Resumo

  • RFC 1447 indexava cada entrada de acesso pelo alvo, sujeito e contexto de recursos, mantendo as classes de PDU permitidas em outro campo.
  • Uma parte conhecida ou uma mensagem autenticada ainda precisava passar pela decisão local do receptor para aquela relação e operação.
  • O VACM posterior abandonou a arquitetura de parties, mas preservou a necessidade de combinar principal, contexto, condição de segurança, tipo de visão e objeto.

A gramática de uma permissão

A Party MIB integrou o conjunto inicial do SNMPv2 publicado em abril de 1993. Party não era simplesmente uma pessoa ou organização. O modelo a definia como ambiente conceitual de execução, limitado a um subconjunto de operações escolhido administrativamente.

Uma entidade podia realizar várias partes com competências sobrepostas ou separadas. Também podia conhecer uma parte remota sem realizá-la localmente. O identificador apontava para um registro administrativo; não carregava um título universal de administrador.

Em RFC 1447, aclTable transformava isso numa relação explícita. A chave era formada por aclTarget, aclSubject e aclResources. O alvo era a parte chamada a executar; o sujeito, a parte que pedia; os recursos, o contexto SNMPv2 no qual a operação deveria ocorrer.

Só então aclPrivileges dizia quais classes de comunicação eram aceitas. A política não tinha apenas um substantivo. Tinha direção, cenário e verbos.

Trinta e cinco não era nível de confiança

Os privilégios usavam uma soma: Get 1, GetNext 2, Response 4, Set 8, GetBulk 32, Inform 64 e SNMPv2-Trap 128. Zero era o conjunto vazio. O padrão 35 reunia Get, GetNext e GetBulk.

O número não formava uma escala. Quarenta e três somava Set ao mesmo conjunto de leitura; quatro admitia somente Response. A política só podia ser compreendida decompondo o inteiro e preservando a tripla à qual pertencia.

Os exemplos iniciais separavam as direções. Uma linha podia deixar uma parte gerenciadora consultar uma parte agente. Outra, no sentido inverso, autorizava Response e Trap. O direito de perguntar não gerava automaticamente o direito de responder, e nenhum deles incluía escrita sem o valor de Set.

Resumir 35 como “leitura” pode servir à interface. Resumi-lo como “confiável” não serve à auditoria. A palavra já não diz qual alvo, contexto, direção ou PDU sustentava a permissão.

A decisão acontecia depois da chegada

RFC 1445 aplicava o controle de acesso ao receber a comunicação, não ao transmiti-la. O remetente montava origem, destino, contexto e PDU e podia enviar uma mensagem correta sem consultar a política local do outro lado.

O receptor então verificava etapas diferentes: a parte destino era conhecida e realizada localmente? A origem era conhecida? A autenticação valia segundo os protocolos configurados? O contexto existia? Havia uma entrada para origem, destino e contexto? A classe PDU estava incluída?

Cada falha dizia algo próprio. Uma mensagem válida podia nomear alvo desconhecido. Alvo conhecido podia receber origem desconhecida. Origem autêntica podia pedir contexto ausente. O contexto podia existir sem ACL compatível. A ACL podia permitir Get e negar Set.

Dois receptores também podiam conhecer o mesmo sujeito e decidir de modo diferente, pois mantinham alvos, contextos, visões e políticas locais distintas. O emissor controlava o pedido, não a autorização atual do destinatário.

Contexto impedia que “quem” engolisse “onde”

Um contexto reunia recursos gerenciados. Para recursos locais, apontava para uma visão MIB; para recursos remotos, podia representar uma relação de proxy. O mesmo sujeito e alvo podiam ter direitos diferentes em contextos diferentes.

“Pode ler” continuava incompleto até dizer onde, diante de qual alvo e dentro de qual visão. Admitir a classe da mensagem não eliminava o limite dos objetos efetivamente acessíveis.

Uma ausência também precisava permanecer estreita. Não ver um objeto por um contexto não provava que ele não existia, que nenhum outro contexto o expunha ou que outro sujeito não tinha acesso. Provava o resultado daquela relação no estado local observado.

A regra também podia ser volátil

aclEntry carregava aclStorageType e aclStatus. A linha podia ser volátil, não volátil ou permanente, e seguia um ciclo RowStatus. Aparecer na tabela não provava ativação, sobrevivência ao reinício nem possibilidade de alteração.

O ciclo geral de RowStatus pertence a outro artigo. Aqui, o ponto é que a própria autoridade era estado gerenciado. Mensagens SNMP podiam alterar objetos administrativos que decidiriam o destino das próximas mensagens.

Uma resposta bem-sucedida a um Set na ACL ainda não provava que a próxima solicitação seria aceita como pretendido. Era preciso guardar valores, resposta, estado da linha, dependências ativas e executar novo teste no receptor. Persistência exigia observação além da reinicialização relevante.

O VACM mudou a estrutura e preservou a relação

O modelo original baseado em parties tornou-se Historic. RFC 2575 e depois RFC 3415 definiram o VACM para a arquitetura modular do SNMP. Modelo e nome de segurança mapeavam para um grupo; grupo, contexto, modelo e nível selecionavam uma entrada; leitura, escrita ou notificação escolhia uma visão; a variável individual era então testada nessa visão.

O VACM distinguia contexto inexistente, grupo ausente, entrada ausente, visão ausente e objeto fora da visão. Todos poderiam aparecer ao usuário como negação, mas apontavam para junções distintas.

Party MIB e VACM não são a mesma tabela. A continuidade está na disciplina: saber quem é o principal não responde onde, sob qual proteção, para qual operação e sobre qual objeto ele pode agir.

Política escrita e efeito executado não eram a mesma coisa

A primazia do código em execução de Lu Heng separa especificação, implementação, validação, implantação e uso. Sua análise das camadas de realidade separa autoridade simbólica de efeito executável. RFC 1447 oferece um caso histórico concreto para essa lente.

O identificador da parte nomeava. A ACL declarava política local. O processamento no receptor a executava. A resposta registrava um resultado do protocolo. Uma mudança real em interface, contador ou rota precisava de observação própria.

Parte conhecida não provava autorização. Linha existente não provava atividade. Set aceito não provava efeito correto ou persistente. Valor devolvido não provava correção semântica. Preservar as fronteiras tornava cada evidência mais forte.

A Party MIB é histórica. Sua lição permanece: autoridade auditável vive numa relação reconstruível, não num adjetivo colado a uma identidade.

Fontes