RFC 9851：TLS 1.2 进入功能冻结
IETF 正式发布 RFC 9851，宣布 TLS 1.2 进入功能冻结——除紧急安全修复、新 Exporter Labels 和新 ALPN 协议 ID 外，不再批准任何新变更。TLS 工作组的所有后量子密码学（PQC）工作将 exclusively 聚焦于 TLS 1.3 及更高版本，TLS 1.2 永远不会获得 PQC 支持。
评论
点赞
收藏RFC 10015：废弃 TLS 1.2 和 DTLS 1.2 中的过时密钥交换方法
IETF 发布 RFC 10015，正式废弃 (D)TLS 1.2 中的 DH、FFDHE 和 RSA 密钥交换套件，并 discourages 静态 ECDH 套件的使用。这些算法存在前向保密缺失、Raccoon 侧信道攻击、Bleichenbacher 攻击等已知安全问题。FFDHE 还面临互操作性问题和弱分组风险，部分运营商仍在使用 1024 位分组，安全余量已不足。TLS 1.3 不受影响，因其不支持这些算法。
RFC 9985：优化双向转发检测（BFD）认证机制
本文介绍了一种针对双向转发检测（BFD）认证机制的实验性优化方案。主要思路是将计算密集型（MCI）和轻量级（LCI）两种认证方式分离。对于BFD控制报文中的关键状态变更，使用计算量较大的MCI机制以确保安全性；而对于大多数常规的心跳检测报文，则采用计算量较小的LCI机制。这种分层认证策略旨在减少不必要的计算开销，从而提升BFD在大规模部署场景下的整体性能和可扩展性。
RFC 9986：针对双向转发检测(BFD)优化的Meticulous Keyed ISAAC认证
本文介绍了一种新的BFD认证模式，名为Meticulous Keyed ISAAC。该模式旨在以较低的CPU时间成本来验证BFD数据包，相比MD5或SHA-1，其安全性有所降低。此机制不能用于信号状态变化，但可用于保持会话处于Up状态。
RFC 9888：面向服务提供商的带外 STIR 身份验证机制
RFC 9888 定义了 STIR 框架中一种带外传输 PASSporT 的新方式。当带内传输（通过 SIP 请求头）在大型服务提供商环境中无法普遍可用时，这种通过服务存储供依赖方检索的带外机制提供了替代方案，旨在解决大规模部署中的兼容性问题。
RFC 9958：面向工程师的后量子密码学
文章解释了为什么工程师需要了解后量子密码学(PQC)。由于量子计算机的出现会使现有公钥算法失效，系统必须过渡到能抵抗量子攻击的新算法。与以往加密更新不同，这次转变可能需要重大的协议重新设计，因为后量子算法具有独特的属性。
HTTP协议新增QUERY方法：解决POST查询语义模糊与GET长度限制
IETF发布了RFC 10008，正式定义了HTTP的QUERY方法。该方法旨在解决当前使用POST进行查询时语义不明确的问题，以及使用GET时URL长度受限的问题。QUERY方法被定义为安全且幂等的，允许客户端在请求体中发送复杂的查询条件，同时支持缓存和自动重试。这填补了GET和POST之间的空白，为API设计提供了更清晰的语义标准。
RFC 9984：UDP 客户端与服务器的 YANG 分组定义
该文档发布了两个 YANG 1.1 模块，提供了用于管理 UDP 客户端和服务器的可重用分组定义。属于标准的协议规范更新。
IAB与W3C联合研讨会纪要：关于内容年龄限制的讨论
这是一份由IAB和W3C在2025年10月联合举办的研讨会会议纪要。主要讨论了基于年龄的内容访问限制问题，总结了参会者的观点并指出了需要进一步研究的方向。文档声明仅代表参与者意见，不代表官方立场。属于标准的机构会议记录和技术规范草案，缺乏具体的技术突破或争议性观点。
RFC 9992：RIFT 协议中键值拓扑信息元素的结构与处理规范
本文档定义了 RIFT（胖树路由）协议中键值拓扑信息元素（KV TIEs）的处理行为。主要内容包括规范不同键类型（如知名键、OUI 键和实验键）的行为，定义对应值的结构化方法，以及指定用于测试.tie-breaking 行为的知名键子类型。这是一份纯粹的技术标准文档，规定了协议层面的数据结构和处理逻辑。
RFC 9993：触觉数据的RTP负载格式规范
本文定义了MPEG-I触觉数据的RTP负载格式。主要内容包括将MIHS单元打包进RTP包或将其分片到多个RTP包中，更新了RFC 9695以添加可选参数，并提供了SDP使用说明。这是一份纯粹的技术规范文档。
RFC 9979：IMAP/JMAP 关键字与邮箱属性注册
该文档定义了长期在不同服务器和客户端实现中使用的 IMAP/JMAP 关键字及邮箱名称属性，并向 IANA 注册以避免命名冲突。属于邮件协议标准的细化。
RFC 9977：发布端点前缀长度
这是一篇关于网络路由协议的技术规范文档。主要定义了如何扩展 RPSL 语言中的 inetnum 类，以便引用指定端点前缀长度的 CSV 文件。同时描述了一种可选机制，利用 RPKI 来验证这些文件的真实性。内容属于标准的 RFC 更新，针对特定领域的网络工程师，缺乏广泛的技术争议或创新观点。
RFC 9981：RPKI 清单号码处理规范
本文档更新了 RFC 9286，明确了当 RPKI 签名对象中的 manifest number 达到最大值时，签发者和依赖方（RP）应如何处理。这是一个针对网络基础设施安全协议的技术规范补充。
互联网属于每个人：一份来自互联网之父的愿景宣言
这是Vint Cerf于2002年撰写的一篇RFC文档，阐述了互联网协会关于“互联网属于每个人”的理念。文章回顾了当时互联网的增长数据，并展望了宽带普及、多媒体融合及星际互联网的未来。核心观点强调要实现这一目标，必须在降低资费、保持网络开放、简化接口、完善法律框架以及保护隐私等方面共同努力。这是一篇具有历史意义的行业宣言，但作为20多年前的通稿，缺乏针对当前技术热点的新颖见解或争议性观点。
RFC 9987：安全外壳（SSH）代理协议规范
该文档规定了 SSH 协议中使用的关键代理协议。属于基础安全协议的标准化定义。
RFC 9982：JSContact 2.0 规范发布
本文介绍了 JSContact 版本 2.0 的标准更新。主要变化是将 Card 对象的 uid 属性从强制改为可选，其余定义保持不变。同时更新了 RFC 9555 中关于 vCard 转换的规则，并在 IANA 注册了此前未注册的 vCard JSCOMPS 参数。
RFC 9975：关于CDS/CDNSKEY与CSYNC一致性的澄清
本文是对DNSSEC委托信任维护相关RFC（7344和7477）的澄清文档。主要规定了子域通过CDS/CDNSKEY和CSYNC记录向父域发送更新请求时，父域实体（如注册局或注册商）在验证这些记录一致性方面的具体要求。核心目的是确保父域在处理来自不同权威名称服务器的更新请求时，能够准确识别并应用一致的目标状态，从而保障DNSSEC自动化维护过程的准确性和安全性。
RFC 9966：基于知识证明的引导TLS认证
本文定义了引导设备与TLS服务器建立信任及相互认证的机制。利用现有DPP和TLS标准，使服务器能证明知晓公钥，设备能证明知晓私钥，支持在EAP交换中使用。
RFC 编辑器官网全新改版上线
RFC Editor 官网改版上线，提供最新的 RFC 文档浏览和下载服务。页面展示了最新发布的 RFC，包括 HTTP QUERY 方法提案、IAB/W3C 关于内容年龄限制的研讨会报告以及 YANG Groupings 标准。同时提供了关于 RFC 的基础知识、错误修正机制以及参与 IETF、IRTF 等组织的入口。
DMARC协议重大更新：RFC 9989发布，默认策略转为隔离
IETF发布了DMARC协议的新版本RFC 9989，取代了旧的RFC 7489。核心变化是要求邮件接收方在默认情况下将验证失败的邮件降级为“隔离（quarantine）”处理，而非直接拒绝。这反映了反垃圾邮件策略从激进拒收到更稳妥隔离的转变，旨在减少误杀合法邮件的风险。对于邮件安全工程师和架构师来说，这是基础设施配置的重要更新。
RFC 9989：基于域名的消息认证、报告和合规性（DMARC）
这是一篇关于 DMARC 协议的最新官方文档更新。文章主要介绍了 RFC 9989 标准，该标准取代了之前的 RFC 7489 和 9091。DMARC 协议允许邮件域名所有者设置策略，用于验证发件人域名的使用情况，并在验证失败时指定处理偏好，同时向接收方发送报告。这有助于邮件接收组织更好地评估和处理 incoming mail，提升邮件安全性和反垃圾邮件能力。