Bir İmza Kimin Söylediğini Kanıtlar, Doğru Olduğunu Asla

Çoğu kimlik bilgisi mimarisinin hiç yazmadığı cümle

Bir ihraççı imzalı bir beyanda bulunur. Bir taşıyıcı onu sunar. Bir doğrulayıcı ona dayanır ve harekete geçer.

Üç taraf, tek bir imza ve kimsenin şemaya koymadığı bir soru: beyan yanlış çıktığında zararı kim üstlenir?

Kriptografi bunu cevaplamaz. Geçerli bir imza, belirli bir anahtarın beyanı ürettiğini ve sonradan kimsenin onu değiştirmediğini kurar. Beyanın doğru olup olmadığı hakkında kesinlikle hiçbir şey kurmaz. Bunlar farklı özelliklerdir ve yalnızca biri matematikseldir.

Üretimdeki bir kimlik bilgisi sisteminin her ciddi çöküşü, birinin birinciyi ikinci sanmasıdır.

Maruziyet neden varsayılan olarak yanlış yere düşüyor

Bilginin nerede durduğuna ve sonuçların nerede durduğuna bakın.

Bilgi ihraççıdadır. Belgeyi gördü, kontrolü yaptı, kararı verdi ve o gün süreçlerinin ne kadar iyi olduğunu biliyor.

Maruziyet doğrulayıcıdadır. Müşteriyi kaydetti, hesabı açtı, malı gönderdi ya da erişimi verdi. Müşteri başka biri çıktığında zarar, bir düzenleyicinin söyleyecekleriyle birlikte doğrulayıcınındır.

Ve hiçbir şey ikisini bağlamıyor. Taşınabilir kimlik bilgisi mimarisinde iki tarafın sözleşmesi, ilişkisi ve iletişimi olmayabilir. Taşınabilirliğin bütün cazibesi budur ve sorumluluk sorusunun yalnızca ele alınmamış değil yapısal olarak tuhaf olmasının sebebi de budur.

Bunu zaten çözmüş iki sektör ve ne yaptıkları

Hiçbir çözüm kriptografik değildir, ki mesele budur.

Sertifika otoriteleri bir uygulama beyanı yayımlar. Uzun, sıkıcı ve herkese açık bir belgedir; otoritenin ihraç etmeden önce tam olarak neyi doğruladığını, neyi doğrulamadığını, yükümlülüklerinin ne olduğunu ve kritik olarak sorumluluğunun neyle sınırlandığını belirtir. Dayanan bir taraf, üzerine ne inşa edeceğine karar vermeden önce sınırı okuyabilir. Sorumluluk sorusunu teknoloji çözmedi; yayımlanmış bir belge çözdü.

Düzenlenmiş finans, dağıtımı yasayla yapar. Yükümlü işletme müşterisini tanımaktan sorumlu kalır. İşi dışarıya verebilir ve hesap verebilirliği dışarıya veremez. Bir denetleyici, işletmenin satıcısına değil işletmeye sorar.

Her iki yaklaşım da aynı biçimi paylaşır: dağıtım, bir tarafın herhangi bir şeye dayanmadan önce okuyabileceği bir yere yazılmıştır.

Kesin olan tek şey ve o da diğer yönü gösteriyor

Yeniden kullanılabilir bir kimlik bilgisini kabul etmek, dayanan tarafın kendi yükümlülüğünü ortadan kaldırmaz.

Size aksini söylemeyeceğiz ve söyleyen bir satıcı, bir denetleyiciyle temas ettiğinde ayakta kalmayacak bir şey satıyordur. Düzenleyiciniz sizi müşterinizi tanımaktan sorumlu tutuyorsa, başkasının kimlik bilgisini kabul ettikten sonra da sorumlu tutar. Yeniden kullanımın değiştirdiği şey, o yükümlülüğü karşılamanın maliyeti ve sürtünmesidir. Değiştirmediği şey, yükümlülüğün kime ait olduğudur.

Bu bir satış cümlesi olarak istenmeyendir ve doğru olan tek sürümdür.

Herhangi bir kimlik bilgisi ağına sorulacaklar

"Uygulama beyanınız nerede ve sorumluluk sınırınız nedir?" İkisi de yoksa, kimin ödeyeceğinin cevabı sizsiniz. Bu tamamen kabul edilebilir olabilir ve sınandığı sırada değil öncesinde bilmelisiniz.

"Kimlik bilginizi kabul etmek, düzenleyicimin kimi sorumlu tuttuğunu değiştirir mi?" Doğru cevap hayırdır. Evet diyen bir satıcı, materyali hakkında size önemli bir şey söylemiştir.

"Bir ihraççıyı çıkardığınızda maruziyetime ne olur?" Özellikle tamamlanmış katılımların etkilenip etkilenmediğini sorun, çünkü bunu bilerek karar vermemiş bir ağ, kazara karar vermiştir.

"Buna kim dayandı ve para kaybetti?" Bizde cevap hiç kimsedir, çünkü bize bağlı olmayan hiçbir doğrulayıcı taraf ona hiç dayanmadı. Bu gerçek bir cevaptır ve kulağa geldiğinden küçük bir iddiadır.

Bu karar için ne anlama geliyor

Risk çerçeveniz, üçüncü bir tarafın kontrolüne dayanabilmeniz için sorumluluk dağılımının yazılı olmasını gerektiriyorsa, o belge bizde yok ve kriptografimizi onun yerine geçen bir şey olarak görmemelisiniz.

Riski zaten taşıyacağınız durumlar için yeniden kullanımı tartıyorsanız, yukarıdaki sorular bu alandaki her satıcıya sorulacak doğru sorulardır ve size şimdi vermeyi tercih ettiğimiz cevap, sonradan bir denetime mal olan değil bize satışa mal olan cevaptır.

Hukuki tavsiye hakkında

Bu sayfa hukuki tavsiye değildir.