【每日文稿】2024-12-22
今日共有3篇文稿更新，涉及2个area里的2个WG
ART
dmarc
- Title: Domain-based Message Authentication, Reporting, and Conformance (DMARC)
- Authors: Todd Herr(todd@someguyinva.com), John R. Levine(ietf@johnlevine.com)
- Summary: 本文主要讲述了域名验证协议（DMARC）的基本概念和工作机制。它允许邮件发送者发布一个DNS记录，用于验证其电子邮件认证部署，并表示域主对未通过验证的消息进行处理的偏好。此外，它还规定了收集接收消息使用指定作者域名的信息的报告格式，并提供了反馈机制以帮助识别欺诈性邮件。然而，该文档也讨论了一些潜在的兼容性和安全问题，需要在实施前予以考虑。总的来说，DMARC旨在防止未经授权使用特定域名的行为，以及解决诸如伪造显示名称攻击等其他网络安全问题。
- Diff: 该文档是关于域邮件认证、报告和一致性(DMARC)协议的新版本标准文稿。与之前的版本相比，主要的区别在于： 1. 定义了新的术语：如DMARC Policy Record、Domain Owner Assessment Policy等。 2. 更详细的定义了组织角色，比如Delegate、Report Consumer等，并提供了相关链接以供参考。 3. 对域名命名进行了更严格的约束，要求域名名称应唯一且不可逆。 4. 强调了DMARC对保护电子邮件免受钓鱼攻击的重要性。 5. 提出了在不同场景下使用DMARC时需要考虑的问题，比如不同类型的失败验证情况、不同类型的信息泄露等。 6. 增加了对于不同应用场景下的解决方案建议，比如如何处理不同类型的失败验证情况、如何利用DMARC进行信息泄露识别等。 总体来说，新版本增加了更多的详细解释、更加严格的要求以及更多的实用指导原则，使得DMARC协议能够更好地满足实际应用需求。
WIT
core
- Title: Attacks on the Constrained Application Protocol (CoAP)
- Authors: John Preuß Mattsson(john.mattsson@gmail.com), John Fornehed(john.fornehed@ericsson.com), Göran Selander(goran.selander@ericsson.com), Francesca Palombini(francesca.palombini@ericsson.com), Christian Amsüss(christian@amsuess.com)
- Summary: (J. Preuß Mattsson等) 发布了一篇名为“攻击者对受限应用协议(CoAP)的威胁”(Attacks on CoAP)的技术报告。这篇报告讨论了使用安全协议(CoAP和后续版本)保护CoAP的安全性问题，并指出即使在有安全协议的情况下，仍存在一些严重的CoAP攻击。 报告列出了四种通常由安全协议提供的四个属性：数据保密、数据源认证、数据完整性保护以及数据重传保护。这些属性被认为是确保互联网物联网(IoT)部署安全性的必要条件。然而，作者指出，仅依赖这些属性是不够的，因为它们并不足以保证可靠控制传感器和执行器（甚至某些情况下执行器）的操作。 该文档概述了几种特定于CoAP的攻击，如选择性阻塞攻击、请求延迟攻击、响应延迟和匹配攻击、请求碎片重新排列攻击以及路由攻击。这些攻击可以被一个有组织的入侵者轻易实施，从而阻止或延迟选定的消息的传递，造成不可预测的影响。为了减少影响，作者建议改进用于保护CoAP的解决方案，包括交换时间戳、挑战应答机制等。同时，他们还提出了几个具体措施来降低这些攻击的风险。 总之，文稿强调了使用安全协议的重要性，但同时指出了需要进一步完善和提高CoAP保护能力以应对这些新出现的攻击。
- Diff: 上述新版本的英文标准文稿（draft-ietf-core-attacks-on-coap-05）与旧版本（draft-ietf-core-attacks-on-coap-04）的主要区别在于： 1. 提出了新的攻击类型：请求延迟攻击和响应延迟和匹配攻击。 2. 描述了这些攻击如何在没有安全协议的情况下实现，并指出它们是针对特定类型的传感器或执行动作时的威胁。 3. 讨论了如何使用安全协议来防止这些攻击，例如要求客户端发送验证消息以确保请求被正确接收、限制服务器对未授权操作的响应等。 总的来说，新版本增加了对一些具体攻击的讨论，以及更详细地描述了如何使用安全协议来保护CoAP免受这些攻击的影响。这有助于指导开发者如何选择合适的安全措施来增强CoAP的安全性。
Unknown
Unknown
- Title: WebTransport over WebSocket
- Authors: Marten Richter(marten.richter@tu-berlin.de)
- Summary: 本文主要讨论了在Web客户端上使用WebTransport协议实现基于Websockets的消息传输。它定义了一个基于WebSockets的协议，其安全性遵循WebTransport协议规范。该协议利用CAPSULE机制和内核元素，将WebSocket的数据帧转换为特定的文本或二进制数据帧，并且根据WebTransport流控要求限制了数据帧长度。同时，为了替代设置参数，客户端和服务器必须立即发送初始化流量控制值。 此外，文中还提出了一个新的IANA注册政策，用于管理WebTransport协议版本，包括标准版和临时版。对于新版本，如果需要，则可以添加到协议名称的域名列表中，以支持后续的协议更新。最后，文稿提供了几个参考文献，以便读者了解有关WebTransport及其相关标准的信息。
- Diff: 本文是关于WebTransport协议的一个草案。它是一个基于WebTransport框架的安全通信协议，用于在Web客户端和远程服务器之间进行低级交互。与现有Web运输协议不同，它允许Web客户端通过WebSocket发起多路流传输，并提供类似HTTP/2的特性。 与旧版标准文稿相比，新的文档有以下几个主要区别： 1. 新版本使用了更广泛的WebSocket协议作为基础，而不再使用QUIC或其他非WebSocket协议。 2. 数据帧格式和处理方法与WebSocket兼容，包括PING/PONG、关闭会话等操作。 3. 直接利用了WebSocket的CAPSULE机制，并在此基础上进行了改造以适应WebTransport需求。 4. 实现方面，新版本在WebTransport子协议名注册表和WebTransport协议版本注册表中添加了更多详细信息，以便实现者能够识别并相互作用于WebTransport协议。 总的来说，新版文档旨在改进WebTransport协议，使其更加适合Web客户端环境。它为客户端提供了更好的支持，同时保持了原有协议的灵活性。