Zusammenfassung

  • Butler Lampson und seine Kollegen begannen bei dem, was eine Maschine unmittelbar hören kann: Eine Leitung, Verbindung, ein Prozess oder kryptografischer Kanal ist der erste Principal; ihn einem Menschen, Rechner, einer Rolle oder Gruppe zuzurechnen, verlangt eine ausdrückliche „speaks for“-Kette.
  • Authentisierung bestimmt den Principal, der für die Anfrage einsteht, erteilt aber noch keine Erlaubnis. Autorisierung hängt weiterhin von Operation und Objekt, dessen Regel, gültiger Delegation und der Autorität hinter der Namensbindung ab.

Die Anfrage kommt ohne Gesicht an

Der Aufsatz Authentication in Distributed Systems: Theory and Practice von 1992 stellt eine Anfrage vor einen Wächter, der die Regel eines geschützten Objekts durchsetzt. Unmittelbar empfängt dieser Wächter vielleicht eine Terminalleitung, eine Netzwerkverbindung, eine Pipe, einen Kernel-Aufruf oder einen durch erfolgreiche Entschlüsselung entstandenen Kanal. Keines dieser Signale enthält von sich aus den Menschen, den Alltagssprache hinter der Anfrage vermutet.

Damit verschiebt sich die erste Frage. Das System fragt nicht „Welcher Benutzer ist das?“, sondern „Was hat gerade zu mir gesprochen, und weshalb darf es für einen anderen Principal sprechen?“. Eine Architektur, die vom Paket direkt zu einem Personennamen springt, beseitigt die Zwischenschritte nicht. Sie versteckt sie in Zertifikaten, Sitzungen, Geräteverzeichnissen, Gruppenlisten und betrieblichen Gepflogenheiten.

Ein Principal muss kein Mensch sein

Principal bezeichnet hier jedes Subjekt, das eine Aussage machen, Verantwortung tragen oder in einer Zugriffsregel vorkommen kann. Menschen, Maschinen, Dienste, Rollen, Gruppen, Schlüssel und Kanäle gehören dazu. Diese Weite setzt sie nicht gleich. Sie schafft vielmehr die Sprache, mit der ihre unterschiedlichen Beziehungen sichtbar werden.

Eine Verbindung kann für einen Schlüssel stehen, der Schlüssel für eine Maschine, ein Prozess auf der Maschine für eine Betriebsrolle und die Rolle für eine Organisation. „Die Bereitschaftsrolle stellte die Anfrage“ und „die Person im Bereitschaftsdienst stellte sie“ sind verschiedene Aussagen. Für die Wiederherstellung eines Dienstes reicht womöglich die erste; für persönliche Rechenschaft ist die zweite nötig. Objekt und Operation bestimmen, wie weit die Zurechnung reichen muss.

„Speaks for“ macht aus dem Sprung einen Beleg

Lampson und seine Mitautoren verwenden “speaks for” für eine Beziehung, in der die Aussage eines Principals als Aussage eines anderen angenommen werden kann. Spricht B für A, darf der Wächter unter den passenden Voraussetzungen aus einer Aussage von B eine Aussage von A ableiten. Das macht B und A weder zu derselben Person, noch überträgt es automatisch alle Rechte von A. Es ist eine gerichtete, begründete Schlussfolgerung über Verantwortung.

So öffnet sich die Blackbox „gültiger Berechtigungsnachweis“. Für welchen Schlüssel spricht der Kanal? Welche Namensautorität verband den Schlüssel mit einem Konto oder Rechner? Aufgrund welcher Zuweisung spricht der Prozess für eine Rolle? Der Wächter setzt diese Aussagen zusammen, bis ein für die konkrete Entscheidung ausreichender Principal feststeht. Je länger die Kette, desto weniger genügt es, nur den letzten, lesbaren Namen zu protokollieren.

Ein Name leiht sich die Autorität seines Ausstellers

Eine Zeichenfolge wird nicht wahr, weil sie vertraut klingt. Ob ein Personen-, Konto- oder Dienstname für einen Principal steht, hängt davon ab, wer diese Bindung erklären darf und in welchem Umfang der Empfänger dessen Autorität anerkennt. Das Modell nimmt die Zuordnung von Namen und Schlüsseln in die Schlussfolgerung auf, statt eine Verzeichnisauskunft als herkunftslosen Fakt zu behandeln.

Zertifizierungsstellen, Unternehmensverzeichnisse, Gerätekataster, Gruppenadministratoren und lokale Konfigurationen werden damit Teil der Sicherheitsgrenze. Eine Signatur kann mathematisch gültig bleiben, obwohl ein Namensraum übertragen, ein Alias neu vergeben oder die Zuständigkeit des Ausstellers eingeschränkt wurde. Die Signaturprüfung zeigt, dass jemand unterschrieben hat. Ob diese Unterschrift den heutigen Namen hinreichend begründet, ist eine weitere institutionelle Entscheidung.

Delegation löscht den Ausführenden nicht

Delegation muss keine stumme Kopie von Rechten sein. Im beschriebenen Modell bewahrt ein zusammengesetzter Principal wie B for A die Struktur „B handelt für A“. A delegiert und B nimmt an. Das Objekt kann seine Regel für A, für B oder für genau diese Kombination formulieren, ohne so zu tun, als habe A persönlich jede Handlung ausgeführt.

Das ist für Software-Agenten, Stapelverarbeitung und Notfallkonten entscheidend. Wird alles auf A reduziert, verschwinden die Grenzen des Vermittlers B. Wird nur B erfasst, verschwindet die Herkunft seiner Befugnis. Der zusammengesetzte Principal hält Ermächtigenden und Handelnden im selben Nachweis fest und macht beide getrennt bewertbar.

Die Entscheidung bleibt beim Objekt

Erst nachdem die Kette einen verantwortlichen Principal ergeben hat, beginnt die Autorisierung. Der Wächter betrachtet die verlangte Operation, das geschützte Objekt und dessen Zugriffsregel. Derselbe Principal darf einen Datensatz lesen, aber nicht ändern, einen Dienst aufrufen, aber nicht konfigurieren, oder während der Bereitschaft handeln, aber nicht danach. Authentisiert zu sein ist kein allgemeiner Passierschein.

Auch eine Zugriffsliste ist keine isolierte Namenssammlung. Verweist sie auf Gruppen, Rollen oder Delegierte, hängt sie von den zu diesem Zeitpunkt gültigen Mitgliedschaften und Namensautoritäten ab. Wer eine Entscheidung nachvollziehen will, braucht Objekt, Operation, Regelversion und die Prämissen der Authentisierungskette. Ein Protokoll mit nur „erlaubt“ oder „verweigert“ trennt Richtlinienfehler, falsche Zurechnung und abgelaufene Belege nicht.

Zeit lässt eine richtige Kette veralten

Schlüsselwechsel, Rollenübergabe, Gruppenaustritt und Widerruf machen aus der Wahrheit von gestern eine falsche Prämisse von heute. Caches senken die Kosten, die Kette neu aufzubauen, verlängern aber die Lebensdauer alter Tatsachen. Gültigkeitsdauer, Aktualisierungsrhythmus und die Laufzeit eines Widerrufs bis zum Wächter sind keine nebensächlichen Betriebswerte. Sie bestimmen, wie lange eine veraltete Berechtigung noch wirken darf.

Lampsons spätere praktische Sicherheitsprinzipien versprechen deshalb keine Perfektion. Sicherheit steht in einem Verhältnis zu Kosten, Komplexität und Wiederherstellbarkeit. Für Verantwortungsketten lautet die nützliche Frage nicht, ob Veraltung für immer verschwindet, sondern ob ihr Wirkungsraum begrenzt, ihr Eintritt erkannt und ihr Grund erklärt werden kann — und ob sich die Entscheidungsbasis nach einer falschen Bindung schnell ändern lässt.

Ein Audit braucht den Weg zum Ergebnis

Ein brauchbarer Nachweis kann rekonstruieren, warum der Wächter die Anfrage annahm. Er unterscheidet den empfangenen Kanal, den abgeleiteten Principal, Delegationen und Gruppenmitgliedschaften, Objekt und Operation, die angewandte Regel und den Zeitpunkt der Belege. Formale Logik muss nicht vollständig ins Protokoll kopiert werden. Doch „das System hielt ihn damals dafür“ darf nicht das Ende der Untersuchung sein.

Die bleibende Stärke von “speaks for” liegt darin, keine einzige weltweite Identitätsinfrastruktur zu versprechen. Vertrauen verschwindet nicht. Stattdessen muss jeder Übergang — vom Kanal zum Schlüssel, vom Schlüssel zum Namen, vom Dienst zur Rolle — benennen, wessen Autorität er nutzt. Ein Fehler ist dann nicht bloß eine rote Lampe am Anmeldedienst, sondern lässt sich einer Bindung, Delegation, Mitgliedschaft oder Objektregel zuordnen.

Quellen