Тема
Легитимность институтов
В фасете «Тема» значение «Легитимность институтов» объединяет статьи по конкретной теме или предмету наблюдения. Здесь собраны связанные публикации, источники, участники рынка и последствия для инфраструктуры. Страница помогает сравнить повторяющиеся сигналы, затронутые организации, непрерывность услуг, закупки, конкуренцию, соблюдение требований и вопросы стратегического планирования, а также понять, почему тема важна операторам, заказчикам, инвесторам и специалистам по политике.
IETF
VIRP выносит право записи за пределы шлюза, но одноразовый допуск ещё не реализован
Редакция 07 VIRP переносит реальный рычаг в автоматизированном управлении сетью: у шлюза остаётся постоянная учётная запись только для чтения, а решение о записи принимает отдельная служба, которую шлюз не контролирует. Это уменьшает полномочия захваченного шлюза. Однако…
Досье
Заявлению о соответствии OSPS Baseline нужны версия, уровень и дата
Отметка «соответствует OSPS» удобно помещается в реестре поставщиков, но сама по себе почти ничего не фиксирует. OSPS Baseline выпускается версиями, распределяет требования по зрелости проекта и считает соответствие состоянием на определённый момент.
Досье
Аудит УЦ — не вывод о выпуске сертификата
Годовой отчёт об уверенности может показать, что средства контроля удостоверяющего центра исследовались в ограниченный период. Сам по себе он не отвечает на более узкий и важный для полагающейся стороны вопрос: почему именно этот сертификат, для этого имени и этого ключа, был…
История
Сообщение дошло до системы партнёра. Сделка ещё не была принята: RFC 1865
У почтовой доставки есть финальная точка, но она не обязана быть финальной точкой сделки. В RFC 1865 выделенное SMTP-соединение доставляло EDI прямо в систему торгового партнёра, и такая доставка называлась гарантированной. Это обещание относилось к каналу. За ним оставались…
Досье
Триггер workflow_run GitHub Actions — не вывод о доверии к артефакту
Триггер `workflow_run` в GitHub Actions может отделить предшествующую проверку от последующего, более привилегированного процесса. Но он не доказывает, что предшествующий результат, полученный затем артефакт или дальнейшая операция над целью заслуживают доверия.
Досье
Токен OIDC GitHub Actions — не вывод об облачной авторизации
Токен OIDC от GitHub Actions может сообщить внешнему провайдеру ограниченный контекст workflow. Сам по себе он не подтверждает совпадение облачной политики доверия, выдачу сессии, разрешение операции с ресурсом или изменение целевой среды.
История
До соединения адрес должен был сообщить правило оплаты: RFC 1681
Если программа узнаёт о цене уже после обращения к услуге, у пользователя не было полноценного выбора. В 1994 году RFC 1681 предложил вынести предупреждение в сам адрес назначения: его биты могли обозначать плательщика или выбирать алгоритм начисления. Пограничный маршрутизатор…
Досье
Группа конкурентного выполнения GitHub Actions — не вывод о последовательности развертываний
Группа конкурентного выполнения GitHub Actions способна сократить конфликты между именованными заданиями и запусками workflow. Но сама по себе она не устанавливает порядок всех существенных действий на целевой системе и не доказывает их результат.
Досье
Отклонённое предупреждение Dependabot — не вывод об устранении
Отклонённое предупреждение Dependabot фиксирует решение о разборе сигнала в репозитории. Оно может быть обоснованным. Само по себе оно не доказывает обновление зависимости, успешную сборку, выпуск артефакта или изменение работающей среды.
История
RFC о сетевом этикете распределил ответственность, но не создал мирового арбитра
В 1995 году Интернет собрал свои бытовые правила в одном документе и сразу ограничил власть этого текста. RFC 1855 имел статус Informational, не был стандартом и предлагал минимум, который организации могли приспособить к своим условиям. Именно это ограничение сделало схему…
Досье
Отозванный релиз PyPI — не вердикт об отзыве пакета
Yank в PyPI меняет то, как релиз представлен инструментам выбора в индексе. Это может быть существенным сигналом, но само по себе не доказывает удаление пакета, компрометацию, отзыв права публикации или прекращение использования во всех уже работающих средах.
Досье
Kubernetes NetworkPolicy — не вердикт о сетевом потоке
`NetworkPolicy` в Kubernetes может ясно объявлять, какие соединения третьего или четвёртого уровня должны оставаться разрешёнными для выбранных Pod. Но это не стенограмма конкретного соединения. Само наличие объекта не доказывает, что реализация CNI применила его в заданный…
Досье
Субъект с правом обхода ruleset GitHub — не событие обхода
В репозитории можно заранее указать людей, роли, команды, приложения или ключи, которым разрешено обходить ruleset GitHub. Это реальное решение о контроле. Но оно не доказывает, что конкретный субъект действительно обошёл правило на определённой ref, и не заменяет отдельные…
Досье
Удаление соавтора PyPI не отзывает Trusted Publisher
Удаление человека из списка участников проекта — реальное решение о доступе человека. Само по себе оно не доказывает отмену автоматизированной идентичности публикации.
Досье
Привязка политики допуска Kubernetes — не результат применения
Привязка показывает, как политика допуска может быть соединена с областью и действиями. Она не заменяет доказательство того, что конкретный запрос был сопоставлен, проверен и завершился определённым результатом.
Досье
Архивированный репозиторий GitHub — не решение о выводе из эксплуатации
Архивация в GitHub переводит известный репозиторий в режим только для чтения и, по формулировке платформы, показывает, что проект больше не поддерживается активно. Это полезный повод проверить зависимость. Но такая отметка не выбирает за другого пользователя, выводить ли из…
Досье
Scorecard OpenSSF — не решение о зависимости
Оценка безопасности помогает начать проверку с нужного места. Но она не выбирает за организацию конкретную версию и не принимает на себя последствия её использования.
IETF
«Finality Sink» не защищает API, который его обходит
Надёжный проверяющий компонент ещё не делает всю систему закрытой при отказе. Если агент может обратиться к другому внешнему API, правильный отказ на основном маршруте ничего не решает. Новый индивидуальный Internet-Draft предлагает Finality Sink перед первым защищённым внешним…
Досье
Файл CODEOWNERS — не подтверждение проверки
Файл `CODEOWNERS` может указать GitHub, кому следует направить запрос на проверку при изменении пути. Это полезное правило маршрутизации. Но оно не является журналом событий: не доказывает, какое правило сработало для конкретного pull request, кто тогда был допустимым владельцем…
Досье
Выражение лицензии SPDX — не вердикт о соответствии
Выражение SPDX удобно переносит сведения о лицензии между исходным файлом, пакетом и записью поставки. Его краткость не делает его решением, которое читатель может захотеть в него вложить. Корректная по грамматике строка не является юридическим толкованием, выводом о…