摘要

  • RFC 3157 要求凭证移动同时保护机密性与完整性，但它没有把加密存储误当成“无需信任服务器”。服务器可能无法使用私钥，却仍然掌握凭证的存在、版本、交付与删除。
  • SACRED 框架必须同时容纳凭证服务器和设备间直接传输。前者集中长期存储与政策执行，后者削弱这种集中，却把复杂性转移到设备发现、相互认证、兼容性与可靠回执。
  • 上传、下载或认证回执只能证明其所命名的操作。它们不能自动证明目的设备安全、其他副本已消失、迁移得到授权、对端接受身份，或业务结果已经发生。

当一种身份开始活得比一台机器更久

早期模型的直观来自物理边界的重合。用户在一台电脑上生成密钥对，把公钥交给证书机构，把私钥留在原机。设备、存储和签名能力看起来共享同一个命运：机器还在，身份就能用；机器消失，能力也随之消失。

到 2001 年，这种重合正在瓦解。同一名用户可能在办公室台式机上签署邮件，出差时改用笔记本；也可能要在手机或双向寻呼机上解密信息。路由器会被容量更大的新设备替换，而它的对等方仍然信任旧公钥。仅因机箱更换就让所有对端重新配置，会制造一笔与密码算法本身无关的协调成本。

RFC 3157 把问题称为“凭证移动性”。其中的凭证包括私钥、信任根、票据以及个人安全环境中的私密部分。S/MIME、IPsec 和 TLS 是这些材料可能服务的系统，而不是这份需求文档要重写的协议。目标是在设备之间安全移动让既有安全身份继续运作的材料。

在路由器例子里，“移动身份”是方便的说法，也是容易越界的说法。真正移动的是密码材料，以及在既有验证规则下证明连续性的能力。旧设备、新设备、管理员、凭证签发者、对等方配置和承载的流量仍是不同对象。复制密钥可能延续一项密码关系，却不证明发起迁移的人拥有行政权力。

两种架构把权力和故障放在不同位置

RFC 3157 要求 SACRED 同时支持凭证服务器方案与直接传输方案。这不是两张网络图之间的审美选择，而是对长期存储、拒绝能力和证明责任的不同分配。

服务器模式让设备把受保护凭证上传到资料库，经过任意时长后，再由另一台设备下载。它采用人们熟悉的客户端—服务器形态，可提供独立于原设备寿命的存储，也给机构留下统一执行政策的位置。

便利带来集中依赖。服务器必须可发现、可配置、可防御且持续可用；资料库即使全部装着密文，仍是值得窃取、破坏或阻断的目标。统一政策可以与关键时刻的不可用同时存在：用户恰在更换设备时，可能正好无法取回凭证。

直接传输取消了中介的长期存储。沿途转发分组的节点不会因此变成凭证服务器，但成本移到了两端。设备要彼此发现、同时在线、接受可兼容的传输与认证方法，并处理格式和能力差异。若发送者需要知道交付是否完成，还必须得到可信回执。

文档没有宣布其中一种永远正确。它保留两条路径，是为了不让实现者借“同步”一词掩盖权力归属：服务器的便利不能隐去它的拒绝能力，直接传输的分散也不能隐去端点协调和回执的难题。

密文没有让服务器失去操作权

一项总要求界定得很窄：协议不得迫使凭证在终端用户设备以外的任何设备上以明文出现。服务器可以存储或转发一个受保护的封装，而不必打开其中的私钥。

这是一条机密性边界，不是一张无权证明。资料库运营者仍可控制对象是否存在、能否找到、返回哪个版本、上传是否覆盖旧状态，以及删除是否移除服务器副本。某人可能完全无法从密文得到可用私钥，却完全有能力让服务器上的副本消失。

“删除凭证”也必须限定范围。删除资料库记录不能证明终端、备份、缓存或导出中的所有副本都已销毁，也未必消灭外部身份：对等方仍可能保有公钥，别处也可能还有私钥。能证明的只是特定操作改变了某一个资料库。

可用性同样独立于泄露。RFC 3157 明确把凭证服务器视为重大的拒绝服务目标。阻止运营者或攻击者读取密钥，不等于保证用户需要时能够取到它。保密但不可达的凭证，仍会中断签名邮件流程、路由器替换或其他依赖身份连续性的工作。

这是文档最耐久的分界。密码学约束谁能获知或使用受保护材料，却不会自动约束谁能扣留、替换、回滚、删除或拒绝交付它。

操作的动词决定回执的边界

服务器模型不能只提供一个含混的“同步”按钮。RFC 3157 要求用户能够取得凭证清单、添加和删除凭证、修改认证信息；还要求支持自行注册，并允许管理员批量初始化。

每个动词对应不同权力面。列出对象会暴露库存，但不等于暴露秘密；下载把对象交给设备；上传创建或替换服务器状态；删除移除服务器状态；改密码改变未来的认证边界；自行注册建立账户关系。一次成功操作并不授权下一次操作。

下载前认证用户，只回答谁在协议的账户模型下请求访问。认证服务器，帮助客户端避免把秘密交给冒名者或从假服务器接收对象。认证凭证本身，则有助于识别传输对象被替换或损坏。

这些检查都不能证明目的设备可信。正确用户可能从被攻陷的软件发起请求；真实服务器可能交付一份过时但仍有效的封装；密码学上真实的凭证，稍后可能被用于人并未批准的行动。身份、对象完整性、设备保障和行动许可仍是四个判断。

后来落实服务器路径的 RFC 3767 把另一条界线写得更清楚：账户密码可用于认证服务器访问，凭证密码则保护下载对象中的私密成分。把二者合并，会让一次成功检查获得它并不拥有的权威。

格式不透明减少了协调，并没有增加证据

RFC 3157 要求传输双方把凭证类型与内部格式视为不透明对象。协议不应理解每一种私钥、票据或保护容器，也必须允许不同的用户认证方法和底层传输。

这是最小共同面。两套系统可以移动一个受保护对象，而不强迫彼此采用相同的内部表示。能力有限的终端也无需为了参加移动流程而实现所有对端格式。

不透明同时收紧了证明。服务器若不理解内部内容，一次“上传成功”只能证明它收到一串特定字节，不能证明其中是正确密钥、密码能够打开、应用程序能够导入，或凭证能在目标协议中使用。对象标识、版本、指纹与完整性证据必须跨越每一跳。

“当前版本”尤其不能靠想当然。资料库可以表现得完全可用，同时交付旧封装。回滚不必读取秘密，就可能恢复已撤销权限、过期密钥或旧政策。时间顺序和对象身份都是结果的一部分。

收到不等于安全落盘，落盘也不等于业务成功

直接传输要求接收方认证发送方，也要求发送方获得接收回执。回执关闭一个重要问题：真正的另一端，而非任意中间节点，已经在协议语义下确认操作。

但“回执”不可无限延伸。它可能证明某些字节在某时到达某进程，却不能证明操作系统安全保存了它们、导入流程完成、临时内存已清理，或用户一周后仍能解锁对象。

它更不能证明外部结果。路由器案例要继续追踪到新设备载入密钥、向对端呈现身份、对端接受且流量恢复；邮件案例要继续追踪到客户端能够签名或解密，并由接收方或服务接受结果。传输只是状态转换，不是最终成果。

这一区分还防止虚假的销毁证明。若源设备在一个过弱的回执后立即删除副本，而目的端导入随后失败，移动就会变成丢失；若源端永不删除，移动又可能制造无人盘点的副本。源端处置政策取决于回执明确承诺了什么。

审计日志可能成为第二条泄密通道

RFC 3157 要求实现，尤其是服务器，记录与安全有关的事件。时间、账户、操作和结果可以帮助调查者区分尝试下载与完成下载、用户删除与资料库故障、普通中断与攻击。

文档同时提醒，审计路径不能收走它本应保护的秘密。用户可能误把密码输入用户名字段。如果系统把原始输入照抄进日志，秘密便会进入操作中最常被复制、汇集和广泛访问的部分。

“把一切都记下来”不是答案。耐久回执需要足够的身份和操作上下文，却必须排除密码、私钥和其他可复用秘密。日志本身还需要访问控制、完整性、保留期限与可靠时钟。

一条“下载成功”记录不能单独证明哪一个受保护对象进入了哪一种存储。完整调查需要把它连接到对象指纹、协议会话、目的设备、本地导入、后续使用和应用结果。

硬件隔离回答的是另一个问题

附录讨论了智能卡和其他硬件令牌。若凭证始终停留在便携硬件内部，用户可以把令牌带到兼容设备，而不必在主机之间复制私密材料。在某些环境，这会形成更强的隔离边界。

它不是通用替代品。设备未必都有读卡器，成本、兼容、损坏和恢复也不会消失。SACRED 类协议还可能与硬件互补：无需把令牌交回管理员，也能更新其中的凭证。

因此，RFC 3157 把主要需求限定在软件凭证，同时承认它们的安全姿态不同。诚实的比较并非“硬件安全、软件不安全”，而是哪些材料离开哪些边界、哪些设备能够参与、故障如何恢复、哪一方能够中断连续性。

文档没有证明任何智能卡、手机、寻呼机或工作站安全。它描述的是未来方案在物理隔离不可得或不足时必须解决的结构问题。

后续协议只选择了需求空间中的一条路径

RFC 3760 随后给出抽象框架，RFC 3767 又定义了基于 XML 消息与 BEEP 配置的凭证服务器协议。它通过 TLS 和／或 DIGEST-MD5 支撑传输保护与认证，并把日常取回与可选账户管理操作区分开来。

这条谱系显示标准工作如何从问题走到框架，再走到具体协议。它不能证明 RFC 3157 的每一项要求都曾部署，不能证明直接传输已经普及，也不能证明某一产品正确保护了凭证。

RFC 3767 对离线字典攻击的关注再次展示回执边界。协议可以避免向窃听者提供有用的密码验证材料，却仍然依赖密码质量、端点软件、服务器可用性和正确的凭证加密。抵御一类攻击不会自动带来普遍的账户安全。

RFC 3157 的历史价值，在于它拒绝压缩这些层次。传输保密、资料库权力、持久可用性、设备认证、回执、存储、身份连续性和后续用途彼此相关，却没有任何一项可以代替另一项。

凭证能够移动之后，证据面反而扩大了

单机模型把风险集中在一处，也让事件链显得简单。移动提高恢复能力和便利，却增加了转换。每一次上传、资料库变更、下载、直接交接、本地导入和实际使用，都是身份可能被复制、扣留、替换或误解的位置。

一项耐久审计应从签发者和受保护对象指纹开始；指明服务器还是直接架构；分别记录用户、服务器和设备认证；命名请求操作；保留版本与完整性；观察资料库状态和可用性；识别目的设备及其可信软件假设；最后把凭证跟踪到依赖协议与服务结果。

若路由器对端接受旧密钥且流量恢复，证据就超过了成功下载。若新设备保存了密钥但对端拒绝，传输并未恢复身份连续性。若对端接受了密钥，但迁移由无权管理员发起，密码连续性也没有提供行政授权。

RFC 3157 的持久洞见不只是“密钥可以旅行”，而是秘密在途中受到保护，并不会消灭那些控制它能否抵达、能否存续、能否产生意义的机构和机器。服务器不必知道明文，仍然拥有权力。

来源