Summary

  • A revisão 04 de um Internet-Draft individual inclui um driver de AC do CygnetSSL, proprietário, usado em um ambiente administrado por uma só pessoa e sem teste independente de interoperabilidade.
  • O registro cobre 22 certificados ECDSA, uma LCR em DER e uma mudança de estado no OCSP. Não demonstra exportação por sessão TLS, por zona DNSSEC, distribuição de algoritmos de certificado, sinalização QUIC nem agregação interoperável com CBOM.
  • Daniel Kade propõe uma matriz de evidência para fechar cada lacuna separadamente. É uma proposta editorial, não um requisito do IETF, e não reduz o valor do experimento relatado.

O que mudou entre as revisões

A revisão 04, publicada em 13 de setembro, acrescenta uma seção chamada Implementation Status. Ela não aparece na revisão 03, e a comparação oficial permite isolar a inclusão. Essa transparência é útil: conforme a prática descrita no RFC 7942, uma declaração de implementação ajuda a distinguir uma ideia puramente documental de algo testado em código.

Também é preciso preservar o status institucional. O Datatracker classifica o documento como Internet-Draft individual ativo. A API de metadados mostra a revisão 04, o estado I-D Exists no IESG e nenhum IETF stream; o cabeçalho solicita publicação Informational. Não se trata, portanto, de consenso de grupo de trabalho, aprovação do IESG ou RFC.

A amostra pertence à operação de uma AC

O item relata o driver de AC do CygnetSSL em um único domínio administrativo. O software é proprietário e não houve ensaio independente de interoperabilidade. Foram observados 22 certificados de entidade final em dois perfis, todos com ECDSA P-384 / ECDSA-SHA384. Há ainda uma lista de certificados revogados em DER e uma resposta OCSP que passou de good para revoked.

Essas observações são pertinentes para emissão e revogação de certificados. Não são uma implantação de criptografia pós-quântica. O fato de ML-DSA e SLH-DSA terem sido padronizados, respectivamente, no FIPS 204 e no FIPS 205 não altera o conteúdo da amostra: os 22 certificados usam algoritmos clássicos. Tampouco permite inferir o que ocorre fora dos dois perfis medidos.

Cinco requisitos observam superfícies diferentes

REQ-RG-1 a REQ-RG-5 procuram cinco capacidades: exportar o algoritmo negociado em cada sessão TLS; exportar o algoritmo de cada zona DNSSEC; calcular a distribuição de algoritmos de certificados, inclusive em evidências de OCSP e LCR; obter um sinal correspondente no QUIC; e agregar os resultados entre protocolos de modo interoperável com um inventário de materiais criptográficos, ou CBOM. Os objetos técnicos relevantes estão descritos no RFC 8446, RFC 4034, RFC 5280, RFC 6960 e RFC 9000.

Uma contagem de certificados não substitui registros de sessões, zonas e conexões. O ponto decisivo é o denominador: 22 de quantos certificados, em que população e com quais exclusões? Sem isso, um dado correto sobre a AC pode ganhar indevidamente o significado de cobertura do ambiente.

Uma matriz de fechamento evita o salto. Cada linha deve corresponder a uma lacuna e trazer requisito, mecanismo e versão, artefato, localização estável, ambiente e operador, método de teste, população e denominador, resultado, limitação, data, responsável, próxima revisão e reprodutor independente. A situação pode então ser “experimento disponível”, “cobertura parcial” ou “aguarda reprodução”, em vez de uma única luz verde.

O rascunho aponta para uma URL do CygnetLib no GitHub. No corte desta apuração, o acesso ao endereço exato a partir do host de produção devolveu HTTP 404. A observação vale somente para aquele URL e aquele momento: não prova que o repositório nunca existiu, não permite atribuir intenção e não julga a validade do software. Ela apenas impede marcar como concluída a coluna de reprodução independente enquanto o artefato citado não puder ser obtido.

A disciplina é coerente com a verificabilidade discutida em The Policy Mirror, com a progressão a partir de uma especificação inicial mínima de Minimum Initial Specification e com a separação entre realidade observada e defesa de uma tese em Why BTW Media Exists. O registro de implementação continua valioso; o que ele não deve fazer é responder por cinco linhas ainda abertas.

Sources

  1. Lacunas de prontidão PQC, revisão 04
  2. Lacunas de prontidão PQC, revisão 03
  3. Diferenças oficiais entre 03 e 04
  4. Registro no Datatracker
  5. API de metadados do Datatracker
  6. RFC 7942
  7. RFC 8446
  8. RFC 4034
  9. RFC 5280
  10. RFC 6960
  11. RFC 9000
  12. NIST FIPS 204
  13. NIST FIPS 205
  14. Link do CygnetLib citado no rascunho
  15. The Policy Mirror
  16. Minimum Initial Specification
  17. Why BTW Media Exists