을, 어느 신뢰된 신원에 대해, 언제, 어떤 결과로 검사했는지.

일곱째, YANG Library의 배포 컨텍스트를 첨부한다. 서버 범위, 관측된 모듈 집합, 리비전, 기능, 편차, 스키마 또는 데이터스토어 참조,content-id.content-id를 서버 간 해시로 오술하지 않는다. 여덟째, 운영 결과를 보존한다. 수용, 거부, 대체 또는 은퇴, 그 사유 분류, 결정 소유자, 그것이 적용된 시스템 또는 정책 버전.

평면들은 서로 구분 가능하게 유지되어야 한다. 레지스트리 운영자에게 저장소를 보증하도록 요구하지 않는다. 저장소 소유자에게 모든 서버의 활성 스키마를 증명하도록 요구하지 않는다. 기기 보고는 역사적 공급망 증거로 취급하지 않는다. 운영자가 성공적인 디코딩을 “출처가 승인되었다”는 소급적 증명으로 바꿀 수 없어야 한다.

이 영수증은 Daniel Kade의 편집 제안이며, RFC 9997, RFC 9595 또는 RFC 8525의 필드가 아니다. 그것은 설정 페이로드, 자격 증명, 사설 모듈 본문, 기기 비밀 또는 무관한 활동을 저장하지 않는다. 그 목적은 더 좁다. 유용한 할당 지름길이 보이지 않는 인증 지름길로 변하는 것을 막는 것이다.

BTW Media가 존재하는 이유는 그 규율을 제공한다. 시스템이 실제로 확립할 수 있는 것을 보고하라. 여기서 확립할 수 있는 것은 범위 소속, 아티팩트 신원, 출처 권위, 배포 선언, 수용을 서로 다른 사실로서 확립하는 것이다. 번호가 공식처럼 보인다는 이유만으로 하나의 사실을 나머지 모든 사실로 바꿀 수는 없다.

출처