Zusammenfassung

  • Revision 03 von draft-wilder-scitt-physical-site-engage-receipt, am 9. September 2026 registriert und auf den 10. September datiert, trägt den Attestation-Modus erstmals zwingend im einzelnen Beleg und meldet nicht auflösbare Aussteller-Fakten als undetermined. Es bleibt ein aktiver individueller Internet-Draft, kein angenommenes SCITT-Arbeitsdokument und kein IETF-Standard.
  • Die Fassung hält außerdem fest, dass weder der Beleg noch die vorgesehenen externen Angaben die Beziehung zwischen Standortinhaber und Transparenzdienst abbilden. Unabhängigkeit vom Aussteller beweist deshalb keine Unabhängigkeit vom Standortinhaber.

Ein Wartungsauftrag endet mit einem signierten Beleg. Eine vertrauenswürdige Ausführungsumgebung bindet Messmaterial, der Aussteller signiert den Datensatz und ein Transparenzdienst bestätigt dessen Aufnahme. Ein Versicherer kann die Signatur und den Inclusion Proof später offline prüfen. Das ist ein belastbarer Nachweis für genau diesen Eintrag.

Er sagt noch nichts darüber, wer den Dienst betreibt. Gehört er dem Standortinhaber, liegt er zwar außerhalb des Ausstellers, aber nicht außerhalb der Partei, deren physische Umgebung beschrieben wird. Diese Partei muss die fremde Signatur nicht fälschen, um die sichtbare Akte zu beeinflussen. Kontrolle über die Aufnahme kann genügen, um eine Einreichung zurückzuhalten.

Revision 03 des Physical-Site Engagement Receipt, kurz PSER, räumt diese Möglichkeit ausdrücklich ein. Die Offenheit ist eine Stärke der Fassung. Sie darf jedoch nicht mit einem geschlossenen Kontrollmechanismus verwechselt werden.

Neue Fassung, unveränderter Verfahrensstatus

Der Datatracker-Eintrag führt den Text als aktiven individuellen Internet-Draft. Ein RFC-Stream und ein angestrebter RFC-Status sind dort nicht eingetragen. Auf dem Deckblatt steht Standards Track, doch dieses Autorenziel ist weder WG-Adoption noch IETF-Konsens oder Implementierung. Die Historie verzeichnet die Fassung am 9. September um 22:26 PDT; das Dokument selbst trägt den 10. September.

Revision 02 verlangte an vier Stellen, einen nicht definierten „Issuer's manifest“ zu lesen. Der offizielle Vergleich zeigt eine strukturelle Reparatur. Die Profilkennung steigt von wilder.pser/0.4 auf wilder.pser/0.5. Das neue Pflichtfeld attestation.bindingMode bringt eine belegbezogene Tatsache in den Beleg selbst.

DIRECT_WITNESS bedeutet, dass der TEE-Zeugenschlüssel signiert. Bei DELEGATED_WITNESS signiert der Aussteller auf Grundlage einer TEE-Delegation. Behauptet ein Beleg den direkten Modus, unterscheiden sich aber attestation.witnessKey und iss, muss der Verifier ihn ablehnen. Das zuvor externe Rätsel erhält damit eine überprüfbare Regel.

Zwei Tatsachen bleiben berechtigt außerhalb: die Delegationsberechtigung und das Verhältnis zwischen Aussteller und Transparenzdienst. Beide müssen unter einem stabilen, vom Aussteller kontrollierten und über iss auffindbaren Identifikator abrufbar sein. Ein Wechsel des Signaturschlüssels beendet die Gültigkeit eines zwischengespeicherten Ergebnisses.

Unerreichbar, fehlend oder unlesbar führt zu undetermined. Der Verifier darf eine nie erfolgreich gelesene Angabe nicht als geprüfte Abwesenheit ausgeben und nicht still die ausstellerfreundliche Variante wählen. Er verwirft den gesamten Beleg aber auch nicht allein deshalb. Die Relying-Party-Policy bestimmt, ob Ungewissheit für ihren Zweck disqualifiziert. Technischer Befund und institutionelle Entscheidung bleiben getrennt.

Drei Kanten, drei verschiedene Aussagen

Die Kante Aussteller–Standortinhaber steckt im Beleg. issuerAffiliation meldet affiliated, independent oder not disclosed. Das ist eine signierte Behauptung mit Provenienz und Zeitpunkt, keine automatisch unabhängige Prüfung aller gesellschaftsrechtlichen Beziehungen.

Die Kante Aussteller–Transparenzdienst ist eine extern veröffentlichte Aussteller-Tatsache. Betreibt der Aussteller oder ein verbundenes Unternehmen den Dienst, darf dessen Registrierung nicht als Beleg von außerhalb des Ausstellers gelten. Wird Unabhängigkeit erfolgreich aufgelöst, entsteht nur diese begrenzte Eigenschaft. Misslingt die Auflösung, bleibt sie unbestimmt.

Für die Kante Standortinhaber–Transparenzdienst enthält PSER-03 weder Payload-Feld noch definiertes externes Objekt. Der neue Abschnitt 7.9 erklärt, warum die anderen Kanten nicht ausreichen. Der Aussteller kann von Standortinhaber und Dienst unabhängig sein, während der Standortinhaber selbst den Dienst betreibt.

In diesem Fall sind beide vorhandenen Angaben zutreffend. Dennoch ist die Registrierung nicht außerhalb der Partei, die den physischen Standort kontrolliert. Der Entwurf beschreibt ihre Fähigkeit, Einträge über den eigenen Standort zu unterdrücken oder zurückzuhalten. Er meldet keinen tatsächlichen Missbrauch und keine bekannte Implementierung; er identifiziert eine aus den präsentierten Bytes nicht auszuschließende Fähigkeit.

Ein Inclusion Proof ist keine Vollständigkeitsbescheinigung

RFC 9942 definiert COSE Receipts als signierte Beweise über Eigenschaften einer überprüfbaren Datenstruktur. Die erfolgreiche Prüfung eines Inclusion Proof bestätigt die Aufnahme dieses Eintrags. RFC 9943 trennt die Signed Statement des Ausstellers, ihre Registrierung durch den Dienst und die spätere Bewertung durch die Relying Party.

Diese Architektur kann Integrität und konsistente Beobachtung stärken. Sie attestiert nicht automatisch die institutionelle Unabhängigkeit des Dienstbetreibers. PSER sagt zudem, dass die Registrierung eines Belegs nicht beweist, der Aussteller habe jeden von ihm erzeugten Beleg registriert. Ohne früher festgehaltenen externen Anker kann auch die lokale Hash-Kette ein vollständig zurückgehaltenes Ende nicht erkennen.

Bei Versicherungsleistungen, SLA-Gutschriften, Regulierung und Streitfällen entscheidet diese Differenz. Eine Policy verlangt vielleicht nur eine echte Signatur. Eine zweite verlangt einen vom Aussteller unabhängigen Dienst. Eine dritte verlangt zusätzlich Unabhängigkeit vom Standortinhaber. Das Wort „transparent“ darf diese drei Prüfobjekte nicht ersetzen.

Der Status undetermined sollte bis zur Entscheidung erhalten bleiben. Wurde die dritte Kante nicht geprüft, kann keine der beiden anderen sie füllen. Später gewonnene Eigentumsdaten werden als neue Beobachtung verknüpft und schreiben den damaligen Erkenntnisstand nicht um.

Ein zweiter Dienst hilft nur, wenn auch dessen Betreiberbeziehung bekannt und seine Registrierung unabhängig beobachtbar ist. Zwei Dienste unter Kontrolle desselben Standortinhabers sind keine zwei unabhängigen Zeugen. Umgekehrt ist offengelegte Verbundenheit kein universeller Ablehnungsgrund. Die jeweilige Policy kann sie zulassen, sofern sie die Abweichung sichtbar macht.

Ein Drei-Kanten-Verwahrungsnachweis

Die kleinste Ergänzung ist ein Drei-Kanten-Verwahrungsnachweis, der zusammen mit dem Beleg bewertet wird. Er bindet Belegidentität und Profilversion an Aussteller, Standortinhaber und Transparenzdienst. Für jedes Paar speichert er Beziehungsstatus, Quelle, Auflösungszeit und Ungewissheit sowie die von der Relying Party gewählte Unabhängigkeitsregel.

Hinzu kommen Dienstidentität, Inclusion Checkpoint und Beobachtungszeit, ein möglicher zweiter Dienst oder unabhängiger Monitor, Entscheidung und Begründung sowie Korrektur- oder Ersetzungskette. Sensible Standortangaben können geschützt bleiben. Öffentlich muss lediglich erkennbar sein, welche Kante bestätigt, unbestimmt oder laut Policy nicht erforderlich war.

Der Nachweis macht SCITT nicht zum Richter über Sicherheit, Compliance oder Versicherung. Die Signatur identifiziert die Stimme. Attestation liefert begrenzte Evidenz zur Erzeugungsumgebung. Das Receipt bestätigt Aufnahme. Erst der Verwahrungsnachweis zeigt, ob der Dienst die für die konkrete Entscheidung geltende Unabhängigkeitsanforderung erfüllte.

Diese Trennung folgt der Kontrollflächenfrage aus The Policy Mirror und der Ausführungsevidenz aus Running-Code Primacy. Reality, Not Advocacy setzt die journalistische Grenze: die dokumentierte Lücke würdigen, ohne Adoption, Schaden oder Betrieb zu erfinden. Der Drei-Kanten-Nachweis ist Daniel Kades Analyse, keine IETF-Vorgabe.

PSER-03 trennt „außerhalb des Ausstellers“ endlich von „außerhalb des Standorts“. Bis die dritte Kante überprüfbar ist, beweist ein sauberer Inclusion Proof nur seine eigene, wichtige Aussage.

Quellen