摘要

  • RFC 9761 让制造商在 MUD 中声明物联网设备预期使用的 TLS 与 DTLS 参数；这是一份可比较的行为基线，不是终端完整性证明。
  • 防火墙认识而配置未列出的参数，可以成为告警或处置依据；防火墙自己也不认识的参数，不能只凭“未知”阻断；配置已列出而防火墙不认识，则暴露的是检测层落后。
  • TLS 1.3、ECH 与加密 DNS 会缩小被动可见面。代理虽然能看到更多，却同时改变证书验证位置、隐私边界和责任归属。

新固件启用后，传感器按计划重新连接。防火墙却把它放进了异常队列：ClientHello 多出一个旧规则库从未见过的数值。

若这个数值是防火墙已知的旧弱算法，而制造商配置没有声明，处置有明确对象。但这里连防火墙也不知道它是什么。把两种情形都写成“配置偏离”会遮住决定性差别。RFC 9761 要求：参数未写进 MUD 配置、同时也不被防火墙识别时，正确做法不是仅凭未知而阻断。检测器的知识缺口不能自动变成终端的罪证。

制造商陈述的只是预期

RFC 8520 面向用途相对单一的设备。灯具、摄像头或工业传感器通常不需要通用计算机那样宽的通信面，制造商可以发布 Manufacturer Usage Description，本地网络再把描述落实为访问规则。描述来源可以在远端，执行权与后果仍在本地。

RFC 9761 把这种描述延伸到 TLS 和 DTLS。它在 RFC 8519 的 ACL 模型上增加版本、密码套件、扩展类型、支持组、签名算法、PSK 交换模式、ALPN、信任锚、可接受的证书机构以及证书压缩算法。于是，控制面不再只知道“去 443 端口”，还可以比较握手的技术轮廓。

精细不等于确定。配置回答“这一型号通常应当怎样说话”；报文回答“这一次连接暴露了什么”；防火墙版本回答“检测层理解哪些值”。三者仍然没有直接回答内存里运行的代码是否干净。

两个问题产生四种状态

第一问：实测参数是否在当前配置内？第二问：作出决定的防火墙是否认识它？

两者都为真，只能得到“符合预期参数集”。恶意进程可能复制相同的套件与扩展，因而不能把匹配写成终端健康证明。

配置没有、防火墙认识，才形成有语义的偏差。它可能表示未经授权的软件或恶意程序，也可能是合法固件先于配置发布，或者设备被绑到了错误型号。运营者可以告警、隔离或阻断，但记录必须保留具体参数、配置版本与本地规则，而不是只留下一个红灯。

配置已有、防火墙不认识，落后的是检测层。RFC 要求忽略这个无法解析的匹配项，按其余规则放行，并通知防火墙供应商与设备所有者。配置与防火墙都没有时，不确定性更大，却仍不能把未知本身当作阻断理由。这延续了 TLS 1.3 对合规中间设备的要求：未知密码套件、扩展和参数必须能够穿过路径。

GREASE 专门检验路径是否僵化

RFC 8701 让客户端故意发送保留值，以持续测试对端和中间设备是否真的容忍未知扩展。RFC 9761 因而禁止把 GREASE 值写进 MUD 配置。如果防火墙把每个 GREASE 值都判作配置违规，它就会破坏这项防止协议僵化的机制。

IANA 的 TLS 参数表、YANG 参数表 与 MUD 登记表 提供共同名字和模块更新点。登记能证明数值被分配，不能证明现场防火墙已经加载新模块，也不能证明设备实现或使用了该功能。

这里存在一项容易被忽略的权力转移。若任何新值都默认失败，防火墙供应商便可通过不更新解析器，事实上决定开放协议何时可以升级。允许并告警并非取消本地安全权，而是阻止落后的守门人把自己的维护欠账变成普遍禁令。

加密同时削弱了旁观者

TLS 与 DTLS 1.2 的 ClientHello、ServerHello 和 Certificate 以明文出现。TLS 1.3 在 ClientHello 之后加密大部分握手，DTLS 1.3 也收紧可见面。被动防火墙仍可看到部分提议与选择，却看不到服务器证书，不能声称已完成全部配置比较。

ECH 可隐藏 SNI 与其他敏感 ClientHello 字段，加密 DNS 还能隐藏名称查询。设备若使用网络未指定的解析器，基于域名的 MUD 规则会失去原定执行点。DDR 与 DNR 可以让网络指定加密解析器，但是否收到、采用并持续使用这些指定，仍需独立证据。

完整查看 TLS 1.3 握手通常意味着代理终止连接。RFC 9761 把这种做法限制在企业拥有并管理的物联网设备内，要求满足组织的安全和隐私政策，而且明确表示应尽可能避免代理。原因很实际：代理可能接触个人或健康数据，成为新的信任端点，并把证书验证搬到另一个位置。

RFC 9325 给出 TLS/DTLS 的安全使用建议，可帮助识别弱参数。RFC 8613 的 OSCORE 则展示另一种分层：即使中间设备参与传输或网络控制，应用对象仍可保持端到端保护。两者提供设计边界，不替运营者作出代理决定。

相似轮廓仍可能来自不同程序

RFC 9761 没有回避模仿风险。恶意程序可以复刻合法参数。不同型号的细节、证书机构、目的地址信誉和更新频率提高了仿冒成本，但并未使它不可能。因此，匹配只能排除一种偏差，不能结束调查。

可靠证据链应包含设备与型号的绑定方式、MUD URL 与文件哈希、签名验证、配置修订、固件和软件代次、流量五元组、原始参数码点、配置匹配结果、防火墙解析器及登记表代次、DNS 和目的地址上下文、ECH 状态、代理状态、本地处置以及应用结果。is-supported 可以表示制造商不再提供更新；停止支持并不等于设备此刻已经损坏。

这正是现实层级的实际用途：标准、登记、签名文件、运行规则、一次报文与业务结果不能相互冒充。运行代码优先要求核对真正加载的版本。最小初始规范与本地未来决策则让共同语义保持轻薄，把阻断、例外和补救继续留给承担后果的运营者。

RFC 9761 最重要的成果不是给防火墙更多权威，而是要求它在不知道时诚实地说：未知在我这一边。