Resumo

  • O draft-ietf-opsawg-ipfix-quic-header-00 propõe sete Information Elements para observações de cabeçalhos, Connection IDs, Packet Number, Frame Type e Stream ID de QUIC; os três últimos exigem decriptação.
  • Um campo preenchido comprova apenas o valor recuperado por um exportador em uma configuração específica. Ele não comprova identidade completa da conexão, autorização sobre chaves, continuidade na migração, processamento no endpoint nem resultado da aplicação.

Uma tela mostra uma linha com cinco-tupla, Destination Connection ID, Packet Number e Stream ID. Os campos têm nomes precisos e o coletor confirmou o recebimento. Quando a informação assume uma forma tão regular, parece natural chamá-la de registro da conexão.

O nome correto é registro de uma observação.

O rascunho da OPSAWG publicado em 10 de setembro propõe quicHeaderFlag, quicVersion, quicDestinationConnectionID, quicSourceConnectionID, quicPacketNumber, quicFrameType e quicStreamID. Flags, versão e Connection IDs de cabeçalhos longos incluem material visível no fio. Packet Number, Frame Type e Stream ID ficam protegidos e só podem ser obtidos em endpoints ou equipamentos no caminho que consigam decriptar QUIC.

Mesmo o material visível depende de contexto. O cabeçalho curto não carrega o tamanho do Destination Connection ID. Um analisador intermediário precisa conhecer previamente o identificador ou seu comprimento. Se essa configuração estiver antiga, incompleta ou associada ao tráfego errado, o valor exportado poderá parecer válido sem representar os bytes corretos. A premissa do parser faz parte da procedência.

O significado de Flow estabelece outra fronteira. A proposta afirma que usa a definição IPFIX, e não uma definição QUIC. No RFC 7011, um Flow reúne pacotes ou quadros que passam por um Observation Point durante um intervalo com propriedades comuns. O Metering Process pode selecionar, amostrar, classificar e derivar propriedades antes de gerar um Flow Record. Portanto, o registro descreve uma medição configurada; não nasce como histórico integral de uma conexão.

QUIC acentua a diferença porque uma conexão pode sobreviver à mudança de endereço ou porta. Endpoints emitem vários Connection IDs, substituem-nos e os retiram. Uma conexão pode aparecer em cinco-tuplas diferentes. Ao mesmo tempo, o Connection ID é um mecanismo de roteamento dentro do contexto de quem o emitiu, não uma identidade universal da pessoa, máquina ou sessão. Reunir registros separados requer uma decisão de correlação com evidência própria.

Packet Numbers também precisam de contexto. Existem espaços separados para Initial, Handshake e Application Data, além das direções. Um intervalo ausente pode indicar perda real; pode igualmente resultar de amostragem, outro caminho, observação iniciada tarde, chaves ausentes ou Data Records descartados durante exportação. O RFC 7011 admite seleção e explica a contabilização da perda no exportador. Campos em torno da lacuna não tornam a captura completa.

Frame Type informa como analisar a estrutura após remover a proteção. Não garante a coleta de todos os campos, o processamento pelo par ou uma ação na aplicação. Stream ID é único apenas dentro de sua conexão. Sem validar o contexto da conexão e comparar logs de endpoint, ele não nomeia sozinho uma requisição, um usuário ou uma transação persistente.

Capacidade de decriptar não é autoridade para decriptar. A remoção correta da proteção autentica o pacote no contexto das chaves, mas não registra quem autorizou a posse dessas chaves, quais dados podem ser exportados, qual coletor pode retê-los, por quanto tempo ou qual decisão automatizada pode usá-los. A governança precisa de recibos separados.

A seção de segurança da revisão 00 diz não haver considerações extras além do RFC 7012. Isso não anula as preocupações do RFC 7011: autenticação de exportador e coletor, integridade, confidencialidade, privacidade e ataques com mensagens ou Templates falsos. Essas garantias pertencem ao sistema de exportação; não são inferidas do valor de um elemento.

Uma cadeia auditável registra Observation Point e Domain, identidade do exportador, versão do parser, hipótese de tamanho de CID curto, filtros e amostragem, contexto e autorização de decriptação, revisão do Template, espaço de Packet Number, contadores de perda, coletor e retenção. Em seguida documenta cada união entre cinco-tuplas, Connection IDs e streams e confronta o conjunto com registros de endpoint e aplicação.

Delimitar a evidência não reduz a utilidade do rascunho. Information Elements comuns podem substituir esquemas privados e levar observações limitadas entre ferramentas. Mas a revisão 00 continua sendo Internet-Draft, com estado I-D Exists no Datatracker. Não é RFC nem prova de implementação ou benefício em produção.

A regra para quem decide é deixar o exportador responder pelo que viu. Continuidade da conexão, entrega do stream, processamento da solicitação e efeito empresarial pertencem a autoridades posteriores e precisam de seus próprios registros.

Fontes