Resumo

  • O RFC 9734, de Rohan Mahy, define id-kp-imUri, uma finalidade EKU para certificados de identidade de clientes de mensageria instantânea.
  • A finalidade separa usos de chaves e reduz risco entre protocolos; não é recibo de entrega nem de leitura.

Uma finalidade que restringe, não narra

O RFC trata de certificados X.509, não de uma plataforma de chat. Um cliente pode apresentar uma identidade com URI de IM ou XMPP. Quando a mesma credencial carrega apenas finalidades gerais, uma política pode aceitá-la num protocolo que não era o contexto esperado. id-kp-imUri torna esse contexto explícito.

O documento recomenda não combiná-lo com clientAuth ou serverAuth, pois a combinação elimina a especificidade criada. Isso é útil para emissor e software confiador: ambos podem recusar um uso fora da faixa declarada. A utilidade é real, embora estreita.

O que a tela verde não viu

Uma cadeia validada responde a uma pergunta de credencial. Não testemunha a criação do conteúdo, a decisão de uma API, o estado de uma fila, a chegada a um aparelho nem a atenção de alguém. Esses fatos estão em camadas sucessivas e podem inclusive seguir políticas de privacidade e retenção diferentes.

Uma equipe que precisa defender uma afirmação de entrega deve preservar os registros da etapa que ela afirma. Para provar aceitação, o registro do serviço; para provar disponibilidade ao destinatário, a observação do ponto de recebimento; para provar retenção, controles de integridade e prazo. Um EKU pode participar da cadeia de contexto, mas não substitui suas demais peças.

Pergunta Evidência útil Limite do EKU
A chave servia a uma identidade IM? Certificado e validação Não prova mensagem alguma
O serviço aceitou o pedido? Registro de processamento Não prova chegada
O aparelho recebeu conteúdo? Evidência de cliente Não prova leitura
O caso é auditável depois? Retenção e integridade Não garante guarda

Uma biografia sem apropriar-se da operação

O Datatracker associa Mahy ao RFC 9734 e à presidência do grupo Digital Emblems. É uma contribuição verificável para a padronização. Não significa que ele administre emissores, serviços ou conversas que venham a usar o padrão. O valor de um padrão aberto está justamente na separação entre autor, implementador e operador.

Fontes