Domínio principal
Segurança
Na faceta Domínio principal, Segurança grupos de inteligência são organizados por domínio principal para que os leitores possam acompanhar uma área de foco em infraestrutura da internet, governança, mercados de conectividade ou capital digital. A página reúne artigos relacionados, evidências públicas, instituições, empresas, pessoas, exposição regional, dependências operacionais e contexto de mercado que, de outra forma, poderiam estar espalhados por páginas de categorias separadas. Ela explica o domínio, a provável classe de atores, o contexto de mercado ou de governança e o material de origem que os leitores devem usar ao comparar sinais. Operadores, analistas e leitores de governança podem ver como o mesmo domínio aparece em eventos, perfis, mudanças de mercado, evidências de fontes públicas, dependências regionais e decisões de infraestrutura de ciclos mais longos ao longo do tempo.
Arquivo de Caso
A conversa de autorização ainda estava pendente. Isso não era um direito de API: o limite de continuação do GNAP
Um cliente pode ter permissão para continuar uma conversa de autorização sem ter permissão para chamar a API solicitada. A RFC 9635 separa esses fatos: a credencial de continuação faz uma solicitação avançar no servidor de autorização; o direito sobre o recurso, se vier a…
IETF
Sean Turner e a prova de chave privada que não autorizou o certificado
Uma chave capaz de assinar demonstra controle criptográfico. Não demonstra que o controlador é a pessoa declarada, que pode reivindicar o nome solicitado ou que uma autoridade certificadora aprovou o certificado final.
IETF
Panos Kampanakis e a sessão SSH com três comprovantes de segurança
O mesmo terminal pode mostrar um acordo de chaves híbrido, a impressão digital de uma chave de host convencional e, alguns instantes depois, a autenticação de um usuário. A conexão é contínua; a conclusão de segurança precisa continuar dividida.
IETF
Bas Westerbaan e o TLS híbrido que não tornou o certificado pós-quântico
Um painel pode acender em verde ao encontrar `X25519MLKEM768`. O mesmo handshake ainda pode usar uma assinatura clássica para provar a identidade do servidor. O painel não está necessariamente errado; ele só se torna enganoso quando o nome de uma propriedade passa a descrever o…
IETF
Daniel Fett: a MFA autenticou o usuário, não o contexto do QR
A vítima não digitou a senha em uma página falsa. Ela chegou ao serviço verdadeiro, concluiu o segundo fator e autorizou uma solicitação real. O erro estava na origem da solicitação: quem a havia iniciado era o invasor.
Arquivo de Caso
O certificado confirmou o par. A PSK externa ainda precisava de um custodiante: RFC 9973 e a autoridade no TLS
Há uma diferença entre conseguir abrir um canal protegido e conseguir explicar a cadeia de decisões que o tornou aceitável. Em uma frota de dispositivos, essa diferença costuma aparecer tarde: o certificado continua válido, o TLS continua funcionando, mas ninguém sabe mais qual…
Arquivo de Caso
O cookie acompanhou o pedido. Não autorizou a decisão: RFC 10025 e autoridade ambiente
Um cliente contesta uma alteração de cadastro. A equipe encontra um pedido HTTPS, uma cookie de sessão válida e uma resposta de sucesso. Há uma trilha técnica, mas ainda não há uma explicação completa. A cookie diz que o navegador levou um estado até a aplicação; ela não diz se a…
Arquivo de Caso
O texto cifrado chegou à chave. Não nomeou quem o enviou: RFC 9180 e a autoridade ausente no modo Base do HPKE
Uma chave privada pode abrir um texto HPKE exatamente como o protocolo prevê, sem que isso diga quem é o emissor, se a mensagem ainda vale ou se alguém pode executar seu conteúdo. RFC 9180 protege a passagem criptográfica até o receptor; a aplicação ainda precisa governar a…
Arquivo de Caso
Declarar um tipo de mídia não prova que um dispositivo possa agir: RFC 9993 e a autoridade háptica
`haptics/hmpg` permite que sistemas reconheçam uma representação de mídia. SDP permite negociar como lê-la. Nenhuma dessas declarações certifica que há um atuador compatível, que ele está seguro, que a pessoa concordou com a sensação ou que o efeito deve sair naquele momento. RFC…
Arquivo de Caso
O agregado mostrou o problema. O relatório individual mudaria a exposição: RFC 9991 e a autoridade de divulgar
Uma operadora já sabe, pelo relatório agregado, que um serviço legítimo perdeu alinhamento DMARC. Para corrigir a causa, alguém propõe ativar relatórios por mensagem. A mudança parece apenas aumentar a resolução do mesmo painel. Na verdade, ela pode transformar contagens e…
IETF
Russ Housley e o endereço MAC que o certificado podia nomear, mas não tornar único
Uma assinatura consegue preservar seis ou oito octetos com precisão. Ela não consegue, sozinha, dizer onde esses octetos estão em uso agora, quem os observou nem qual regra local permite uma consequência.
IETF
Aaron Parecki e o BFF que impede o roubo de tokens, mas não o sequestro do cliente
O Backend for Frontend muda o lugar onde a autoridade OAuth reside: o token deixa o JavaScript e passa ao servidor. A RFC 10017 mostra o ganho e o limite dessa mudança. Um código hostil pode não conseguir levar a credencial embora e ainda assim pedir ao BFF que aja enquanto a…
IETF
Hannes Tschofenig e o identificador de autoridade que não assinou o token
Uma chave pode ter assinado o componente instalado; outra, a evidência EAT sobre o estado observado. A RFC 10013 impede que o sistema use a validade das duas assinaturas para inventar uma identidade única ou uma autorização que nenhuma delas concedeu.
Arquivo de Caso
O envelope identifica a evidência, mas não vincula o dispositivo: RFC 9999 e a autoridade numa coleção de atestação
CPU, SmartNIC e GPU podem entregar três relatos assinados e tecnicamente válidos. Colocá-los no mesmo pacote não demonstra que pertencem ao mesmo servidor, nem que foram produzidos para a mesma sessão. O RFC 9999 torna as mensagens RATS portáteis; a responsabilidade de compor o…
Arquivo de Caso
O pedido continuou assinado. O certificado pôde mudar: RFC 10002 e a autoridade dentro do CMC
Uma cadeia de emissão pode preservar perfeitamente o pedido original e, ainda assim, chegar a um certificado diferente. O RFC 10002 separa a assinatura da entidade final, a prova de posse da chave, a verificação de identidade, a atuação da autoridade de registro e a decisão da…
Arquivo de Caso
O token não chegou ao JavaScript. O comando chegou ao destino: RFC 10017 e a autoridade OAuth no navegador
O BFF pode guardar cada token corretamente e ainda executar uma ordem produzida por código hostil dentro da origem legítima. RFC 10017 torna essa assimetria operacional: proteger a credencial reduz o poder do roubo, mas não decide o que a sessão está autorizada a mandar fazer.
Arquivo de Caso
O módulo era híbrido; a raiz de falha continuava única
RFC 10024 combina ECDHE e ML-KEM com precisão no TLS 1.3. A arquitetura real ainda precisa demonstrar que firmware, memória, aleatoriedade, terminação e poder de mudança não transformaram duas hipóteses criptográficas em uma só dependência operacional.
Arquivo de Caso
A medição reconheceu o firmware; a rede ainda precisava decidir o acesso
O RFC 10013 padroniza como um componente medido declara identidade e estado em um EAT. A interoperabilidade da evidência não transforma comparação criptográfica em confiança, vínculo patrimonial ou autorização.
Arquivo de Caso
A autenticação certa autorizou o aparelho errado: RFC 10027 e o contexto que ficou de fora
O celular corporativo mostrou o domínio correto, validou a passkey e registrou uma aprovação legítima. Ainda assim, a autoridade voltou para o equipamento de um golpista. RFC 10027 expõe por que o sucesso da autenticação pode coexistir com o fracasso do consentimento: o usuário…
Reportagens
A ARIN aceitou contas não humanas; seu guia ainda manda usar e-mail individual
Uma conta de automação deve sobreviver à troca de plantão sem se transformar numa senha que pertence a todo mundo e a ninguém. Foi essa possibilidade que a ARIN abriu ao remover, em julho, a restrição contra contas de serviço não humanas. O problema é que a orientação pública…