Resumo

  • O rascunho CIPSO de 1992 colocou um identificador de Domínio de Interpretação de 32 bits antes das tags porque níveis e categorias numéricos só tinham sentido entre sistemas com o mesmo mapa.
  • Hosts e portas aplicavam faixas configuradas; ao cruzar domínios, o gateway precisava traduzir a opção em vez de tratar o número como autoridade universal.

Um número pequeno com um dicionário local

Commercial IP Security Option foi proposto para sistemas comerciais com controle de acesso obrigatório e segurança multinível. O projeto o diferenciava de BSO e ESO, voltadas ao ambiente do Departamento de Defesa dos Estados Unidos. CIPSO ocupava o tipo IPv4 134, tinha comprimento variável, era copiado na fragmentação e podia aparecer no máximo uma vez por datagrama.

Depois de tipo e comprimento, cada um com um octeto, vinha o Domain of Interpretation (DOI), inteiro sem sinal de 32 bits, seguido pelas tags. O valor zero do DOI era reservado. O identificador escolhia a comunidade cujo mapa transformava níveis e categorias compactos em rótulos compreendidos por pessoas e mecanismos de política.

O exemplo do rascunho mostrava a razão. Dois grupos independentes podiam codificar “não classificado” como 5 e 1. O número não escolhia sozinho a tabela. A autoridade do DOI definia o mapeamento e o distribuía aos hosts do domínio; se o mapa fosse sensível, não precisava publicá-lo fora dele.

As tags carregavam o restante. Tipos de 0 a 127 eram reservados a formatos padronizados cuja definição deveria sair em RFC. Acima de 127, a autoridade do DOI podia criar formatos para redes fechadas sem necessidade de interoperabilidade externa. O rascunho ligou três formatos MAC Sensitivity a números específicos: a tag do tipo 1 usava bitmap de categorias, a do tipo 2 usava enumeração crescente e a do tipo 5 usava intervalos crescentes não sobrepostos. Uma implementação compatível precisava gerar a tag comum do tipo 1 e receber toda tag válida do tipo 1, inclusive a forma otimizada.

A configuração transformava significado em decisão

Sintaxe correta não bastava. Host, gateway ou roteador com múltiplos níveis precisava de limites mínimos e máximos para o sistema ou a interface. O host rejeitava o nível que não estava autorizado a processar; um pacote de saída fora da faixa da porta era descartado. O DOI de saída podia ser escolhido por porta, rede de destino ou host de destino.

O tratamento distinguia o incompreensível do proibido. Um campo CIPSO desconhecido provocava descarte e ICMP Parameter Problem. Um rótulo válido fora da faixa configurada provocava descarte e ICMP Destination Unreachable por proibição administrativa. O administrador podia indicar tags desconhecidas que fossem seguras para ignorar, mas apenas como exceção explícita.

A ausência da opção também era política. Uma porta podia atribuir seu próprio rótulo ao tráfego sem CIPSO em uma rede de nível único. Quando CIPSO era obrigatório e faltava, o rascunho exigia descarte e ICMP Parameter Problem indicando a ausência do tipo 134.

Na fronteira entre DOIs, a dependência institucional ficava nítida. A implementação precisava aceitar pelo menos um DOI e deveria aceitar vários. Um gateway entre redes tinha de traduzir CIPSO de um DOI para outro. O pacote transportava o código compacto; o gateway assumia a responsabilidade de preservar o sentido entre vocabulários administrativos.

Um projeto que não virou RFC

CIPSO 2.2 expirou como Internet-Draft e nunca se tornou RFC. Sua abordagem foi depois padronizada pelo NIST como FIPS 188, publicada em 1994 e retirada em 2015. A RFC 7126 registrou, em 2014, implementações em alguns sistemas multinível e uso em certas redes de alta segurança. É evidência datada, não medida atual de adoção.

A RFC 7126 também alertou sobre filtragem indiscriminada. Remover CIPSO podia levar o receptor a descartar um pacote mal rotulado ou associar os dados à sensibilidade errada. Por isso, a recomendação padrão era não remover nem descartar apenas pela presença da opção, mantendo descarte configurável e contadores auditáveis por interface.

O DOI deixou uma lição: o número economiza espaço no cabeçalho, mas não cria significado comum. Esse significado permanece no mapa mantido pela autoridade, na configuração e na tradução feita na fronteira.

Fontes