Кратко

  • RFC 9943 задаёт SCITT: издатель подписывает заявление об артефакте, служба прозрачности регистрирует его по своей политике, а квитанция доказывает ограниченные свойства регистрации.
  • Механизм позволяет аудит происхождения и истории, но не доказывает правдивость, полноту раскрытия и не подменяет решение полагающейся стороны.

Полезно различать говорящих. Издатель отвечает за то, что он утверждает. Transparency Service, или TS, отвечает за объявленную политику, доверенные якоря и зарегистрированную запись. Аудитор отвечает за способ проверки. Полагающаяся сторона отвечает за решение: принять компонент, ограничить его, отложить или отклонить. SCITT связывает эти действия проверяемыми материалами, но не превращает квитанцию в голос всех участников сразу.

Граница видна уже при регистрации. TS обязана криптографически проверить подпись, связать идентификатор издателя в защищённом заголовке, поддерживать доверенные якоря и иметь явные политики регистрации. Но объём дополнительных проверок, включая их отсутствие, определяет реализация. Аутентификация и авторизация клиента также находятся вне рамок архитектуры. Поэтому квитанция показывает, что конкретное заявление прошло конкретный известный порог. Она не показывает, что этот порог рассмотрел все вопросы, важные для эксплуатации, закупки или принятия риска.

Даже строгая политика остаётся политикой регистрации. Она может требовать известный ключ, защищённые идентификаторы издателя и субъекта, тип носителя или заданные атрибуты. Это делает вход в журнал воспроизводимым и аудируемым. Но не доказывает полноту перечня компонентов, актуальность сообщения об уязвимости, безопасность среды сборки или то, что поставщик раскрыл все неблагоприятные факты. TS делает проверяемым собственное действие; она не становится судьёй истинности каждого утверждения в полезной нагрузке.

RFC 9943 прямо называет предел: издатель может сделать ложное заявление намеренно или по ошибке, а регистрация доказывает только происхождение заявления от этого издателя. Позднее заявление может его заменить; другой издатель может дать исправление; издатель может выборочно регистрировать лишь часть своих заявлений. Прозрачность облегчает обнаружение и отнесение таких различий. Она не превращает отсутствие публикации в доказательство полноты.

Осторожности требует и порядок журнала. Если политика TS этого не обещает, порядок в проверяемой структуре нельзя считать порядком выпуска заявлений. Доказательство включения помещает заявление в определённую структуру в определённый момент. Оно не доказывает, что это последняя существенная информация, самая важная информация или исчерпывающая история артефакта. Проверяемая последовательность записей не равна полной хронологии реального мира.

Практически следует хранить четыре разных ответа: что именно сказал издатель; какие подпись, идентичность и субъект проверены; какую политику применил TS и что именно доказывает квитанция; какое локальное правило решает, достаточно ли этого для требуемого действия. RFC 9943 разрешает полагающейся стороне применять собственную проверку после криптографической верификации, используя оболочку, квитанцию, содержимое и локальное состояние. Это не изъян, который надо спрятать автоматизацией. Здесь должна оставаться ответственность того, кто несёт последствия.

Идея Heng Lu о минимальной первоначальной спецификации особенно уместна: общий механизм переносим, когда он делает проверяемым узкий факт и не присваивает будущие локальные решения. Квитанция SCITT может переходить между организациями, потому что точно говорит о зарегистрированном заявлении. Если читать её как разрешение на закупку, развёртывание или гарантию безопасности, получатель незаметно примет чужую политику. Успешная проверка доказывает работу названного механизма с названным материалом, а не даёт механизму право решать последствия.