Кратко

  • draft-gilda-wimse-agent-audit-record-01 остаётся индивидуальным Internet-Draft: Datatracker не отмечает ни принятия рабочей группой WIMSE, ни публикации RFC.
  • В редакции 01 запись об изменении получает привязку к запросу либо пометку unattributed; изменение в контролируемой области без такой привязки даёт неизвестный эффект для рассматриваемого запроса.

Представим расследование: запрос агента был отклонён, а в наблюдаемом каталоге появилась запись об изменении. Это ещё не доказательство, что запрет не сработал. Но если наблюдатель не сумел связать запись с другим запросом, объявить «после отказа ничего не произошло» тоже нельзя. Проект Sankalp Gilda в редакции 01 предлагает сохранить эту неопределённость в самом аудиторском артефакте.

Предыдущая версия уже описывала подписанный конверт DSSE с предикатом in-toto и сопоставляла решение об авторизации с наблюдаемым эффектом. Новшество не в наличии подписи. Теперь каждому изменению приписывается дайджест того запроса, к которому его относит наблюдатель; если оснований для привязки нет, указывается буквальное unattributed. Поле effect.observed характеризует запрос в данном артефакте, а не весь поток операций за тот же промежуток. Изменение, отнесённое к иному запросу, не становится эффектом рассматриваемого.

Правило даёт три состояния: occurred при наличии изменения, приписанного запросу; none, если такого изменения нет и в заявленной области путей нет непривязанных изменений; unknown, если непривязанное изменение в этой области есть. Следующая таблица отличает разрешение без выполнения — not-exercised — от отказа, после которого произошло приписанное запросу изменение — disagree. При неизвестном эффекте любому исходному решению соответствует indeterminate. В версии 00 разрешённая, но не совершённая операция также называлась disagree, хотя разрешение не обязывает действовать.

Исправлена и тонкость, важная при сопоставлении журналов разных систем. Если аргументы вызова нельзя закрепить дайджестом, член argumentsDigest должен полностью отсутствовать в записи и в объекте для расчёта дайджеста запроса. Значение null или пустая строка недопустимы: они дали бы иные байты. Новые контрольные примеры проверяют это правило, записи от других запросов, непривязанное изменение и неиспользованное разрешение.

Datatracker указывает обновление 27 сентября, статус IESG I-D Exists и отсутствие RFC-потока. Это активный индивидуальный проект формата, не утверждённая политика и не отчёт о внедрении. Подпись способна подтвердить целостность подписанных байтов, а пересчёт — выявить часть внутренних противоречий. Ни то ни другое не доказывает полноты наблюдения, добросовестности привязки или заявленной независимости наблюдателя. Проект не предписывает оператору, когда закрывать инцидент.

Источники