Resumo

  • No SCITT de RFC 9943, um emissor assina uma declaração sobre um artefato, um Serviço de Transparência a registra sob uma política e um recibo prova propriedades delimitadas desse registro.
  • Essa trilha cria auditabilidade de procedência e histórico; ela não prova verdade, divulgação completa ou a decisão local de aceitar o artefato.

O desenho funciona porque distribui responsabilidades em vez de escondê-las. O emissor fala pelo que afirma. O Transparency Service, ou TS, fala pela entrada que aceitou, pelas âncoras de confiança que opera e pela política de registro que anunciou. O auditor fala pelo método que aplicou à sequência e às provas. A parte que confia fala por sua própria decisão: usar, limitar, postergar ou rejeitar um componente. Um recibo é valioso justamente porque pode ser checado sem transformar o operador do registro no dono de todas essas decisões.

O percurso de registro mostra a fronteira. O TS deve verificar criptograficamente a assinatura, manter âncoras de confiança, vincular a identidade do emissor no cabeçalho protegido e manter políticas explícitas. Mas RFC 9943 deixa os controles adicionais para a implementação — inclusive a possibilidade de não haver controle adicional — e coloca autenticação e autorização do cliente fora do escopo da arquitetura. Assim, o recibo diz que uma declaração específica passou por uma regra identificável. Não diz que aquela regra investigou tudo o que importa para um comprador, uma equipe de produção ou um responsável por continuidade.

Nem uma política detalhada muda essa natureza. Ela pode exigir uma chave conhecida, um emissor e um sujeito protegidos, um tipo de mídia e atributos específicos. Isso torna a porta de registro legível e repetível. Não mostra, por si só, que uma lista de componentes é completa, que um alerta de vulnerabilidade continua atual, que o ambiente de compilação foi seguro ou que um fornecedor entregou todos os dados desfavoráveis. O registro pode tornar o ato do TS verificável. Não pode converter esse ato em uma garantia sobre cada frase do conteúdo.

O próprio RFC é inequívoco: emissores podem produzir declarações falsas, por erro ou intenção; o registro prova somente que a declaração foi produzida pelo emissor. Uma declaração posterior pode substituí-la e outro emissor pode oferecer informação corretiva. Um emissor também pode recusar ou selecionar quais declarações registra. Transparência permite examinar e atribuir melhor essas diferenças. Não transforma ausência de publicação em prova de completude.

É preciso conter também a leitura do tempo. A estrutura verificável registra uma sequência, mas, salvo uma promessa da política do TS, a ordem de registro não é necessariamente a ordem em que as declarações foram emitidas. Uma prova de inclusão localiza uma declaração em uma estrutura em certo momento. Ela não prova que é o relato final, que é o fato mais relevante ou que não existe uma evidência material em outro lugar. Uma linha de registro verificável não é uma linha do tempo integral da vida de um artefato.

Por isso, a decisão madura tem quatro camadas declaradas. Primeiro, qual foi exatamente a afirmação do emissor? Segundo, quais assinatura, identidade e sujeito foram verificados? Terceiro, qual política foi aplicada pelo TS e que propriedade o recibo demonstra? Quarto, qual regra local determina se essas evidências bastam para esta ação? RFC 9943 permite explicitamente que a parte que confia aplique validações próprias depois da verificação, usando envelope, recibo, conteúdo e estado local. Essa camada não deve desaparecer em uma automação; ela pertence a quem responde pelo resultado.

A ideia de Heng Lu de uma especificação inicial mínima ajuda a manter essa disciplina. Uma base comum pode ser adotada por muitos participantes quando declara um fato estreito, verificável e portátil, sem tomar para si decisões futuras de cada participante. O recibo SCITT pode circular porque fala precisamente do registro de uma declaração. Tratá-lo como autorização de compra, aprovação de implantação ou selo de segurança importaria uma política oculta para quem recebe. A execução bem-sucedida de uma verificação prova que o mecanismo indicado rodou sobre o material indicado; não transfere a ele a autoridade sobre as consequências.