Das Modell
- IdentitätDer Akteur wird über das Verzeichnis der Organisation bestimmt.
- RolleDie Rolle begrenzt, welche Objekttypen gelesen oder geändert werden.
- MarkierungEin markiertes Feld wird ohne passendes Recht nicht ausgeliefert.
- ZweckNur ein erlaubter Zweck trägt den Zugriff.
- VerlaufJede Anfrage endet als verketteter Eintrag, auch die abgelehnte.
Der Grundsatz
Stand · Bauplan
Ein Zugriff braucht eine bestimmte Identität, eine passende Rolle, das Recht für jedes markierte Feld und einen erlaubten Zweck.
Warum
Eine Regelprüfung ersetzt keine Zugriffskontrolle. Auch eine geprüfte Handlung gelangt nur über eine erlaubte Verbindung in ein Zielsystem. Umgekehrt erlaubt ein vorhandener technischer Zugang nicht jede fachliche Handlung. Sicherheitsgrenzen gehören darum an mehrere Stellen. Wo Menschen und Agents zusammenarbeiten, braucht es zudem eine klare Trennung zwischen gelesenen Daten und verbindlichen Anweisungen, damit fremder Inhalt keine Befugnis erzeugt.
Wie es arbeiten soll
Dokumentation
FORGE soll Rollen und Markierungen aus den Verzeichnissen der Organisation übernehmen und an jedem Objekt und Feld halten. Jede Anfrage, ob von einem Menschen oder einem Agent, durchläuft dieselben Prüfungen: Rolle, Markierung, Zweck. Was nicht erlaubt ist, wird nicht ausgeliefert, und auch eine abgelehnte Anfrage wird ein Eintrag im Verlauf. AXON bekommt nur die Befugnisse, die die konkrete Aufgabe braucht, und KALKÜL rechnet jede Handlung mit Wirkung vorher gegen die Regeln. HERMES begrenzt Umgebungen und Verbindungen. Der Kontrollprototyp zeigt Tokenbindung und Verkettung, aber keine Anmeldung und keine Rechteprüfung für den Betrieb.
Schritt für Schritt
- Identität und Rolle jedes Menschen und technischen Zugangs aus dem Verzeichnis der Organisation bestimmen.
- Markierungen an Objekten und Feldern führen und vor jeder Auslieferung prüfen.
- Den Zweck jeder Anfrage benennen und gegen die erlaubten Zwecke des Objekttyps prüfen.
- Ergebnis, Ablehnung und Grund als verketteten Eintrag festhalten.
Grenzen
Nachweis offen
Nachweis der Sicherheit: noch ohne reproduzierbaren Beleg. Der Abschnitt beschreibt den Bauplan.
- Behauptet werden keine Zertifizierung, keine behördliche Freigabe und keine unabhängige Sicherheitsprüfung.
- Rolle, Markierung und Zweck sind Bauplan. Der Prototyp bindet eine Akteursangabe, meldet aber keine reale Person an.
- Schlüsselverwaltung, dauerhafte Rechteprüfung und Schutz über mehrere laufende Instanzen sind nicht nachgewiesen.