Resumo

  • Em 24 de setembro de 2026, a revisão de conflito de draft-irtf-t2trg-taxonomy-manufacturer-anchors-21 recebeu “Approved No Problem”: há trabalhos IETF relacionados, mas nada que impeça publicar.
  • O texto é um Internet-Draft do fluxo IRTF, destinado a Informational. Ele nomeia cinco formas de fabricar IDevID e declara que não as avalia nem ranqueia.
  • Avocado, Broccoli, Carrot, Squash e Spinach mostram onde a chave nasce e por qual custódia passa. Entropia, exposição na fábrica, sementes, CA e ciclo de vida ainda precisam de prova.

A pergunta limitada da IESG

RFC 5742 orienta a IESG a verificar se um trabalho de outro fluxo conflita com a normalização do IETF. A resposta citou ANIMA, LAMPS, TEEP, RATS e SUIT, mas disse que a relação não bloqueia a publicação. O Datatracker mantém o limite: o draft não é endossado pelo IETF e não tem posição formal no processo de padrões. RFC 5743 separa resultados do IRTF de produtos IETF.

O próprio draft recusa a leitura de certificação. Seu objetivo é criar vocabulário consistente. Ele não atribui números porque fatores humanos e processuais alteram o resultado e remete essa avaliação a processos formais como ISO 27001.

Cinco nomes deslocam a exposição

No Avocado, o dispositivo gera a chave. Ela pode nunca sair, mas a qualidade do acaso, o vínculo da chave pública ao número de série e o fechamento do modo de fábrica precisam ser demonstrados.

No Broccoli, a infraestrutura fabril gera e injeta a chave. A emissão pode ser antecipada, porém pessoas, máquinas e canais da fábrica ganham acesso potencial ao segredo.

O Carrot deriva a chave de uma semente exclusiva instalada pelo fornecedor de silício. Elimina a dependência do gerador aleatório do aparelho, mas cria inventário e entrega sensíveis entre fornecedores. O draft chama essa transferência de sementes de elo mais fraco.

O Squash gera e retém a chave num Secure Element do aparelho. O Spinach recebe o Secure Element já provisionado pelo fornecedor. No segundo caso, peças capazes de assinar circulam na logística; roubo, ativação e reconciliação de estoque passam a importar. Em ambos, o rótulo não prova implementação, integração ou operação da CA.

Um IDevID válido mostra uma assinatura sobre identidade e chave pública. Não revela se a chave privada veio de bom acaso, foi copiada na fábrica, derivada de semente mal guardada ou contida corretamente. É preciso preservar recibo de lote, método, silício, firmware, geração ou injeção, número de série, transação da CA e bloqueio fabril.

A PKI prolonga a responsabilidade. Uma CA pode sofrer divulgação, perda legítima de acesso ou assinatura indevida. Uma âncora fixada no hardware talvez só possa ser substituída por recolhimento físico. Perder a capacidade de assinar atualização ou revogação pode paralisar a frota sem invasão.

Na leitura de Heng Lu, a decisão da IESG é realidade processual; os nomes são vocabulário; o certificado é artefato. O dispositivo que retém a chave, recusa reprovisionamento e passa por rotação e recuperação oferece a evidência operacional.

Fontes