Resumo

  • O RFC 9997 permite que titulares elegíveis de um IANA Private Enterprise Number calculem blocos privados de SID YANG sem pedir cada alocação, preservando a separação global dos números.
  • A presença do PEN na composição do SID não é prova de procedência e não autentica o módulo YANG, o arquivo .sid, o publicador ou o significado atribuído ao inteiro.
  • Confiança operacional depende de canal autorizado, revisão e hash exatos, evidência de capacidade do equipamento e confirmação pelo sistema em execução.

Num centro de operações, uma mensagem YANG-CBOR chega de um roteador de borda. Em vez de repetir o nome textual de uma folha, ela traz uma chave inteira. A chave cai na faixa calculada a partir do PEN do fabricante. O arquivo .sid instalado no coletor diz que se trata de uma mudança de potência óptica. O teste de faixa passa.

Esse arquivo, porém, veio de uma imagem de integração antiga. O release atual do fabricante atribui o mesmo inteiro a outro item. A mensagem continua sendo CBOR válido. A conta que delimita o bloco continua correta. Nenhum valor público colidiu. O erro está em confiar na parte que definiu o significado.

Publicado em julho de 2026 no Standards Track da IETF, o RFC 9997 oferece um caso raro em que a própria norma aponta a tentação criada por sua eficiência. Ela reserva espaços gigantes para YANG Schema Item Identifiers e fornece uma fórmula para que titulares de PEN encontrem seus blocos. A fórmula resolve coordenação. Não transforma o número empresarial em assinatura.

Espaço privado sem pedido por bloco

YANG, especificado no RFC 7950, modela dados de gestão como módulos, containers, listas, folhas, ações e notificações. Nomes textuais facilitam leitura, mas se tornam caros em equipamentos e enlaces restritos. O RFC 9254 define YANG-CBOR, no qual um item pode ser representado por um SID sem sinal de 63 bits ou por um delta em relação ao SID corrente.

O RFC 9595 organiza a atribuição. Faixas públicas podem ser registradas pela IANA; dentro de uma faixa privada, a administração passa ao gestor delegado. O arquivo .sid registra a relação concreta entre cada conceito do módulo e seu inteiro.

O RFC 9997 colocou duas mega-ranges Private no registro de YANG SID da IANA. De 3.000.000.000 a 3.999.999.999 há um bilhão de valores compatíveis com representação sem sinal de 32 bits. De 300.000.000.000 a 399.999.999.999 há cem bilhões de valores em 64 bits.

Um PEN menor que 1.000.000 determina um bloco de 100.000 SIDs na faixa maior. Se o PEN for menor que 100.000, o titular também recebe um bloco de 10.000 na faixa de 32 bits. Não existe uma solicitação individual, uma revisão humana por bloco nem uma resposta de alocação. Todos que aplicarem a fórmula ao mesmo PEN chegam aos mesmos limites.

O sistema se apoia no registro de Private Enterprise Numbers, mantido com barreira e custo operacional baixos. Havia cerca de 66 mil PENs atribuídos quando o RFC foi produzido. O texto estima que os números abaixo de 100 mil, condição para a faixa adicional de 32 bits, possam acabar perto de 2040. A faixa de 64 bits atende um universo muito maior.

O tamanho absoluto não é o custo inevitável de cada chave. YANG-CBOR pode codificar itens próximos como deltas pequenos. A faixa de 64 bits traz folga para a alocação; o delta mantém a representação compacta. Uma avaliação de capacidade que conte apenas os dígitos ignora o mecanismo usado no fio.

Há também valores seguros para exemplos. O PEN de documentação criado pelo RFC 5612 gera blocos que a IANA marca para documentação, impedindo que especificações ocupem o espaço de uma implantação real.

Delegar uma faixa não certifica a origem

A regra de validação mais fácil seria aceitar o SID sempre que os seus dígitos o colocassem no bloco do fornecedor esperado. O RFC 9997 proíbe essa conclusão: a aparência do PEN no SID não é procedência e não garante que o SID ou o modelo tenha vindo do titular. Ainda é preciso verificar a fonte autorizada.

Qualquer pessoa consegue executar a fórmula. Também consegue montar um arquivo que use números plausíveis dentro do bloco alheio. Um atacante pode fazer isso deliberadamente; um integrador pode manter uma atribuição depois de perder o mandato; um fork pode divergir sem mudar o espaço. A fórmula evita a colisão acidental entre titulares que obedecem ao processo. Ela não impede uma afirmação sem autoridade.

O RFC 8126 ajuda a entender o papel do registro. Políticas de registro determinam como valores são coordenados e qual revisão ocorre. Reservar um valor não garante todos os artefatos futuros que o mencionam. A IANA mantém PEN e mega-ranges. O titular mantém o interior do bloco. O consumidor continua responsável por autenticar o arquivo recebido.

O bloco se parece mais com um lote do que com um certificado. A planta impede que dois terrenos legítimos ocupem o mesmo lugar, mas não prova que um documento deixado ali foi assinado pelo proprietário. O espaço numérico evita colisões; a cadeia de publicação atribui significado.

A tabela .sid decide o que o inteiro faz

Chamar o .sid de metadado de build reduz artificialmente seu impacto. O RFC 9595 alerta que ele liga conceitos semânticos a inteiros. Se uma fonte não confiável controlar essa ligação, dados sintaticamente válidos podem virar outra folha, notificação ou ação quando decodificados.

Nem todo desvio é ataque. Um pipeline importa versão antiga. Um pacote troca a tabela sem preservar a revisão do módulo. O equipamento anuncia uma revisão via YANG Library, e o controlador usa outra. Numa aquisição, repositório, equipe, marca e PEN mudam de mãos em datas distintas. Um produto encerrado deixa atribuições que outra equipe reutiliza.

A unidade confiável deve combinar identidade autorizada, nome e revisão do módulo, bytes e hash do .sid, evidência de integridade, canal de obtenção e declaração de capacidade do equipamento. “Está na faixa do fabricante” não reúne informação suficiente para aprovar uma automação.

O RFC 9595 recomenda importar .sid somente de fontes autorizadas. Em sistemas de gestão menos restritos, a fonte do mapeamento precisa ser tão confiável quanto a do módulo YANG. Release assinado, commit fixado ou pacote verificado criam evidência; o formato do número não cria.

Identificadores desreferenciáveis trazem outro risco. Uma resolução pode disparar acesso externo, expor quais modelos o operador usa, permitir rastreamento e receber conteúdo diferente ao longo do tempo. Reprodutibilidade exige guardar o objeto exato, o hash e a decisão de procedência, não apenas uma URL que funcionou no passado.

Descoberta indica onde olhar

O RFC 9997 não define uma infraestrutura para descobrir qual módulo está por trás de um SID privado. O titular pode manter um repositório. O dispositivo pode relatar módulos, revisões, features e deviations com a YANG Library do RFC 8525. Um catálogo externo pode indexar os dois.

Cada um responde a uma pergunta. O catálogo mostra onde procurar. A YANG Library registra o que o dispositivo declara implementar. O canal de release mostra o que determinada identidade publicou. O .sid verificado fixa o mapeamento para uma revisão. Facilidade de localização não concede autoridade.

Um modelo privado pode ser distribuído apenas a clientes ou incorporado a produto fechado. O bloco continua calculável. Não localizar o modelo publicamente não prova uso indevido; localizar uma cópia tampouco a torna oficial.

O código em execução mantém o voto final

Mesmo com procedência comprovada, o equipamento pode implementar outra revisão, desativar uma feature, declarar deviations, restringir datastore ou negar uma ação por política local. YANG Library oferece evidência de capacidade declarada; não promete que toda operação válida no papel será aceita.

O registro operacional precisa separar cinco atos: IANA coordena PEN e mega-ranges; o titular atribui dentro do bloco; o publicador distribui módulo e mapeamento; o consumidor valida e resolve; a implementação aceita ou rejeita. Um único campo sid_valid perde causalidade.

A ideia de Minimum Initial Specification de Heng Lu descreve a virtude do desenho. Só o que precisa ser comum fica na camada comum. O RFC 9997 centraliza a aritmética da unicidade e mantém decisões semânticas locais. A camada mínima deixa de funcionar quando é promovida a autoridade universal.

A primazia do código em execução coloca a realidade operacional na aceitação de entradas compatíveis. E as camadas de realidade impedem que registro do PEN, bloco calculado, tabela publicada, capacidade declarada e resultado observado sejam confundidos. São evidências relacionadas, não intercambiáveis.