要約

  • Steven Mihが9月26日付で公表したdraft-mih-agent-evidence-request-00は、証拠の要求と応答を扱う個人の情報提供目的の草案である。IETFが採択した規格でも、運用実績の報告でもない。
  • 対象、確定したカバレッジの基点、指定された導出方法が同じなら、誰に返す場合も証拠成果物のバイト列は一致するという提案だ。要求者が別途保持したexpected_pinは、応答側が基点を決める鮮度条件より比較に向く。
  • 返答には署名付き拒否もあり得る。待機期間後の「応答なし」は要求者の記録であって、応答側の署名付き拒否や隠蔽の証明ではない。

監査に必要なのは、きれいな証拠を一通受け取ることだけではない。別の監査人が同じ問いに対して何を受け取ったか、照合できなくてはならない。例えば二者が事前に保存した同一のチェックポイントを指定したのに、届いた履歴が異なるとしたらどうか。各ファイルの形式や署名が正しくても、相手に応じた証拠の出し分けが疑われる。これは草案の意味を示す仮定であり、実際の不正事例ではない。

IETFのDatatrackerでは、この9月26日付文書は「Individual」「I-D Exists」と表示される。個人が提出できるInternet-Draftは作業中の提案であり、IETFの合意、ワーキンググループによる採択、法的な開示義務を表さない。Mihの文書が定めようとするのは、既存の検証可能な証拠をどう求めるかというやり取りだ。証拠そのものの形式や、誰に閲覧権があるかは決めない。

要求の対象には、全履歴、チェックポイント、個別記録、範囲、相関関係、やり取りがある。カバレッジの指定は二択で、両方を同時に置くことも省くこともできない。expected_pinでは要求者が独立に得たチェックポイントを示す。min_freshnessでは最低限の鮮度を示し、応答者がそれを満たす基点を選ぶ。後者で別々の基点が選ばれた場合、成果物の差だけから「同一の問いに違う答えを出した」とは言えない。何を基点としたかを先に確定させる必要がある。

草案の「要求者によらない」条件は厳密だ。対象、解決後の基点、存在するなら導出方法が一致する限り、応答する証拠のバイト列は要求者や経路に左右されない。一方で、応答者はアクセス方針に基づき、一方には答え他方には拒むことができる。同じ証拠を全員に公開する義務は提案されていない。この違いを落とすと、平等な内容という技術的な約束を、平等な取得権という別の制度的主張にすり替えてしまう。

基点が異なる場合の課題も大きい。同じストリームについて提示した基点は、互いに整合する追記専用の履歴に属さなければならない。しかし利用者がそれぞれ別の枝だけを見ていれば、手元の成果物が正しいことと分岐がないことは別問題だ。外部で保管した基点、基点間の整合性証明、必要なら第三者の照合が重要になる。そもそもログに入らなかった行動を、整合性証明から復元することもできない。

終局結果は証拠成果物、署名付き拒否、待機後に記録する不在の三つ。拒否には要求バイトのダイジェスト、発行時刻、機械可読の理由と署名が含まれる。理由を細かく示すと対象の存在自体が漏れるため、広い方針上の拒否も認められる。不在は要求者側が残す記録で、ネットワーク障害と意図的な無視を区別しない。別途署名された保持期限の約束があれば、その期間中の不在を応答者に帰属させやすくなるが、可用性の保証ではない。本文を隠すhistory_card/1でも履歴の頻度や量は漏れ得る。検証可能性は、完全性や秘密保持を一括して与える魔法ではない。

出典