Кратко

  • RFC 10031 определяет id-on-MACAddress: точные значения EUI-48 и EUI-64 длиной шесть или восемь октетов, а также маски для ограничения таких имён в цепочке сертификатов.
  • Валидная цепочка подтверждает связь, созданную УЦ по своей процедуре. Она не доказывает постоянство, исключительность или глобальность адреса, фактическое присутствие интерфейса и право субъекта на действие.

Точное имя для меньшего объекта

Новая форма otherName имеет OID 1.3.6.1.5.5.7.8.12. EUI-48 записывается шестью октетами, EUI-64 — восемью, начиная со старшего. Двоеточия, дефисы и точки остаются только отображением в интерфейсе управления.

Проверяющая сторона сравнивает байты полностью; шаблонных совпадений нет. Сертификат не называет все платы корпуса, всю продукцию производителя или адрес, который ОС выбрала сегодня. Он называет одно значение.

УЦ обязан обеспечить, что адрес принадлежит или ожидаемо будет принадлежать устройству на протяжении срока сертификата. Один адрес нельзя включать в сертификаты разных устройств, кроме случая общей интерфейсной поверхности второго уровня.

Эта обязанность действует при выпуске, но не ведёт инвентарный учёт. Плату заменяют, продают, восстанавливают или переназначают, тогда как подпись и срок остаются корректными. Ремонт должен запускать явное решение об отзыве и перевыпуске.

Обладание ключом не равно кадру на порту

RFC прямо связывает надёжность с процедурой УЦ и требует учитывать подмену MAC. Динамические и общие адреса уменьшают уникальность и ответственность. За пределами локальной сети уникальность нельзя предполагать без сведений о стабильности через границы.

Доказательство ключа показывает контроль закрытого ключа. Запись коммутатора или радиоассоциации показывает адрес источника в данный момент. Скопированный адрес не доказывает ключ. Правильный ключ не доказывает, что названный интерфейс отправил этот трафик.

Самоподписанный сертификат тоже не создаёт доверие из ничего. RFC требует адрес физического порта, но полагающаяся сторона всё равно выбирает внешний якорь и прикладные права.

Изменчивость может быть защитой

Apple описывает частные Wi-Fi-адреса для каждой сети и фиксированный либо вращающийся режим. Android включает клиентскую рандомизацию по умолчанию начиная с Android 10, применяет локальный unicast и обычно сохраняет значение для SSID. Цель — не дать наблюдателю связать активность и местоположение в долгую историю.

RFC 10031 признаёт риск: неизменный MAC в сертификате облегчает слежение за устройством и пользователем. Поэтому следует рассматривать ротацию, короткие сертификаты или рандомизацию.

Заводской адрес сохраняет связь с физическим интерфейсом, но может не появляться в текущей сети. Частный адрес ближе к наблюдаемому соединению, но зависит от SSID, состояния ОС и периода смены. Политика должна назвать объект непрерывности и событие, которое её прекращает.

Ограничение имён ограничивает эмитента

Name Constraint складывается из шаблона значения и маски той же длины: 12 октетов для EUI-48 и 16 для EUI-64. Бит значения нельзя устанавливать там, где маска его не учитывает.

Разрешённые подмножества пересекаются по пути, исключённые объединяются. Подчинённый УЦ можно ограничить OUI-подобным диапазоном или универсальными unicast-адресами. Это реальная граница выпуска.

Но она не разрешает устройству войти в производственную сеть, управлять механизмом, менять маршрут или подписывать прошивку. Для этого нужны актив, состояние, арендатор, роль и конкретная операция.

Префикс тоже не является полномочием. RFC предупреждает, что флаги universal/unicast не подтверждают регистрацию OUI. IEEE различает OUI, CID, глобально задуманные EUI и локальные идентификаторы. Реестр показывает управление блоком, но не нынешнего изготовителя, владельца, цепочку хранения или деловую роль.

Не стирать расхождение

Система должна отдельно хранить путь, политику и отзыв сертификата; доказательство ключа; байты SAN; решение ограничений; живой адрес; порт или ассоциацию; интерфейс в инвентаре; режим приватности; состояние; роль и разрешение.

У каждого факта свои часы. Сертификат истекает, частный адрес меняется, плата переезжает, актив получает нового владельца, состояние устаревает, политика пересматривается. Их расхождение — сигнал для ответственного решения, а не повод свести всё к отметке «устройство проверено».

Сила RFC 10031 в узкой задаче. Он добавляет недостающее имя второго уровня и правила пути, не превращая MAC в мировой паспорт оборудования. Добровольное локальное внедрение и проверка работающим кодом сохраняют последующие решения у тех, кто отвечает за последствия.

Источники