Zusammenfassung

  • Ein neuer individueller IETF-Entwurf lässt den Nutzer Rechte, Laufzeit und gegebenenfalls Aufrufgrenzen für einen Agenten im eigenen Konto auswählen. Er übergibt dem Agenten anschließend selbst einen einmaligen Verbindungsschein.
  • Der frei formulierte Zweck bleibt im Einwilligungs- und Prüfprotokoll. Die gewählten Rechte und die Prüfung jedes Aufrufs entscheiden über den Zugriff.

Eine Notiz neben dem mächtigen Schalter

„Bitte nur diese Rechnung verschicken“, schreibt jemand in das Formular. Daneben aktiviert er eine Berechtigung, mit der sich sämtliche Rechnungen bearbeiten lassen. Der Agent kann den Satz lesen. Über den nächsten API-Aufruf entscheidet der Schalter. Christopher Emersons überarbeiteter Vorschlag zur Übergabe von Agenten-Zugangsdaten legt diesen Widerspruch offen: Natürliche Sprache hält den menschlichen Zweck fest; maschinenlesbare Grenzen regeln die Befugnis.

Die Ankündigung vom 27. Oktober meldet Fassung 01. Der IETF-Datatracker führt sie als aktiven individuellen Internet-Draft ohne RFC-Verfahren und ohne IETF-Billigung. Der vorgeschlagene Ablauf beginnt beim Dienst, der die Daten hält. Der Mensch meldet sich dort an und öffnet die Verwaltung der Verbindungen. Der Dienst zeigt Berechtigungen innerhalb einer Obergrenze, die er aus den eigenen Rechten des Nutzers berechnet. Der Nutzer wählt Umfang und Frist und kann pro Ressourcengruppe eine Zahl erlaubter Aufrufe pro Zeitraum setzen. Er sieht auch alte Freigaben und kann sie vor einer neuen Vergabe beenden.

Optional bestätigt ein vom Nutzer verifizierter Authentifikator eine Bindung an die genauen Werte: Umfang, Frist, Grenzen und die festgehaltenen Texte. Der Dienst zeigt einen kurzlebigen Verbindungsschein genau einmal an. Der Mensch gibt ihn an den Agenten weiter. Dieser tauscht ihn gegen ein beschränktes Zugriffstoken; eine automatische Verlängerung ist nicht vorgesehen. Der Schritt verschiebt die Entscheidung und die Zustellung einer neuen Erlaubnis auf die Seite des Menschen. Das Ausführungssystem des Agenten bekommt sie nicht über einen von ihm gesteuerten Rückkanal zugeschoben.

Die Prosa wandert mit, die Felder sperren

In Fassung 01 erhält das vom Dienst erklärte Anliegen neben dem vom Nutzer geschriebenen Zweck eine genaue Rolle. Beide Texte begleiten die Verbindung in Einwilligungs-, Zugriffs-, Prüf- und Widerrufsprotokollen. Eine Regelmaschine übersetzt sie nicht in Zugriffsrechte. Der Entwurf untersagt, eine Freigabe wegen freien Textes auszuweiten; automatische Deutung soll Menschen nur auf Prüfbedarf hinweisen. Die umgekehrte Illusion ist genauso gefährlich: „nur diese Rechnung“ verkleinert eine angekreuzte allgemeine Schreibberechtigung nicht. Dafür muss der Dienst eine feinere Berechtigung anbieten.

Jeder spätere API-Aufruf wird durch Introspektion gegen die ausgewählten Rechte und Grenzen geprüft und protokolliert. Bestimmte Rechte kann der Dienst für eine Bestätigung bei jeder Benutzung markieren. Dann hält er die Anfrage an und bindet die ausstehende Bestätigung über einen Digest an genau diese Anfrage. Der Mensch bestätigt in seinem eigenen Kontext mit einem Authentifikator; der Agent versucht denselben Aufruf mit der Bestätigungskennung erneut. Eine Ablehnung beendet diesen Versuch. Ein Widerruf macht auch eine noch offene Bestätigung unbrauchbar.

So wird aus einem generellen Zugang zu Rechnungen eine getrennte Entscheidung über die konkrete Sendung.

Fassung 00 kannte bereits die persönliche Übergabe. Fassung 01 ergänzt die Aufrufgrenzen, die Sicht auf bestehende Freigaben, die Anwesenheitsprüfung, die Einzelbestätigung und den Widerrufspfad. Sie erklärt ausdrücklich, warum der freie Satz Beleg und keine heimliche Policy ist. Der Autor beschreibt einen von ihm betriebenen Dienst als Umsetzung. Einen unabhängigen Konformitätsnachweis enthält das Material nicht. Der Entwurf benennt sogar eine Schwachstelle der Anzeige: Beherrscht der Agent den Bildschirm, auf dem die Bestätigung erscheint, beweist eine erfolgreiche Berührung des Authentifikators noch nicht, was der Mensch tatsächlich gesehen hat.

Originalunterlagen