Richtliniendurchsetzung in sicheren Enclaves
Ein Diskussionspapier vor der Session zu Richtliniensemantik, Eigenschaften eines Referenzmonitors, Platzierung der Durchsetzung, Attestierungsnachweisen und Fehlerbehandlung.
Zugehörige Session
PESAEAS Marokko #2 — Casablanca: Policy-Durchsetzung & sichere EnclavesZweck und Status
Dieses Papier rahmt PESAEAS Marokko #2 in Casablanca. Es ist ein Arbeitsdokument für die technische Prüfung, kein Implementierungsstandard und keine Behauptung, eine einzelne Enclave-Technologie löse das Isolationsproblem.
Die zentrale Frage lautet, wie eine deklarierte Richtlinie zu einer durchsetzbaren Grenze wird, deren Entscheidungen unabhängig von der autonomen Arbeitslast geprüft werden können.
Richtlinie als ausführbare Grenze
Eine Richtlinie ist nur nützlich, wenn ihre Bedeutung präzise genug für eine Laufzeitentscheidung ist. Mindestens müssen Subjekt, angeforderte Handlung, Zielobjekt oder Ziel, relevanter Kontext und resultierende Wirkung bestimmt sein.
Das Modell muss außerdem Vorrangregeln, Standardwerte, Zeit- und Ressourcengrenzen, Ausnahmen sowie das Verhalten bei fehlendem Kontext festlegen. Unklarheit an diesen Stellen wird in der Praxis zu Autorität.
- Subjekt: Arbeitslast, Agent, Werkzeug, Prozess oder delegierte Identität.
- Handlung: angeforderte Operation einschließlich risikorelevanter Parameter.
- Objekt: Daten, Dienst, Gerät, Datei, Endpunkt oder adressierte Fähigkeit.
- Kontext: Aufgabe, Umgebung, Zeit, Ressourcenzustand, Herkunft und frühere Entscheidungen.
- Wirkung: erlauben, verweigern, umformen, Genehmigung verlangen, beenden oder in einen kontrollierten Degradationsmodus wechseln.
Eigenschaften des Referenzmonitors
Die richtliniendurchsetzende Komponente wirkt als Referenzmonitor. Ihre Glaubwürdigkeit hängt weniger von der Bezeichnung als von drei Eigenschaften ab.
- Vollständige Vermittlung: Jeder relevante Übergang durchläuft einen Durchsetzungspunkt.
- Manipulationsschutz: Die Arbeitslast kann Richtlinie, Entscheidungslogik oder Nachweispfad nicht verändern.
- Überprüfbarkeit: Der vertrauenswürdige Mechanismus ist klein und explizit genug, um ihn zu prüfen, zu testen und zu begründen.
Durchsetzung über mehrere Ebenen
Keine einzelne Platzierung deckt die gesamte Grenze ab. Eine praktische Enclave kann mehrere Durchsetzungsebenen kombinieren, jeweils mit klarer Verantwortung und Umgehungsanalyse.
- Anwendungs- und Werkzeugebene: semantische Beschränkungen für Operationen, Argumente, Ziele und Genehmigungsabläufe.
- Betriebssystemebene: Kontrollen für Prozesse, Systemaufrufe, Dateisystem, Identitäten, Speicher und Ressourcen.
- Netzwerk- und Datenebene: Ausgangsrichtlinien, erlaubte Ziele, Datenklassifikation und Ausgabefilterung.
- Hardwaregestützte Ebene: Identität der Arbeitslast, gemessener Start, geschützter Speicher und Attestierung, soweit das Bedrohungsmodell sie erfordert.
- Betriebsebene: Richtlinienverteilung, Schlüsselverwaltung, Notfallsteuerung, Rollback und Nachweisaufbewahrung.
Attestierung und Nachweise
Attestierung soll eine konkrete Prüfungsfrage beantworten und nicht als allgemeines Siegel dienen. Nachweise müssen die gemessene Umgebung mit der Richtlinie verbinden, die eine Entscheidung gesteuert hat.
- Identität von Arbeitslast und Umgebung einschließlich relevanter Version oder Messung.
- Richtlinienkennung und Prüfsumme mit nachvollziehbarem Veröffentlichungs- oder Genehmigungsnachweis.
- Entscheidungsdatensatz mit Anfrage, anwendbarer Regel, Ergebnis und Durchsetzungspunkt.
- Ausnahmen, menschliche Genehmigungen, Notfallübersteuerungen und Änderungen des Richtlinienzustands.
- Integritäts- und Zeitangaben, die im erklärten Bedrohungsmodell Löschung, Umordnung oder Austausch erkennbar machen.
Zu untersuchende Fehlerklassen
Der Durchsetzungspfad führt eine eigene Angriffs- und Fehlerfläche ein. Er gehört in das Bedrohungsmodell und darf nicht per Definition als vertrauenswürdig gelten.
- Richtlinienkonflikte, mehrdeutige Standardwerte oder unsichere Vererbung.
- Time-of-check/Time-of-use-Lücken zwischen Entscheidung und ausgeführter Handlung.
- Unvermittelte Nebenpfade über Plugins, Diagnose, Aktualisierungskanäle oder Bedienerwerkzeuge.
- Nachweise, die die beabsichtigte Entscheidung, aber nicht die tatsächlich erfolgte Handlung festhalten.
- Notfallübersteuerungen, die länger bestehen oder mehr Autorität vergeben als vorgesehen.
Fragen für die Session in Casablanca
Mit diesen Fragen werden Richtlinienmodelle und Durchsetzungsorte verglichen.
- Welche Felder benötigt ein minimaler, interoperabler Entscheidungsdatensatz?
- Welche Kontrollen gehören oberhalb des Betriebssystems, und welche dürfen dort nicht allein verbleiben?
- Was genau soll eine Attestierung einem externen Prüfer nachweisen?
- Wie bleiben Richtlinienänderungen prüfbar, ohne eine rechtzeitige Reaktion auf Vorfälle zu verhindern?
- Welche Nachweise belegen tatsächliche Durchsetzung statt bloßer Konfiguration?
Überarbeitung
Nach der Session in Casablanca wird Version 0.2 das Entscheidungsmodell präzisieren, strittige Annahmen ausweisen und festhalten, welche Durchsetzungsfragen implementierungsspezifisch bleiben.