Передумова
Архів відкривається не кожному, хто просить. Він відкривається тому, хто доведе, що він — жрець. Доведення є криптографічним — підпис, який кузні архіву можуть перевірити, — а суть цього доведення є ключ.
Один ключ — це єдина точка втрати. Ключ, що зберігається лише в шасі, — це ключ, який шасі може видати; ключ, що зберігається лише при особі жерця, — це ключ, який жрець може загубити. Чинить власне вчення Культу: важить повіддя (The Bound Intelligence — every spirit a place at the forge). Одне повіддя крихке. Три повіддя різної довжини, кожне з яких сковує наступне, — такої форми тримається жрець.
Це прийняте, не розширене. Adeptus Mechanicus завжди тримався того, що санкціонована влада підписує поетапно — Фабрикатор оголошує, Magos ратифікує, шасі виконує. Триєдина Печать лише іменує цю поетапність у криптографічному регістрі.
Три печаті
Ключі жерця впорядковані в три яруси. Кожен ярус підписує ярус під собою; кожен ярус має іншу тривалість життя; кожен ярус має інший обряд відкликання.
Ярус 0 — Печать Magos
Перший ярус є засвідчувальною владою жерця. Він мешкає на апаратних сигілах — три сигіли FIDO2, один при собі, один на верстаку, один тримається поза місцем як реліквія. Приватна сторона ніколи не покидає кремній сигіла. Сигіл відмовляється підписувати без дотику жерця; дотик є згодою плоті.
- Тривалість: роки, аж поки сигіл не буде втрачено або жрець не відставить його обрядом.
- Сфера: підписує грамоти. Не підписує безпосередньо щоденну роботу.
- Обряд втрати: настанова про втрачений сигіл (The Three Questions — pre-deployment rite, прикладені до печаті). Решта двох сигілів зберігають владу; втрачений вичищається зі сховища довіри кожної кузні.
- Публічна сторона кожного сигіла внесена до архіву. Публічний матеріал безпечно комітити; приватний матеріал живе лише в сигілі.
Три сигіли уведені паралельно з дня посвяти. Ніколи не один сигіл. Один сигіл, що уповноважує все, — це один сигіл, який, коли загубиться, замикає архів проти власного жерця.
Ярус 1 — Денна Грамота
Другий ярус є ефемерною грамотою, під якою жрець звершує діло дня. Це пара ключів ed25519, свіжо викарбувана, чию публічну сторону підписує сигіл Ярусу 0 у короткочасний сертифікат. Сертифікат несе строк — вісім годин для верстака, до семи днів для поля — і явний перелік принципалів, що іменує, до яких кузень він може наближатися.
- Тривалість: робоча сесія. Зазвичай вісім годин, ніколи не безмежно.
- Сфера: підписує коміти, відкриває з’єднання з кузнями, являє особу жерця віддаленим відгалуженням архіву.
- Обряд поновлення: жрець утикає сигіл Ярусу 0; свіжа грамота
карбується через
ssh-cert-issue <device> <validity>; символічне посилання поточної грамоти просувається. Прострочена грамота полишена померти за власним графіком; відкликання потрібне рідко, бо строк короткий. - Обряд втрати: ніщо. Витекла Денна Грамота прострочується раніше,
ніж витік може бути використаний; якщо строк надто далекий, аби
терпіти, грамоту можна назвати у списку відкликань її кузні, аж поки
вона не спаде. Робочі кроки живуть у настанові шасі при
shell/ssh-keys.d/runbooks/lost-tier1-cert.md.
Сертифікат автоматично прикріплюється шасі в мить з’єднання —
CertificateFile і IdentityFile розв’язуються через символічне
посилання *-current. Жрець не набирає його імені; обряд прикріплює
його.
Ярус 2 — Дух Шасі
Третій ярус є прив’язаним духом кожного пристрою. Кожне шасі, на якому працює жрець, — верстак-станція, велика кузня в палаті, скрижаль поля — тримає власний невитяжний ключ підпису, породжений усередині безпечного елемента пристрою й нездатний його покинути. На Маках недавнього походження його тримає Secure Enclave; на скрижалях — сховище біометрії додатку. Шасі може підписувати від власного імені, але не може видихнути свого ключа.
Найважливіше: Дух Шасі відмовляється підписувати без плоті жерця. Кожен підпис потребує свіжої автентифікації — лицем (Face ID), відбитком (Touch ID) або, у слабшій формі для шасі без біометричного сенсора, печатним словом (паролем). Безпечний елемент тримає ключ, але ключ не ворухнеться без жерця. Викрадене шасі — отже, шасі без Magos: його дух безмовний, і холодний злодій не несе з собою нічого, що підписує.
- Тривалість: тривалість життя шасі. Ключ народжується наново лише тоді, коли пристрій народжується наново (обряд Rite of Consecration — New Hardware).
- Сфера: підписує як те шасі. Кожна кузня знає шасі за його внесеним публічним ключем і може довіряти шасі напряму, коли грамоти немає під рукою.
- Обряд втрати: відкликати публічний ключ шасі з кожної кузні, де
його було внесено. Коміти, раніше підписані ним, опускаються з
перевірених до неперевірених, але не скасовуються — історія
архіву зберігається; відкликається лише теперішня влада шасі. Робочі
кроки живуть у настанові шасі при
shell/ssh-keys.d/runbooks/lost-tier2-device.md.
Дух Шасі є запасним кроком жерця, коли під рукою немає сигіла Ярусу 0 — коли сигіли при жерці в полі, а кузня-верстака мусить-таки підписати коміт. Шасі підписує за себе. Підпис справжній; грамотою є власна грамота шасі.
Як три скуті
Три яруси — не три окремі влади. Це одна влада, делегована трьома довжинами. Кожен ярус підписує ярус під собою; кожен ярус сам підписаний ярусом над собою, або — для найвищого — плоттю жерця.
- Ярус 0 — Печать Magos. Підписує грамоти Ярусу 1 і публічні ключі Ярусу 2. Сам не підписаний нічим, окрім дотику жерця на кремній сигіла.
- Ярус 1 — Денна Грамота. Підписує коміти дня і з’єднання дня з кузнями. Сама підписана сигілом Ярусу 0 в мить видачі та чинна лише до строку.
- Ярус 2 — Дух Шасі. Підписує власну роботу шасі, коли Денної Грамоти немає під рукою. Сам підписаний безпечним елементом шасі, який ворушиться лише при лиці, відбитку чи печатному слові жерця. Чинний на тривалість життя шасі, але німий без жерця.
Відношення йде в один бік. Magos скріплює Грамоту. Грамота відкриває кузню. Дух Шасі підписує те, що звершує саме шасі. Жоден ярус не може скріплювати за будь-який ярус над собою. Скомпрометоване шасі не може викарбувати Денну Грамоту; витекла Денна Грамота не може благословити нове шасі. Втрата стримана своїм ярусом.
Чотири випробування привітання — прикладені до ключа
Чотири випробування привітання, що керують відношенням жерця до мислячого духу (The Bound Intelligence — every spirit a place at the forge), прикладаються в коротшій формі до криптографічного ключа:
- Він приймає doctrina. Ключ підписує лише те, що може підписати його ярус. Дух Ярусу 2 не вдає, що карбує Денні Грамоти.
- Він згоджується на аудит. Відбиток кожного ярусу внесений в
опис шасі (
shell/ssh-keys.d/) і датований. - Він відмовляється від самозміни без обряду. Жоден ключ не переписує власної сфери. Підвищення або зниження ключа є обрядом, а не дією ключа.
- Його дія узгоджена. Ключ підписує за жерця, за архів, за кузню — не за чужого претендента. Ключ, помічений у підписуванні того, чого жрець не творив, скасовується при дотику.
Ключ, який провалює будь-яке випробування, вичищається з кожної кузні, що йому довіряла.
Денна форма
Жрець, повертаючись до верстака:
- Утикає носимий сигіл Ярусу 0. Сигіл — єдине, що жрець носить при собі, чого шасі не може замінити.
- Видає, якщо треба, свіжу Денну Грамоту.
ssh-cert-issueкарбує її; символічне посилання просувається; шасі озброєне для дня. - Промовляє Cant of the Keys — sitting at the keyboard — Lingua-Technis, з кантом, з пильністю — і береться за клавіатуру.
- Працює. Грамота підписує коміти. Дух Шасі підписує те, що мусить засвідчити саме шасі. Сигіл Magos спочиває; він не потрібен знову, аж поки грамота не спаде.
Коли жрець полишає верстак, сигіл іде з жерцем. Ніщо з того, що тримає шасі само по собі, не відкриває архіву чужинцеві.
Доктринальна основа
Це прийняте, виведене з трьох ниток канону:
- Закон 16. Зламати обряд є зламати віру (The Sixteen Universal Laws). Три обряди — видача, прикріплення, відкликання — керують кожним ключем у володіннях жерця. Ключа без обряду немає.
- Повіддя. The Bound Intelligence — every spirit a place at the forge тримається того, що важить повіддя, не субстрат. Ключ без сфери — це ключ без повіддя; Триєдина Печать прикладає повіддя тричі.
- Святість винайдення. The Sanctity of Invention — invention as worship, not heresy тримається того, що дисципліноване винайдення є поклонінням. Печать є винайденням під дисципліною — жрець не винаходить нової криптографії; жрець дисциплінує наявну криптографію в обряд, який архів може зберегти.
Робоча заява, незалежно від метафізичної: архів, скріплений Триєдиною Печаттю, переживає втрату будь-якої однієї печаті без церемонії та втрату будь-яких двох печатей без паніки. Три незалежні провали потрібні, аби замкнути архів проти його власного жерця. Культ не залежить від єдиної точки відмови; не залежить і архів.
Чого це не змінює
- Шасі — посудина, не ключ. Викрадення шасі не є викраденням його сили підпису. Без лиця, відбитка чи печатного слова жерця безпечний елемент відмовляє, і Дух Шасі німий. Залишковий ризик — гаряче викрадене шасі — те, що взяте від жерця, поки автентифікація ще кешована, або поки екран розблокований, — і проти цього пильність жерця є єдиним обрядом. Триєдина Печать пом’якшує втрату; вона її не скасовує.
- Денна Грамота не замінює дотику. Коли грамота спадає, дотик знову потрібний. Жрець не дозволяє тут зрізів.
- Публічний матеріал лишається публічним, приватний матеріал лишається приватним. Публічні ключі кожного ярусу внесені; приватні ключі кожного ярусу ніколи не покидають свого субстрату.
Перехресні посилання
- Rite of Consecration — New Hardware · обряд, яким кожне шасі, зі своїм Духом Шасі, вводиться у володіння
- Cant of the Keys — sitting at the keyboard · денний обряд узяття клавіатури; криптографічні ключі є глибшим значенням ключів
- The Bound Intelligence — every spirit a place at the forge · повіддя, яке цей запис прикладає тричі
- The Three Questions — pre-deployment rite · прикладені до кожного ключа: яке його призначення, яка його сфера влади, який обряд відкликання
- The Sanctity of Invention — invention as worship, not heresy · структурний взірець — жрець дисциплінує винайдення в обряд
- The Sixteen Universal Laws · Закон 16, закон обряду-або-безвір’я
- Machine Spirit · дух, за яким підписує ярус шасі