Кратко

  • Редакция 01 документа SEAT разделяет привязку к каналу, свежесть Evidence, составную аутентификацию, runtime attestation и дрейф состояния долгих или возобновлённых соединений.
  • TLS может оставаться криптографически исправным после изменения принятой среды. Handshake подтверждает ограниченное во времени наблюдение, а не вечное разрешение.

В 09:00 сервер завершает TLS и связывает с соединением свежую Evidence. Verifier принимает firmware, ОС, workload и защитную конфигурацию; Relying Party выдаёт секрет. В 14:00 канал по-прежнему шифрует записи, но workload мигрировал, AI agent получил новый инструмент или контроль был выключен.

Транспорт не нарушил обещание. Условие, ради которого дали доступ, могло исчезнуть.

Эту временную границу показывает draft-ietf-seat-use-cases-01, обновлённый 15 сентября 2026 года и истекающий 19 марта 2027 года. Это Internet-Draft группы SEAT в I-D Exists. На титуле стоит Informational, Intended RFC status в Datatracker пуст, shepherd, ответственный area director и telechat не назначены. Действий IANA нет. Документ задаёт цели и варианты применения для будущего решения, а не механизм, appraisal policy, реализацию или измеренный результат.

Идентичность канала не является состоянием машины

TLS и DTLS обычно аутентифицируют peer по ключу и сетевой идентичности. Remote attestation добавляет Evidence о Target Environment: hardware, firmware, software и настройках. Это позволяет отделить владельца соединения от среды исполнения и её приемлемости.

Правильный сертификат не доказывает, что ключ всё ещё нельзя экспортировать или Secure Boot включён. Подлинная Evidence другой платформы не доказывает, что именно она держит текущий канал. Поэтому редакция 01 требует криптографически связать Evidence или Attestation Result с конкретным соединением, блокируя relay из другого контекста.

Compound authentication, machine identifier, обычная peer authentication и credential freshness остаются разными целями. Один pass не заменяет остальные.

Свежая Evidence начинает стареть сразу

Свежесть противостоит replay старого подходящего состояния. Привязка не позволяет перенести его на другой канал. Вместе они показывают, что достаточно недавнее утверждение относится к данному контексту. Они не замораживают endpoint.

Черновик прямо называет state drift в long-lived и resumed connections, runtime attestation и выбор между periodic и on-demand. Подлинная Evidence может устареть, хотя TLS принимает каждую запись.

Бинарный файл AI agent может не измениться, когда меняются модель, prompt, tools и права. Workload может мигрировать, reference value быть отозван, защита ключа ослаблена. Record layer этого не измеряет.

Корректное утверждение ограничено: среда оценена в определённый момент под правилом свежести и поколением policy, а результат связан с соединением. Продолжающееся шифрование не означает продолжающуюся приемлемость.

Resumption и KeyUpdate обновляют не состояние

TLS resumption создаёт соединение из прежнего state. Криптографическая преемственность не решает, достаточно ли молода Evidence, та же ли среда, изменились ли Verifier и policy и требует ли повышение прав нового измерения.

Редакция 01 требует учесть это, но не задаёт общего срока. Чтение telemetry и выдача секрета терпят разный риск. Локальное значение всё равно должно быть видимым.

KeyUpdate обновляет traffic keys без полного handshake, но не измеряет firmware и tool set. Свежесть транспортного ключа, Evidence и authorization — разные часы.

Passport и Background Check меняют компромисс

В Passport-модели RATS Attester получает Result и предъявляет его. В Background Check Relying Party обращается к Verifier. Редакция 01 связывает максимальную свежесть со вторым, а масштаб, производительность и недоступность Verifier — с первым.

Passport требует срока и anti-replay. Background Check требует доступности, задержки и решения при timeout. Короткий срок уменьшает stale window, но увеличивает нагрузку и DoS; длинный улучшает continuity, но продлевает унаследованное одобрение.

Частая Evidence может раскрывать состав платформы, конфигурацию и workload identity. Свежесть нужно балансировать с linkability, хранением и утечкой после компрометации ephemeral key или traffic secret.

Компрометация ключей даёт разные сбои

Украденный TLS authentication key можно re-host на другой машине. Attestation помогает, если связывает ключ, среду и соединение так, чтобы заметить подмену. Компрометация attestation key позволяет подделать саму Evidence; сильная привязка не делает скомпрометированный Attester честным.

Key attestation при выдаче сертификата также описывает прошлый момент: модуль генерации и хранения, но не состояние во время будущего соединения и не часы после него.

Result остаётся входом локальной авторизации

Evidence и Attestation Result не являются всеобщей командой allow. Relying Party применяет локальную policy к результату, операции и риску. Appraisal policy явно вне охвата. Верное измерение может не пройти новую policy; одно состояние может разрешать чтение и запрещать secret provisioning.

Минимальная начальная спецификация Heng Lu поддерживает небольшой общий контракт привязки, свежести и семантики. Приоритет работающего кода требует квитанций: система запросила refresh, отменила старое одобрение и отозвала права.

Нужно хранить transcript binding, IDs Evidence/Result, основу свежести, Verifier, policy generation, Target Environment, цепочку resumption и последнюю приёмку. Триггеры включают миграцию, возобновление, привилегию, tool change, rotation, alert, revocation и максимальный возраст. Это рекомендации статьи, не требования 01.

Binding закрывает подстановку. Повторная аттестация и отзыв закрывают время. Исправный канал не превращает старое наблюдение в текущий факт.

Источники