RFC 3594 – PacketCable Security Ticket Control Sub-Option for the DHCP CableLabs Client Configuration (CCC) Option

RFC 3594 definiert eine neue Sub-Option für die DHCP CableLabs Client Configuration (CCC) Option, die als Security Ticket Control (STC) Sub-Option bezeichnet wird. Diese Sub-Option dient dazu, CableLabs Client Devices (CCDs), wie etwa eine PacketCable Media Terminal Adapter (MTA), anzuweisen, lokal persistierte Sicherheitstickets in ihrem nichtflüchtigen Speicher zu invalidieren. Die Sub-Option ist für den Einsatz in PacketCable-Architekturen vorgesehen, die auf Kerberos V5 basieren und eine Authentifizierung von CCDs sowie den Aufbau von Sicherheitsassoziationen mit Anwendungsservern ermöglichen.

Die Sub-Option enthält ein 16-Bit-Ticket Control Mask (TCM)-Feld, dessen Bits bestimmten Servern oder Servergruppen zugeordnet sind. Ein Bitwert von 1 weist das CCD an, das entsprechende lokal gespeicherte Ticket sofort zu invalidieren, während ein Wert von 0 die normalen Invalidierungsregeln anwendet. Bit 0 betrifft den Provisioning Server, Bit 1 die Gruppe aller Call Management Server; die übrigen Bits sind reserviert. Die Sub-Option wird im CCC-Option-Code des DHCP-Pakets übertragen und muss von CCDs, die keine Tickets lokal speichern, ignoriert werden.

Historisch gesehen ermöglicht diese Sub-Option dem Dienstanbieter eine präzise Steuerung der Lebensdauer lokal persistierter Tickets, etwa um Sicherheitsassoziationen zwangsweise neu aufzubauen oder ferndiagnostische Tests durchzuführen. Die Spezifikation trägt zur betrieblichen Flexibilität von Kabelnetz-Architekturen bei, indem sie den Schutz vor veralteten Tickets und potenziellen Sicherheitsrisiken verbessert, ohne die Leistung durch unnötige Ticket-Neuverhandlungen zu beeinträchtigen.