摘要

  • draft-ietf-ippm-ioam-data-integrity-20 让受信验证器按顺序重算 AES-GMAC 累积链，判断受保护的不变字段是否被修改。
  • ICV 有效并不证明所有预期 Option-Type 均已出现、节点对自身的测量真实、导出后数据未变、没有延迟攻击，或全部流量都在保护范围内。
  • 自动化应以分层凭据收口：预期与实见集合、重放判定、验证器来源、导出保管链、覆盖分母和独立业务回读缺一不可。

验证器最后只做一个等式判断：按现有密钥和顺序重算出的 ICV，是否等于报文携带的 ICV。等式成立，算法完成了任务；界面若把它改写成“路径可信”，就替算法回答了一个它没有观察的问题。

这份草案的第 20 版日期为 2026 年 7 月 19 日，目前位于 RFC Editor 队列、等待首位编辑处理，IANA 状态还标明新版需要复核。它仍是 IPPM 工作组的 Internet-Draft，不是部署证明，也不说明任何厂商的密钥管理、验证器或数据出口实现已经互通。

方案为预分配跟踪、增量跟踪、POT 和端到端 IOAM 选项定义受保护版本。每个更新链条的节点持有独立对称密钥。12 字节 nonce 包含 Key ID、封装节点标识与 64 位计数器。封装节点对选定的不变头字段和自身不变数据计算首个 ICV；后续节点把收到的 ICV 与自己的不变贡献一起送入 GMAC。

线上只携带最后一个 ICV。验证器需要识别记录中出现的节点，取得相应密钥并按序重算。节点标识到密钥的映射如何建立，草案没有规定。于是，“有效”从一开始就依赖一套本地身份账本。

合法密钥可以签下虚假自述

受控节点在密钥与映射正确时难以冒充另一个节点或静默改写别人的受保护贡献，但它仍可伪造或丢弃报文，也可在自己的字段中写入虚假的队列、接口或时间信息。

如果谎言从合法密钥持有者处进入链，ICV 完全可能有效。完整性保护的是陈述的来源与后续未改写，不是传感器校准、软件诚实或陈述的现实真实性。

因此凭据应把“贡献来源可归属”与“测量可信”分开。后者需要软件构建、配置、设备证明、独立计数器和跨观察者一致性。密码学保存证词，不替证人担保。

验证器是权力节点

草案明确把 Validator 称为受信实体。它接触全部相关密钥，并最终决定 ICV 是否有效。草案同样明确：被攻陷的验证器可以伪造或修改 IOAM 数据并输出错误结果，此完整性方法无法阻止这种受信实体失效。

这不是算法漏洞，而是治理边界。如果一个产品同时定义预期参与者、维护密钥映射、给出判决并触发修复，那么观察、裁决与执行集中在同一管理身份之下。使用 GMAC 并不会自动产生独立性。

每次判决都应记录验证器部署身份、软件版本、配置哈希、密钥时代、映射版本与策略版本。高影响动作还应有第二观察面或独立授权。

没有到达的选项无法参加验证

路径上的攻击者可以删除整个 IOAM Option-Type 头。草案说明该机制不缓解这一威胁，应由封装 IOAM 的协议提供保护。受控节点也可能移除完整性头，把受保护选项换成普通选项。

因此，在重算 ICV 之前，验证器必须知道哪些 Namespace-ID、封装节点和 Option-Type 按政策应受保护，并比较“预期集合”与“实见集合”。只验证幸存记录，会在一个被删减的案卷上得到完美结论。

缺失不等于有效，也不等于无异常。它可能来自未采样、未启用、被剥离、节点未参与或导出失败。系统必须保留这些不同状态。

受保护样本不能代表全部流量

草案允许受保护和普通 IOAM 选项共存，也允许不同 namespace 分别使用保护与非保护跟踪。为控制处理开销，运营者还可只对部分流量插入完整性选项。

于是，有效样本数量不是覆盖分母。即使一千条记录全部有效，关键业务流也可能从未被抽中。覆盖率必须按流量类别、namespace、选项类型、时间窗与策略版本单独计算。

可变头字段也不在保护范围内。凭据必须列明覆盖的字段和掩码，不能把选择性保护宣传成“整条 IOAM 记录都可信”。

解封装之后需要新的保管链

管理平面攻击与导出数据的完整性不在草案范围内，相关管理协议与导出格式应自行提供安全。DEX 不携带 IOAM-Data-Fields，明确不得使用该方法。

一个报文在路径末端可拥有有效 ICV，随后却在解析、规范化、传输、聚合或存储中失真。若分析平台只保存最终表格，就无法把结论追溯到受保护的原始字节。

正确做法是保存原始选项、验证凭据和每次转换的哈希与责任主体。链条断裂时，状态应是“导出完整性未证明”。

字节真实不等于时间真实

草案不缓解选择性延迟攻击。攻击者可以只推迟携带 IOAM 数据的报文，制造拥塞假象，而 ICV 因内容未变仍然有效。

新鲜度需要采集时间、验证时间、允许时效、时钟质量与独立的延迟/丢包观察。反重放可以识别已使用过的 nonce，却不能保证一个首次出现的报文仍适合当前决策。

密钥与计数器状态同样是运行事实。若重启后无法保留状态，旧密钥不得继续使用，必须轮换后才能恢复保护。反重放窗口还决定合法乱序的容忍度。

把等式放回证据链

凭据首先记录 IOAM Domain、Namespace-ID、Option-Type、方法、掩码、报文身份、采样规则、预期与实见参与者/选项。随后记录 nonce、非秘密标识、密钥时代、映射版本、反重放判定、验证器身份、软件和配置。

再把解封装、导出、转换与存储串成哈希链。最后附上独立的延迟、丢包、路径与业务回读，以及采取的动作、授权、回滚条件和结果。

状态应是有边界的：声明集合内有效、预期选项缺失、身份映射未知、验证器来源未核验、覆盖不完整、导出完整性未证明、业务结果待定。一个绿色图标容不下这些事实。