Ohne Verbindung nach außen.

Der Weg hinein ist einseitig. Entweder über Datenträger, die außen beschrieben und auf einer Schleusenstation geprüft werden, bevor sie das innere Netz berühren. Oder über eine Datendiode, eine Netzverbindung, die physikalisch nur in eine Richtung überträgt, etwa über eine Glasfaser mit einem Sender auf der einen und nur einem Empfänger auf der anderen Seite.

Weil über eine Diode keine Bestätigung zurückkommt, sendet die Außenseite mit Vorwärtsfehlerkorrektur und Wiederholung, und die Innenseite setzt die Teile über ihre Prüfwerte zusammen. Ob alles vollständig angekommen ist, entscheidet allein die Innenseite.

Für Netze, in denen Verschlusssachen verarbeitet werden, kommen Produkte mit Zulassung des BSI in Frage. Welche Diode oder welcher Datenträgerweg eingesetzt wird, bestimmt der Betreiber.

Nichts, was hereinkommt, wird geglaubt. Die Innenseite prüft jedes Paket selbst: den Digest jeder Schicht gegen das Manifest, die Signatur gegen die innen hinterlegten öffentlichen Schlüssel, die Herkunftsangabe gegen die Regel des Netzes. Erst ein Paket, das alle Prüfungen besteht, kommt in das innere Register.

Datenträger werden zusätzlich auf Schadsoftware untersucht und nur lesend eingebunden. Die Prüfung läuft auf einer eigenen Station an der Grenze, nicht auf einem Rechner des inneren Netzes.

Im inneren Netz steht eine eigene Registry nach der OCI Distribution Specification, ein Spiegel der freigegebenen Pakete. Alle Orte im Netz beziehen ihre Images nur von dort, über den Digest, und die Laufzeitumgebung ist so eingerichtet, dass sie keine äußere Registry erreicht. Mit cosign save und cosign load oder oras cp -r kommen Images samt Signaturen und Anlagen als Datei in ein solches Register.

Mit den Paketen kommt das Soll. Das Git-Repository mit dem Sollzustand wird als Bündel (git bundle) über denselben einseitigen Weg gespiegelt. Der Abgleich am Ort arbeitet danach wie in verbundenen Umgebungen, mit Wellen, Signalen und Rücknahme.

Die privaten Schlüssel, mit denen Pakete signiert werden, liegen nicht im Netz der Auslieferung, sondern offline: in einem Hardware-Sicherheitsmodul oder auf Rechnern ohne Netzverbindung. Im inneren Netz liegt nur der öffentliche Teil.

Wird ein Schlüssel gewechselt, geht der neue öffentliche Schlüssel denselben einseitigen Weg hinein, signiert mit dem alten, so wie es das Update-Framework TUF für den Wechsel seiner Wurzelschlüssel vorsieht. Schwachstellendaten und Sperrlisten für Zertifikate kommen auf dieselbe Weise als signierte Pakete in festen Abständen.

Ein abgeschottetes Netz läuft mit dem Stand, den es hat. Was HERMES sonst von außen braucht, ist innen vorhanden: Register, Soll, öffentliche Schlüssel zur Prüfung, eine Zeitquelle über einen eigenen NTP-Server, etwa mit einem Empfänger für Satellitenzeit, und die Überwachung.

Nach außen geht nichts von selbst. Muss ein Bericht hinaus, etwa welche Version an welchem Ort läuft, geht er über einen eigenen, vom Betreiber kontrollierten Weg in Gegenrichtung, als geprüfter Export. Der Weg hinein bleibt davon getrennt.