Summary

  • IETF RATS 事件流草案第15版新增安全分析，点名七类可写配置：PCR 选择、证明密钥证书、签名方案、心跳与消息汇集间隔。
  • 配置权决定验证者能看见什么、何时收到；漏掉应到的消息或心跳后，要重新取得新鲜证据。

监控画面清晰得能数出螺丝，却一直拍着错误的机柜。这时再夸摄像头分辨率，没有多少安慰。网络设备的远程证明也有“镜头”与“快门”：哪些 PCR 纳入订阅，测量事件多久发出，静默时多久补一份新签名。这些开关不是背景装饰，而是证据的取景框。

IETF 草案第15版把七类开关列为可写节点。消息汇集间隔默认五秒；TPM 2.0 心跳要求在设定周期内送出覆盖所选 PCR 的新证明。管理员还能选择 TPM 1.2 或 2.0 的订阅签名方案、通知所关联的 AIK 证书名，以及可被订阅的 PCR 索引。改动配置，验证者眼前的证据范围和节奏便跟着变。

新写入的第8.3节把风险说到实处：未经授权的修改会改变证据供应、发送速率、密钥或算法；读取和订阅通知也会暴露测量日志、PCR 数值与设备细节。草案要求限制写入权，也要求把读取权交给获授权的验证者与其他消费者。RFC 8341提供网络配置访问控制模型，RFC 9907给出 YANG 安全审视框架。

第8.4节把另一种尴尬写进账本：约定该来的通知或心跳没到，验证者就不能沿用那条新鲜度证明，必须取回新的证据。持续订阅还会占用 TPM、内存、处理和网络资源；频繁测量事件会把这张账单推高。

上一版的安全章节更笼统。IETF 文档记录显示第15版仍处于 IESG 评估和 AD 跟进。它给签名之外补上一个更尖锐的问题：谁有权决定签名记录从哪儿开始看？