Zusammenfassung

  • Der Datatracker führt draft-gilda-wimse-agent-audit-record-01 weiterhin als aktiven individuellen Internet-Draft, nicht als angenommenes WIMSE-Dokument oder RFC.
  • Version 01 führt für einen nicht zuordenbaren Schreibvorgang im überwachten Bereich eine unbekannte Wirkung ein; eine Erlaubnis ohne Ausführung gilt nun als not-exercised.

Eine Zugriffsentscheidung und eine spätere Zustandsänderung sind zwei Beobachtungen. Dazwischen liegt die Frage, ob gerade die geprüfte Anfrage die Änderung verursacht hat. Wer diese Zuordnung nicht belegen kann, darf weder einen Verstoß behaupten noch einen sauberen Negativbefund ausstellen. Diesen Unterschied macht Sankalp Gildas überarbeiteter Vorschlag für Agenten-Auditdatensätze erstmals im eigenen Entscheidungsschema sichtbar.

Schon die Fassung 00 sah eine signierte DSSE-Hülle mit einem in-toto-Prädikat vor. Darin sollten Entscheidung und beobachtete Wirkung gemeinsam prüfbar sein. Die neue Fassung erfindet also keinen Auditdatensatz. Sie präzisiert, welche Wirkung einer einzelnen Anfrage zugeschrieben werden darf: Jeder Schreibvorgang trägt den Digest der Anfrage, der ihn der Beobachter zuordnet, oder den wörtlichen Wert unattributed. effect.observed gilt für die Anfrage des jeweiligen Datensatzes und nicht pauschal für alle Vorgänge im Zeitintervall. Eine Änderung durch eine andere Anfrage verändert dieses Ergebnis nicht.

Die Ableitung unterscheidet nun occurred, wenn mindestens eine Schreiboperation der geprüften Anfrage zugeordnet ist, von none, wenn es weder eine solche noch eine unzugeordnete Operation im erklärten Pfadbereich gibt. Eine unzugeordnete Operation innerhalb von pathScope ergibt unknown. In der Vergleichstabelle wird eine erlaubte, aber nicht ausgeführte Handlung zu not-exercised; eine unbekannte Wirkung zu indeterminate; eine abgelehnte Anfrage mit zugeordneter Wirkung bleibt disagree. In Fassung 00 bekam die ungenutzte Erlaubnis dasselbe disagree wie eine durchbrochene Ablehnung. Erlaubnis ist aber keine Ausführungspflicht.

Eine zweite Korrektur betrifft die Vergleichbarkeit zwischen Implementierungen. Können Aufrufargumente nicht durch einen Digest gebunden werden, muss argumentsDigest als Mitglied vollständig fehlen; null und eine leere Zeichenfolge sind nicht gleichwertig. Das Mitglied fehlt dann auch im Objekt, aus dem der Anfrage-Digest entsteht. Neue Testvektoren prüfen diese Regel sowie fremde und unzugeordnete Schreibvorgänge. Ohne eindeutige Bytefolge könnten zwei Systeme dieselbe Anfrage unterschiedlich hashen und ihre Datensätze nicht zusammenführen.

Laut Datatracker wurde die individuelle Vorlage am 27. September aktualisiert; ihr IESG-Status lautet I-D Exists, ein RFC-Stream ist nicht ausgewiesen. Sie definiert weder eine Zugangsrichtlinie noch einen Beweis für reale Einsätze. Signaturen und interne Neuberechnungen können bestimmte Manipulationen oder Widersprüche aufdecken. Sie beweisen nicht, dass der Hersteller alle Änderungen gesehen, ehrlich zugeordnet oder tatsächlich aus einer unabhängigen Beobachtungsschicht gearbeitet hat. Indeterminate ist eine Grenze der Belege, kein automatischer Schuldnachweis.

Quellen