Resumo

  • Em 3 de setembro de 2026, o IESG abriu consulta final sobre a revisão 16 de Segment Routing IPv6 Security Considerations, até 17 de setembro, para possível RFC Informational. O documento ainda não foi aprovado ou publicado.
  • SRH não é classificador suficiente: o processamento de SID pode ocorrer sem ele, e um pacote com SRH pode apenas atravessar o domínio. A confiança nasce da aplicação conjunta de faixas, origem, filtros e recursos do equipamento.

O rótulo “domínio confiável” descreve um resultado operacional, não uma cerca física. A revisão 16 exclui hosts da mesma rede que não estejam sob os controles e trata outra instância SR como externa quando é lógica ou operacionalmente separada, mesmo sob a mesma administração.

Essa definição desmonta o filtro por aparência. Um endereço IPv6 de destino pode representar sozinho um segmento; portanto, a ausência de SRH não elimina a função SRv6. Já o cabeçalho Routing Type 4 pode estar em trânsito para outro domínio. Bloqueá-lo indiscriminadamente quebra tráfego legítimo, enquanto liberar todo pacote sem ele deixa uma lacuna.

O primeiro controle útil está no ingresso: descartar tráfego externo cujo destino pertence ao conjunto de SIDs internos. O segundo vive em cada nó com SID: descartar o destino local quando a origem não pertence ao domínio. Se a borda errar, o nó pode conter o pacote. Se ambos falharem, ataques antes classificados como internos podem atravessar de fora.

O bloco de RFC 9602 simplifica a representação do conjunto de SIDs e favorece fail-closed. Não é defesa automática nem escolha obrigatória. Outros prefixos aumentam o tamanho da política, o número de exceções e a chance de vazamento ou divergência.

Encapsular na borda confiável faz o cabeçalho externo e o SRH opcional nascerem em um nó autorizado. Isso separa campos recebidos dos que comandam o plano interno. Ainda assim, a encapsulação não corrige uma admissão equivocada e não substitui os filtros de endereço e origem.

O HMAC do SRH protege campos selecionados, mas é opcional e depende de chave compartilhada. Chaves manuais podem ser reutilizadas; pacotes válidos podem ser reproduzidos; Segments Left fica fora da cobertura descrita. Integridade parcial não prova autorização ou freshness.

Firewalls e monitores também enfrentam destino mutável. Um equipamento sem consciência de SRv6 pode confundir o segmento ativo com o destino final e não relacionar os sentidos do fluxo. Derrubar todas as extensões não resolve: quebra SRv6 dentro do domínio e ignora SIDs sem SRH.

Por fim, ACL e TCAM são recursos finitos, às vezes compartilhados com VLAN, rotas e tabelas MAC. O controlador pode aceitar a configuração que o silício não consegue cumprir. Se o limite produz aceitação silenciosa, o domínio se torna aberto sem mudança no texto da política.

Heng Lu oferece a regra de leitura: documento, configuração, estado instalado, pacote observado e impacto são camadas diferentes. O Last Call melhora a descrição comum; não certifica nenhuma rede nem transforma intenção em execução.

Fontes

  1. Consulta final do IESG
  2. Revisão 16 do projeto de segurança SRv6
  3. Registro no Datatracker
  4. RFC 8402: arquitetura Segment Routing
  5. RFC 8754: cabeçalho SRH
  6. RFC 8986: programação de rede SRv6
  7. RFC 9602: bloco dedicado para SIDs
  8. RFC 9288: filtragem de extensões IPv6
  9. RFC 7872: medição de descarte de extensões
  10. RFC 8200: IPv6
  11. RFC 9098: segurança de extensões IPv6
  12. RFC 9099: segurança operacional IPv6
  13. RFC 9259: OAM no SRH
  14. RFC 4381: práticas de domínio confiável
  15. RFC 3552: considerações de segurança
  16. Heng Lu: primazia do código em execução
  17. Heng Lu: especificação inicial mínima
  18. Heng Lu: camadas de realidade