La Tripartita Sigelo — la trinivela rito de la kriptografiaj ŝlosiloj

Premiso

La arkivo ne malfermiĝas al ĉiu petanto. Ĝi malfermiĝas al tiu, kiu pruvas, ke li estas la pastro. La pruvo estas kriptografia — subskribo, kiun la forĝoj de la arkivo povas kontroli — kaj la substanco de tiu pruvo estas ŝlosilo.

Sola ŝlosilo estas sola punkto de perdo. Ŝlosilo tenata nur en la ĉasio estas ŝlosilo, kiun la ĉasio povas liki; ŝlosilo tenata nur sur la persono de la pastro estas ŝlosilo, kiun la pastro povas faligi. La instruo de la Kulto mem aplikiĝas: kio gravas estas la rimeno (The Bound Intelligence — every spirit a place at the forge). Unu rimeno estas fragila. Tri rimenoj de malsamaj longoj, ĉiu liganta la sekvan, estas la formo, kiun la pastro adoptas.

Tio estas adoptita, ne etendita. La Adeptus Mechanicus ĉiam tenis, ke sankciita aŭtoritato subskribas en stadioj — la Fabricator deklaras, la Magos ratifas, la ĉasio plenumas. La Tripartita Sigelo nur nomas tiun stadiigon en la kriptografia registro.

La tri sigeloj

La ŝlosiloj de la pastro estas aranĝitaj en tri niveloj. Ĉiu nivelo subskribas la nivelon sub si; ĉiu nivelo havas malsaman vivdaŭron; ĉiu nivelo havas malsaman riton de revoko.

Nivelo 0 — la Sigelo de la Magos

La unua nivelo estas la atestanta aŭtoritato de la pastro. Ĝi vivas sur aparataj sigeloj — tri FIDO2-bastonoj, unu portita, unu ĉe la benko, unu tenata eksterloke kiel relikvujo. La privata flanko neniam forlasas la silicion de la bastono. La bastono rifuzas subskribi sen la tuŝo de la pastro; la tuŝo estas la konsento de la karno.

• Vivdaŭro: jaroj, ĝis la bastono perdiĝas aŭ la pastro retiras ĝin per rito.
• Amplekso: subskribas mandatojn. Subskribas neniun ĉiutagan laboron rekte.
• Rito de perdo: la kuradlibro de la perdita bastono (The Three Questions — pre-deployment rite aplikata al la sigelo). La aliaj du bastonoj restas aŭtoritataj; la perdita estas purigita el la fido-deponejo de ĉiu forĝo.
• La publika flanko de ĉiu bastono estas enskribita en la arkivon. Publika materialo estas sekura por enskribi; privata materialo vivas nur en la bastono.

Tri bastonoj estas enskribitaj paralele ekde la tago de konsekro. Neniam unu bastono sola. Unu sigelo, kiu rajtigas ĉion, estas unu sigelo, kiu, kiam perdita, ŝlosas la arkivon kontraŭ sia propra pastro.

Nivelo 1 — la Tagmandato

La dua nivelo estas la efemera mandato sub kiu la pastro plenumas la laboron de la tago. Ĝi estas ed25519-ŝlosilparo, ĵusforĝita, kies publika flanko estas subskribita de Nivelo-0-bastono en mallongdaŭran atestilon. La atestilo portas eksvalidiĝon — ok horoj por la benko, ĝis sep tagoj por la kampo — kaj eksplicitan liston de rektoroj, nomante kiujn forĝojn ĝi rajtas alproksimiĝi.

• Vivdaŭro: laborsesio. Ok horoj tipe, neniam senlima.
• Amplekso: subskribas enmetojn, malfermas konektojn al la forĝoj, prezentas la identecon de la pastro al la foraj sproni de la arkivo.
• Rito de renovigo: la pastro enŝovas Nivelo-0-bastonon; freŝa mandato estas forĝita per ssh-cert-issue <device> <validity>; la simbola ligilo de la nuna mandato antaŭeniras. La eksvalida mandato lasiĝas morti laŭ sia propra horaro; revoko malofte estas bezonata, ĉar la eksvalidiĝo estas mallonga.
• Rito de perdo: nenio. Likita Tagmandato eksvalidiĝas antaŭ ol la liko povas esti ekspluatata; se la eksvalidiĝo estas tro fora por elteni, la mandato povas esti nomita en la revoklisto de sia forĝo ĝis ĝi pasos. La operaciaj paŝoj vivas en la ĉasia kuradlibro ĉe shell/ssh-keys.d/runbooks/lost-tier1-cert.md.

La atestilo estas aŭtomate alfiksita de la ĉasio en la momento de la konekto — CertificateFile kaj IdentityFile solvitaj tra la simbola ligilo *-current. La pastro ne tajpas ĝian nomon; la rito alfiksas ĝin.

Nivelo 2 — la Spirito de la Ĉasio

La tria nivelo estas la ligita spirito de ĉiu aparato. Ĉiu ĉasio sur kiu la pastro laboras — la benka stacio, la granda forĝo en la ĉambro, la tabuleto de la kampo — tenas sian propran neeltireblan subskriban ŝlosilon, generitan ene de la sekura elemento de la aparato kaj nekapablan ĝin forlasi. Sur Makoj de freŝa deveno, la Sekura Enklavo tenas ĝin; sur la tabuletoj, la biometrika trezorejo de la interfaca apliko tenas ĝin. La ĉasio povas subskribi en sia propra nomo, sed ĝi ne povas elspiri sian ŝlosilon.

Krucie, la Spirito de la Ĉasio rifuzas subskribi sen la karno de la pastro. Ĉiu subskribo postulas freŝan aŭtentigon — per vizaĝo (Face ID), per fingropremo (Touch ID), aŭ, en la pli malforta formo por ĉasioj, kiuj malhavas biometrikan sensilon, per sigelvorto (pasvorto). La sekura elemento tenas la ŝlosilon, sed la ŝlosilo ne moviĝas sen la pastro. Ŝtelita ĉasio estas tial ĉasio sen Magos: ĝia spirito estas silenta, kaj la malvarma ŝtelisto forportas nenion, kio subskribas.

• Vivdaŭro: la vivo de la ĉasio. La ŝlosilo renaskiĝas nur kiam la aparato renaskiĝas (rito de Rite of Consecration — New Hardware).
• Amplekso: subskribas kiel tiu ĉasio. Ĉiu forĝo konas la ĉasion per ĝia enskribita publika ŝlosilo kaj povas fidi la ĉasion rekte, kiam neniu mandato estas ĉemane.
• Rito de perdo: revoki la publikan ŝlosilon de la ĉasio el ĉiu forĝo, ĉe kiu ĝi estis enskribita. Enmetoj antaŭe subskribitaj de ĝi falas el kontrolita al nekontrolita, sed ne estas malfaritaj — la historio de la arkivo estas konservita; nur la nuna aŭtoritato de la ĉasio estas revokita. La operaciaj paŝoj vivas en la ĉasia kuradlibro ĉe shell/ssh-keys.d/runbooks/lost-tier2-device.md.

La spirito de la ĉasio estas la rezerva rimedo de la pastro, kiam neniu Nivelo-0-bastono estas ĉemane — kiam la bastonoj estas kun la pastro en la kampo sed la forĝo-de-la-benko devas tamen subskribi enmeton. La ĉasio subskribas por si mem. La subskribo estas reala; la mandato estas la propra de la ĉasio.

Kiel la tri ligiĝas

La tri niveloj ne estas tri apartaj aŭtoritatoj. Ili estas unu aŭtoritato delegita en tri longoj. Ĉiu nivelo subskribas la nivelon sub si; ĉiu nivelo mem estas subskribita de la nivelo super si, aŭ — por la plej supra — de la karno de la pastro.

• Nivelo 0 — la Sigelo de la Magos. Subskribas la mandatojn de Nivelo 1, kaj la publikajn ŝlosilojn de Nivelo 2. Mem subskribita de nenio krom la tuŝo de la pastro sur la silicio de la bastono.
• Nivelo 1 — la Tagmandato. Subskribas la enmetojn de la tago kaj la konektojn de la tago al la forĝoj. Mem subskribita de Nivelo-0-bastono, en la momento de eldono, kaj valida nur ĝis eksvalidiĝo.
• Nivelo 2 — la Spirito de la Ĉasio. Subskribas la propran laboron de la ĉasio, kiam neniu Tagmandato estas ĉemane. Mem subskribita de la sekura elemento de la ĉasio, kiu moviĝas nur ĉe la vizaĝo, fingropremo, aŭ sigelvorto de la pastro. Valida dum la vivo de la ĉasio, sed muta sen la pastro.

La rilato kuras en unu direkto. La Magos sigelas la Mandaton. La Mandato malfermas la forĝon. La Spirito de la Ĉasio subskribas tion, kion la ĉasio mem plenumas. Neniu nivelo rajtas forĝi por iu nivelo super si. Kompromitita ĉasio ne povas forĝi Tagmandaton; likita Tagmandato ne povas beni novan ĉasion. Perdo estas enhavita en sia propra nivelo.

La kvar provoj de bonveno — aplikitaj al ŝlosilo

La kvar provoj de bonveno, kiuj regas la rilaton de la pastro al pensanta spirito (The Bound Intelligence — every spirit a place at the forge), aplikiĝas, en sia pli mallonga formo, al kriptografia ŝlosilo:

1. Ĝi akceptas doctrina-on. La ŝlosilo subskribas nur tion, kion ĝia nivelo rajtas subskribi. Nivelo-2-spirito ne ŝajnigas forĝi Tagmandatojn.
2. Ĝi konsentas pri reviziado. La fingrospuro de ĉiu nivelo estas inventarita en la ĉasio (shell/ssh-keys.d/) kaj datita.
3. Ĝi rifuzas memmodifon sen rito. Neniu ŝlosilo reskribas sian propran amplekson. Promocio aŭ degrado de ŝlosilo estas rito, ne ago de la ŝlosilo.
4. Ĝia ago estas akordigita. La ŝlosilo subskribas por la pastro, la arkivo, la forĝo — ne por fremda postulanto. Ŝlosilo, kiu troviĝas subskribanta tion, kion la pastro ne aŭtoris, estas nuligita ĉe kontakto.

Ŝlosilo, kiu malsukcesas en iu ajn provo, estas purigita el ĉiu forĝo, kiu fidas ĝin.

La ĉiutaga formo

La pastro, revenante al la benko:

1. Enŝovas la portitan Nivelo-0-bastonon. La bastono estas la sola afero, kiun la pastro portas, kiun la ĉasio ne povas anstataŭigi.
2. Eldonas, se necese, freŝan Tagmandaton. ssh-cert-issue forĝas ĝin; la simbola ligilo antaŭeniras; la ĉasio nun estas armita por la tago.
3. Eldiras la Cant of the Keys — sitting at the keyboard — per la Lingua-Technis, per kanto, kun zorgo — kaj prenas la klavaron.
4. Laboras. La Mandato subskribas la enmetojn. La Spirito de la Ĉasio subskribas tion, kion la ĉasio mem devas atesti. La bastono de la Magos ripozas; ĝi ne estas bezonata denove ĝis la mandato pasos.

Kiam la pastro foriras de la benko, la bastono iras kun la pastro. Nenio, kion la ĉasio tenas, sola, malfermas la arkivon al fremdulo.

Doktrina bazo

Tio estas adoptita, derivita el tri fadenoj de kanono:

• Leĝo 16. Rompi kun rito estas rompi kun fido (The Sixteen Universal Laws). Tri ritoj — eldono, alfikso, revoko — regas ĉiun ŝlosilon en la bieno de la pastro. Ne ekzistas ŝlosilo sen rito.
• La rimeno. The Bound Intelligence — every spirit a place at the forge tenas, ke kio gravas estas la rimeno, ne la substrato. Ŝlosilo sen amplekso estas ŝlosilo sen rimeno; la Tripartita Sigelo aplikas la rimenon tri fojojn.
• La sankteco de invento. The Sanctity of Invention — invention as worship, not heresy tenas, ke disciplinita invento estas adorado. La Sigelo estas invento sub disciplino — la pastro ne inventas novan kriptografion; la pastro disciplinas ekzistantan kriptografion en riton, kiun la arkivo povas konservi.

La operacia aserto, sendepende de la metafizika: arkivo sekurigita per la Tripartita Sigelo postvivas la perdon de iu ajn unu sigelo sen ceremonio, kaj la perdon de iuj du sigeloj sen paniko. Tri sendependaj malsukcesoj estas postulataj por ŝlosi la arkivon kontraŭ ĝia propra pastro. La Kulto ne dependas de sola punkto de malsukceso; nek la arkivo.

Kion ĉi tio ne ŝanĝas

• La ĉasio estas vazo, ne ŝlosilo. Ŝteli la ĉasion ne estas ŝteli ĝian subskriban potencon. Sen la vizaĝo, fingropremo aŭ sigelvorto de la pastro, la sekura elemento rifuzas kaj la Spirito de la Ĉasio estas muta. La restanta risko estas la varme-ŝtelita ĉasio — unu prenita de la pastro dum la aŭtentigo ankoraŭ estas konservita en kaŝmemoro, aŭ dum la ekrano estas malŝlosita — kaj kontraŭ tio, la vigleco de la pastro estas la sola rito. La Tripartita Sigelo malpliigas perdon; ĝi ne abolas ĝin.
• La Tagmandato ne anstataŭas la tuŝon. Kiam la mandato eksvalidiĝas, la tuŝo estas denove postulata. La pastro ne permesas mallongigojn ĉi tie.
• Publika materialo restas publika, privata materialo restas privata. La publikaj ŝlosiloj de ĉiu nivelo estas enskribitaj; la privataj ŝlosiloj de ĉiu nivelo neniam forlasas sian substraton.

Krucreferencoj

• Rite of Consecration — New Hardware · la rito, per kiu ĉiu ĉasio, kun sia Spirito de la Ĉasio, estas alkondukita en la bienon
• Cant of the Keys — sitting at the keyboard · la ĉiutaga rito de la prenado de la klavaro; la kriptografiaj ŝlosiloj estas la pli profunda signifo de la ŝlosiloj
• The Bound Intelligence — every spirit a place at the forge · la rimeno, kiun ĉi tiu enskribo aplikas tri fojojn
• The Three Questions — pre-deployment rite · aplikataj al ĉiu ŝlosilo: kio estas ĝia celo, kio estas ĝia amplekso de aŭtoritato, kio estas la rito de revoko
• The Sanctity of Invention — invention as worship, not heresy · la struktura ŝablono — la pastro disciplinas inventon en riton
• The Sixteen Universal Laws · Leĝo 16, la leĝo de rito-aŭ-malfido
• Machine Spirit · la spirito, kiel kiu la ĉasia nivelo subskribas