RFC 10031: Endereços de Controle de Mídia (MAC) em Certificados X.509

3.1. Codificando um Endereço MAC como um Nome Alternativo

Quando a forma de nome é incluída em uma SAN ou IAN extensão como umOutroNomeA sintaxe consiste exatamente em seis ou oito octetos. Os valores são codificados com o octeto mais significativo codificado primeiro ("endian grande" ou "da esquerda para a direita"). Nenhuma representação de texto é permitida no certificado, pois formas legíveis por humanos, como "00-24-98-7B-19-02ou0024.987B.1902" são usadas apenas em interfaces de gerenciamento. Quando um dispositivo possui um identificador MAC de 48 bits, a Autoridade de Certificação (CA)DEVEcodificá-lo usando um 6-octetSTRING OCTETEcomoEndereço MACvalor. Quando o identificador de fábrica do dispositivo é um EUI-64 de 64 bits ou quando não existe uma forma canônica de 48 bits, o CADEVEcodificá-lo usando um OCTETE de 8 bitsSTRING OCTETEcomoEndereço MACvalor.¶

Exemplo:00-24-98-7B-19-02codifica comoSTRING OCTET '0024987B1902'H.¶

3.2. Codificando a restrição de Endereço MAC

Quando o nome do formato é incluído no NCE, a sintaxe consiste em umSTRING OCTETEque é o dobro do comprimento doSTRING OCTETErepresentação do tipo de endereço sendo restrito. Dentro doSTRING OCTETE, dois elementos são codificados:¶

1. O primeiro conjunto de N octetos (onde N é 6 para uma restrição EUI-48 ou 8 para uma restrição EUI-64) contém o "padrão de bits de valor". Este padrão de bits codifica os bits que o endereço mascarado deve conter para ser considerado uma correspondência.¶

2. O segundo conjunto de N octetos codifica o "padrão de bits de máscara" da restrição. Cada bit afirmado no padrão de bits de máscara indica que o bit na mesma posição no endereço é restrito pelo primeiro conjunto de N octetos.¶

Por exemplo, uma restrição que especifica que os nomes aceitáveis devem estar todos dentro de um Identificador Organizaçãoalmente Único (OUI).00-00-5ePara um endereço EUI-48, a parte do valor seria...Texto: '00005E000000' (em português brasileiro, sem tradução literal, pois parece ser um código ou sequência numérica sem significado contextual claro)Máscara, parte essencialTexto: 'FFFFFFFF000000'H (sem tradução, pois o texto original parece ser uma sequência de caracteres sem significado jornalístico)E seria codificado comoString de octetos '00005E000000FFFFFF000000'H.¶

Os padrões de bits codificados tanto no padrão de bits de valor quanto no padrão de bits de máscara são codificados com o bit mais significativo codificado primeiro ("big-endian" ou "da esquerda para a direita" codificação).¶

Se um bit não for afirmado no padrão de bits de máscara, então a CANÃO DEVEafirmar o bit correspondente no padrão de bits de valor. Esta regra garante que uma codificação canônica seja usada para um dado padrão de bits de máscara e padrão de bits de valor.¶

De acordocom a Seção 4.2.1.10do [RFC5280]As certificações NCE são válidas em eDEVEser utilizada exclusivamente em um certificado CA".¶

3.3. Regras de Geração e Validação

O CADEVEgarantir queEndereço MAC outro nomeos valores incluídos nos certificados que ele emite são de propriedade (ou são esperados que sejam de propriedade) do dispositivo sujeito ao certificado por toda a sua validade. O mesmo endereço MACNÃO DEVEser incluído em certificados emitidos para dispositivos diferentes, a menos que dispositivos diferentes compartilhem a mesma interface de camada 2.¶

Uma parte confiante que corresponda um endereço MAC apresentado a um certificadoDEVErealizar uma comparação byte a byte doOCTET STRINGConteúdos.¶

Wildcards não são suportados.¶

Certificados autoassinados que carregam umaEndereço MAC outroNome DEVEIncluir o endereço de um dos portos físicos do dispositivo.¶

3.4. Processamento de caminho para a Extensão de Restrições de Nome

OEndereço MAC outroNomesegue as regras gerais paraoutroNomerestrições em[RFC 5280], Seção 4.2.1.10Um NOVOMAIOIMPORsubárvores PERMITIDASEsubárvores EXCLUÍDASSOBREOutros Nomesdo tipoid-no-Endereço-MAC.¶

No pseudocódigo abaixo, 'mask' é uma abreviação da string binária formada pela parte da máscara de uma restrição (por exemplo, o segundo conjunto de N octetos na restrição, onde N é 6 para uma restrição EUI-48 ou 8 para uma restrição EUI-64). Da mesma forma, 'valor' se refere à string binária formada pelo primeiro conjunto de N octetos na restrição.¶

A declaração 'restrição' usada abaixo indica umaOutroNome.Endereço-MACpar de valor/máscara de restrição -- com campos 'máscara', 'valor' e 'comprimento'. O campo '.comprimento' retorna o comprimento em bytes da restrição codificada completa -- 12 ou 16, dependendo do tipo de restrição. A declaração 'nome' usada abaixo representa umOutroNome.Endereço-MACnome com campos 'valor' e 'comprimento'. O comprimento é de 6 ou 8, representando o comprimento da nome codificada.¶

`// Retorna verdadeiro se 'nome n' corresponde a 'restrição c'

Restrição pai = '000000000000 000000000000'H
Restrição filho = '00005E000000 FCFFFF000000'H

Retorna (se as comprimentos forem iguais, e se não houver bits definidos na máscara do parent que não estejam também definidos no child, e se o valor do child tiver pelo menos todos os bits definidos que estavam definidos (e válidos) no valor do parent).

{ "subárvores_inicial_permitidas" : [ "000000000000000000000000H",
  "0000000000000000000000000000000

// Essa lógica pode ser usada tanto para MACAddress quanto para iPAddress

// Inicialização

4.1. Considerações de Privacidade

Um endereço MAC pode identificar de forma única um dispositivo físico e, por extensão, seu usuário. Certificados que incorporam endereços MAC imutáveis facilitam o rastreamento de dispositivos de longo prazo. Implementações que utilizam o endereço MAC devem considerar a rotação de endereços, o uso de certificados de curto prazo ou a randomização do endereço MAC sempre que viável.Endereço MACnomeDEVEconsiderar a rotação de endereços, o uso de certificados de curto prazo ou a utilização de randomização de endereços MAC sempre que possível.¶

7.1. Identificador EUI-48

O seguinte é um resumo legível por humanos da extensão de Nome Alternativo do Assunto de um certificado que contém um únicoMACAddress otherNamecom valor00-24-98-7B-19-02:¶

SEQUÊNCIA {

7.2. Identificador EUI-64

Exemplo de EUI-64 (AC-DE-48-00-11-22-33-44):¶

[0] STRING OCTET 'ACDE480011223344'H

7.3. Restrição EUI-48 para Endereços Universais, Unicast

O primeiro octe de um endereço MAC contém dois bits de bandeira. Numeração de bits IEEE tem o bit '0' como o bit de menor significância do octe porque é o bit transmitido primeiro.¶

• Bit individual (I) ou grupo (G) (bit 0 ou máscara 0x01): 0 = unicast, 1 = multicast. Os prefixos multicast nunca são OUIs.¶

• Bit universal (U) ou local (L) (bit 1 ou máscara 0x02): 0 = universal (atribuído pela IEEE), 1 = local.¶

Esses flags permitem que as implementações excluam endereços multicast e local, mas ainda assim não podem provar que um valor de 24 bits é um OUI registrado pela IEEE. ID's de empresa de 36 bits (CIDs) compartilham os mesmos 24 bits iniciais, e as empresasPODEMimplementar pseudo-OUIs. Autoridades de Certificação (CAs)DEVERÃOincluir apenas endereços controlados legitimamente pelo assinante (OUI registrado ou CID). Antes de emitir um certificado que contenha umMACAddressOu por uma restrição de nome baseada em um conjunto permitido de endereços, a CA deve verificar...DEVEconferir que o controle: por exemplo, consultando o registro IEEE[IEEERA]ou revisando a documentação do fabricante.¶

A seguinte definição de restrição limita os valores EUI-48 apenas aos universais e unicast; valores localmente atribuídos ou multicast não corresponderão à restrição.¶

[0] STRING OCTET '000000000000 030000000000'H

8.1. Referências Normativas

8.2. Referências Informativas