> Η μετάφραση παρέχεται για διευκόλυνση. Κανονιστικό είναι το αγγλικό πρωτότυπο. # Μοντέλο ασφάλειας **Προδιαγραφή του Μετα-Σύμπαντος** **Αναγνωριστικό εγγράφου:** MU-V2-FED-012 **Τίτλος:** Μοντέλο ασφάλειας και μοντέλο απειλών της ομοσπονδίας **Κατηγορία εγγράφου:** κανονιστικό **Έκδοση:** 2.0 (προσχέδιο) **Κατάσταση:** προσχέδιο εργασίας **Κανονιστικές αναφορές:** MUC, [MUFP](../03-federation/MUFP.md), [MUFP-Messages](../03-federation/MUFP-Messages.md), [Trust-Model](../03-federation/Trust-Model.md), [Consent-and-Disclosure](../03-federation/Consent-and-Disclosure.md), [MMAS-Interchange](../02-architecture/MMAS-Interchange.md), RFC 2119 **Πληροφοριακές αναφορές:** [Identity-Binding](../03-federation/Identity-Binding.md), [Conflict-Resolution](../03-federation/Conflict-Resolution.md), [Traceability](../02-architecture/Traceability.md) **Πνευματικά δικαιώματα:** © Orkestron.AI **Άδεια:** Apache-2.0 --- # 1. Σκοπός Το έγγραφο αυτό ορίζει το **μοντέλο ασφάλειας** της ομοσπονδίας του Μετα-Σύμπαντος: το μοντέλο απειλών, τις προστασίες που κάθε υλοποίηση ΟΦΕΙΛΕΙ να παρέχει, τον υπολογισμό του [διανύσματος εμπιστοσύνης](../03-federation/Trust-Model.md), τη μηχανική της ανάκλησης και τη μεταχείριση της ιδιωτικότητας και των προσωπικών δεδομένων. Υπάρχει επειδή **η εμπιστοσύνη δεν είναι ασφάλεια** ([MUC, άρθρο 15](../01-constitution/Meta-Universe-Constitution.md)). Η θεμελίωση εμπιστοσύνης απαντά στο *"πιστεύω ποιος είσαι και τι μοντελοποιείς;"*· η ασφάλεια απαντά στο *"μπορεί να εγγυηθεί η ακεραιότητα, η αυθεντικότητα και η εμπιστευτικότητα όσων ανταλλάσσουμε, ανεξάρτητα από την εμπιστοσύνη;"*. Χρειάζονται και τα δύο. --- # 2. Πεδίο εφαρμογής Το έγγραφο αυτό ισχύει για το κανάλι της ομοσπονδίας και για κάθε τεχνούργημα που το διασχίζει - φακέλους, προβολές, συμβόλαια, δεσμεύσεις ταυτότητας, σημασιολογικές αντιστοιχίσεις και γεγονότα. Δεν επιβάλλει συγκεκριμένη κρυπτογραφική σουίτα· επιβάλλει τις ιδιότητες που η σουίτα αυτή ΟΦΕΙΛΕΙ να παρέχει. --- # 3. Αρχές ασφάλειας - **Η εμπιστοσύνη δεν είναι ασφάλεια.** Η ασφάλεια ΟΦΕΙΛΕΙ να ισχύει ακόμη και όταν η εμπιστοσύνη είναι υψηλή. - **Επαλήθευσε, μετά χρησιμοποίησε.** Κάθε τεχνούργημα που λαμβάνεται ΟΦΕΙΛΕΙ να ταυτοποιείται και να ελέγχεται ως προς την ακεραιότητά του πριν επηρεάσει οποιαδήποτε απόφαση. - **Ελάχιστη γνώση εκ κατασκευής.** Το πρωτόκολλο ΟΦΕΙΛΕΙ να καθιστά την υπερβολική αποκάλυψη δύσκολη, όχι απλώς αποθαρρυμένη. - **Η ιστορία είναι τεκμήριο.** Τα συμβάντα που άπτονται της ασφάλειας ΟΦΕΙΛΟΥΝ να καταγράφονται ως αμετάβλητα [γεγονότα](../04-core-concepts/Event.md). --- # 4. Περιουσιακά στοιχεία και όρια εμπιστοσύνης Τα στοιχεία που μια ομοσπονδία οφείλει να προστατεύει: | Στοιχείο | Γιατί έχει σημασία | |-------|----------------| | Δεσμεύσεις ταυτότητας | Μια πλαστή δέσμευση επιτρέπει σε επιτιθέμενο να υποδυθεί τον σύνδεσμο ανάμεσα σε δύο πραγματικές οντότητες. | | Σημασιολογικές αντιστοιχίσεις | Μια δηλητηριασμένη αντιστοίχιση αλλάζει σιωπηλά το νόημα στο πέρασμα του ορίου. | | Προβολές | Η πράγματι αποκαλυπτόμενη γνώση· ο στόχος της εμπιστευτικότητας. | | Γεγονότα και σημασιολογική καταγωγή | Το αρχείο της αλήθειας· η δηλητηρίασή του διαφθείρει κάθε παράγωγο συμπέρασμα. | | Συμβόλαια | Η βάση εξουσιοδότησης για κάθε αποκάλυψη. | | Κατάσταση εμπιστοσύνης | Καθορίζει τι επιτρέπεται· η αλλοίωσή της κλιμακώνει προνόμια. | Το όριο εμπιστοσύνης είναι η άκρη κάθε κυρίαρχου Σύμπαντος. Ό,τι το διασχίζει θεωρείται μη έμπιστο έως ότου επαληθευθεί. --- # 5. Μοντέλο απειλών Για κάθε κύρια απειλή, ο ΑΠΑΙΤΟΥΜΕΝΟΣ μετριασμός: | # | Απειλή | Μετριασμός (ΟΦΕΙΛΕΙ) | |---|--------|--------------------| | T1 | **Πλαστή ταυτότητα / πλαστή δέσμευση ταυτότητας** | Ταυτοποίηση του μέρους `from` κάθε φακέλου· κάθε συμφωνία ταυτότητας δένεται σε επαληθεύσιμα τεκμήρια και σε υπογραφή· απόρριψη των μη επαληθεύσιμων δεσμεύσεων. | | T2 | **Παραποιημένο ωφέλιμο φορτίο** (μοντέλο, προβολή, αντιστοίχιση) | Επαλήθευση του [σημασιολογικού αποτυπώματος](../02-architecture/MMAS-Interchange.md) κάθε φορτίου MUIF κατά τη λήψη· αποτυχία με `MUFP-E-FINGERPRINT-MISMATCH`. | | T3 | **Δηλητηριασμένη σημασιολογική αντιστοίχιση** | Οι αντιστοιχίσεις ΟΦΕΙΛΟΥΝ να δηλώνουν αρχή και να καρφιτσώνονται με αποτύπωμα σε συγκεκριμένες εκδόσεις μοντέλων· αντιστοίχιση που δεν ταιριάζει και με τα δύο αποτυπώματα ΟΦΕΙΛΕΙ να απορρίπτεται. | | T4 | **Δηλητηρίαση γεγονότων ή καταγωγής** | Τα γεγονότα ΟΦΕΙΛΟΥΝ να είναι αμετάβλητα και υπογεγραμμένα ως προς την προέλευσή τους· τα παράγωγα δεδομένα ΟΦΕΙΛΟΥΝ να μπορούν να επανυπολογιστούν από υπογεγραμμένα γεγονότα-πηγές. | | T5 | **Διαρροή προβολής / υπερβολική αποκάλυψη** | Καμία προβολή ΔΕΝ ΠΡΕΠΕΙ να επιστρέφεται χωρίς αποδεκτό συμβόλαιο και δηλωμένο σκοπό· τα πεδία εκτός συμβολαίου ΟΦΕΙΛΟΥΝ να παραλείπονται κατά την παραγωγή, όχι να φιλτράρονται εκ των υστέρων. | | T6 | **Επανάληψη** ενός φακέλου που υποκλάπηκε | Οι φάκελοι ΟΦΕΙΛΟΥΝ να φέρουν μοναδικό `messageId` και `sentAt`· οι παραλήπτες ΟΦΕΙΛΟΥΝ να απορρίπτουν διπλότυπα και παλιές χρονοσημάνσεις εκτός συμφωνημένου παραθύρου. | | T7 | **Ενδιάμεσος** στο κανάλι | Η σύνδεση μεταφοράς ΟΦΕΙΛΕΙ να παρέχει ταυτοποιημένη κρυπτογράφηση (π.χ. TLS)· οι φάκελοι ΠΡΕΠΕΙ επιπλέον να υπογράφονται από άκρο σε άκρο. | | T8 | **Κλιμάκωση προνομίων μέσω παρωχημένης εμπιστοσύνης ή συμβολαίου** | Η ανάκληση ΟΦΕΙΛΕΙ να ισχύει αμέσως και να διαδίδεται (ενότητα 8)· οι αναφορές σε ανακληθέντα στοιχεία ΟΦΕΙΛΟΥΝ να αποτυγχάνουν με `MUFP-E-REVOKED`. | | T9 | **Αποποίηση** | Οι ενέργειες που άπτονται της ασφάλειας (δέσμευση, αποκάλυψη, ανάκληση) ΟΦΕΙΛΟΥΝ να καταγράφονται ως υπογεγραμμένα γεγονότα, διατηρώντας τη μη αποποίηση. | | T10 | **Άρνηση υπηρεσίας** | Τα σημεία πρόσβασης ΠΡΕΠΕΙ να περιορίζουν τον ρυθμό (`MUFP-E-RATE-LIMITED`) και να φράσσουν το κόστος της επικύρωσης και του υπολογισμού αποτυπωμάτων. | --- # 6. Ταυτοποίηση και ακεραιότητα του φακέλου - Κάθε [φάκελος MUFP](../03-federation/MUFP-Messages.md) ΠΡΕΠΕΙ να φέρει αποσπασμένη `signature` επί της **κανονικής μορφής** του φακέλου (κατά το [MMAS-Interchange](../02-architecture/MMAS-Interchange.md)) με το πεδίο `signature` αφαιρεμένο. Η κανονικοποίηση κάνει τα υπογεγραμμένα byte αναπαραγώγιμα μεταξύ υλοποιήσεων. - Ο παραλήπτης ΟΦΕΙΛΕΙ να επαληθεύσει την υπογραφή έναντι κλειδιού δεμένου με την ταυτότητα `from` πριν ενεργήσει βάσει του μηνύματος. Ανυπόγραφος φάκελος ΟΦΕΙΛΕΙ να θεωρείται **μη επαληθευμένος** και ΔΕΝ ΠΡΕΠΕΙ να χρησιμοποιείται για αποκάλυψη προστατευμένης γνώσης. - Κάθε φορτίο MUIF μέσα στο σώμα ΟΦΕΙΛΕΙ να περνά ανεξάρτητα την επαλήθευση αποτυπώματος (T2), ώστε ένας έγκυρος φάκελος να μην μπορεί να περάσει λαθραία παραποιημένο μοντέλο. --- # 7. Υπολογισμός του διανύσματος εμπιστοσύνης Το [μοντέλο εμπιστοσύνης](../03-federation/Trust-Model.md) ορίζει έξι διαστάσεις. Η ενότητα αυτή τις καθιστά υπολογίσιμες, ώστε μια `TrustResponse` να είναι αναπαραγώγιμη και εξηγήσιμη. Κάθε διάσταση βαθμολογείται στο `[0.0, 1.0]` από δηλωμένες, επαληθεύσιμες εισόδους: | Διάσταση | Βαθμολογείται από | |-----------|-------------| | `identity` | ισχύ της ταυτοποίησης της ταυτότητας του αντισυμβαλλομένου (π.χ. επαληθευμένο DID, αλυσίδα πιστοποιητικών) | | `semantic` | επίπεδο επικύρωσης των μοντέλων του αντισυμβαλλομένου (V0-V5) και ποιότητα των αντιστοιχίσεων | | `governance` | τεκμήρια ωριμότητας διακυβέρνησης (έλεγχοι, πιστοποιήσεις) | | `contract` | ιστορικό τηρημένων έναντι παραβιασμένων συμβολαίων | | `operational` | διαθεσιμότητα / αποκρισιμότητα / συμμόρφωση του σημείου πρόσβασης | | `historical` | διάρκεια και ιστορικό περιστατικών προηγούμενης ομοσπονδίας | Μια απόφαση ομοσπονδίας είναι **συνάρτηση του διανύσματος και του σκοπού**, όχι ένα μονό βαθμωτό μέγεθος. Μια πολιτική ΟΦΕΙΛΕΙ να ορίζει, ανά σκοπό, την ελάχιστη απαιτούμενη βαθμολογία σε κάθε διάσταση· ένα αίτημα γίνεται δεκτό μόνο αν κάθε απαιτούμενη διάσταση φτάνει το κατώφλι της. Η απόφαση ΟΦΕΙΛΕΙ να καταγράφει το διάνυσμα και την πολιτική που εφαρμόστηκε, ώστε να μπορεί να εξηγηθεί, να ιχνηλατηθεί και να επανεξεταστεί. Η εμπιστοσύνη ΔΕΝ ΠΡΕΠΕΙ να ανάγεται σε έναν μέσο όρο που κρύβει μια διάσταση που αποτυγχάνει. --- # 8. Ανάκληση και διάδοση Η εμπιστοσύνη, τα συμβόλαια και οι δεσμεύσεις ταυτότητας είναι ανακλητά ανά πάσα στιγμή μέσω μηνύματος `Revoke` ([MUFP-Messages §9](../03-federation/MUFP-Messages.md)). - Η ανάκληση ΟΦΕΙΛΕΙ να ισχύει με τη λήψη της και ΟΦΕΙΛΕΙ να καταγράφεται ως αμετάβλητο [γεγονός](../04-core-concepts/Event.md)· το ανακληθέν στοιχείο **τερματίζεται, δεν σβήνεται** (η ιστορία διατηρείται). - Μετά την ανάκληση, κάθε αναφορά στο ανακληθέν στοιχείο ΟΦΕΙΛΕΙ να αποτυγχάνει με `MUFP-E-REVOKED`, και η μηχανή καταστάσεων της ομοσπονδίας ΟΦΕΙΛΕΙ να υποβιβάζεται στην κατάσταση που προηγούνταν του ανακληθέντος στοιχείου. - Μέρος που έχει μοιραστεί παρακάτω μια ανακληθείσα προβολή ΟΦΕΙΛΕΙ να διαδώσει την ανάκληση στους δικούς του καταναλωτές, τηρώντας τους όρους `no-onward-disclosure` και διατήρησης του συμβολαίου που διέπει τη σχέση. - Η διάδοση της ανάκλησης ΠΡΕΠΕΙ να είναι έγκαιρη· η μέγιστη καθυστέρηση διάδοσης ΠΡΕΠΕΙ να αναφέρεται στο συμβόλαιο ομοσπονδίας. --- # 9. Ιδιωτικότητα και προσωπικά δεδομένα Το Μετα-Σύμπαν χρησιμοποιείται συχνά για την ομοσπονδοποίηση πληροφοριών για ανθρώπους, οπότε η ιδιωτικότητα είναι μέλημα πρώτης τάξεως, όχι εκ των υστέρων σκέψη. - **Δέσμευση στον σκοπό.** Τα προσωπικά δεδομένα ΟΦΕΙΛΟΥΝ να αποκαλύπτονται μόνο για τον ρητό σκοπό ενός αποδεκτού συμβολαίου ([MUC, άρθρα 11-13](../01-constitution/Meta-Universe-Constitution.md)). - **Ευθυγράμμιση με το υποκείμενο των δεδομένων.** Όπου μια προβολή αφορά πρόσωπο, το μοντέλο ΠΡΕΠΕΙ να προσδιορίζει τον ρόλο του υποκειμένου των δεδομένων, ώστε τα δικαιώματά του (πρόσβαση, διόρθωση, διαγραφή των παρακάτω αντιγράφων, περιορισμός) να μπορούν να ασκηθούν μέσω τροποποίησης και ανάκλησης του συμβολαίου. Αυτό ευθυγραμμίζεται με καθεστώτα τύπου GDPR χωρίς να δεσμεύει το πρότυπο σε καμία μεμονωμένη δικαιοδοσία. - **Ελαχιστοποίηση.** Η ελάχιστη γνώση (T5) είναι η τεχνική έκφραση της ελαχιστοποίησης δεδομένων: η προβολή φέρει μόνο τα πεδία που έχουν συμφωνηθεί. - **Διαγραφή έναντι ιστορίας.** Η αμετάβλητη ιστορία γεγονότων καταγράφει *ότι* έγινε μια αποκάλυψη και *ότι* αργότερα ανακλήθηκε· ΔΕΝ ΠΡΕΠΕΙ να χρησιμοποιείται για να διατηρηθεί το προσωπικό φορτίο πέρα από τον χρόνο διατήρησης του συμβολαίου. Η διαγραφή αφορά τα αποκαλυφθέντα προσωπικά δεδομένα· δεν ξαναγράφει τον έλεγχο της ίδιας της απόφασης αποκάλυψης. --- # 10. Ζητήματα ασφάλειας για τα έγγραφα της ομοσπονδίας Κάθε έγγραφο στο `03-federation/` ΠΡΕΠΕΙ να φέρει σύντομη σημείωση **ζητημάτων ασφάλειας** που να προσδιορίζει τις απειλές τις οποίες αφορά και να παραπέμπει εδώ. Τα έγγραφα των μηχανισμών αντιστοιχούν στο μοντέλο αυτό ως εξής: | Έγγραφο | Κύριες απειλές | |----------|-----------------| | [Identity-Binding](../03-federation/Identity-Binding.md) | T1, T9 | | [Semantic-Mapping](../03-federation/Semantic-Mapping.md) | T3 | | [Consent-and-Disclosure](../03-federation/Consent-and-Disclosure.md) | T5, ιδιωτικότητα | | [Synchronization](../03-federation/Synchronization.md) | T4, T6 | | [Trust-Model](../03-federation/Trust-Model.md) | T7, T8 | | [MUFP-Messages](../03-federation/MUFP-Messages.md) | T2, T6, T7, T10 | --- # 11. Συμμόρφωση Μια υλοποίηση ομοσπονδίας συμμορφώνεται με το μοντέλο αυτό όταν: - ταυτοποιεί το μέρος `from` και επαληθεύει την ακεραιότητα του φακέλου πριν από τη χρήση· - επαληθεύει το σημασιολογικό αποτύπωμα κάθε φορτίου MUIF· - απορρίπτει αντιστοιχίσεις που δεν είναι καρφιτσωμένες στα αποτυπώματα και των δύο μοντέλων· - δεν επιστρέφει καμία προβολή χωρίς αποδεκτό συμβόλαιο και δηλωμένο σκοπό· - απορρίπτει επαναλήψεις και παλιά μηνύματα· - εφαρμόζει την ανάκληση αμέσως, την καταγράφει ως γεγονός και τη διαδίδει· - υπολογίζει και καταγράφει το διάνυσμα εμπιστοσύνης και την πολιτική σκοπού για κάθε απόφαση. --- # 12. Αρχιτεκτονικές αναλλοίωτες - Η ασφάλεια ΔΕΝ ΠΡΕΠΕΙ να εξαρτάται από το να είναι υψηλή η εμπιστοσύνη. - Κάθε τεχνούργημα που διασχίζει το όριο ΟΦΕΙΛΕΙ να ταυτοποιείται και να ελέγχεται ως προς την ακεραιότητά του. - Η ανάκληση ΟΦΕΙΛΕΙ να είναι άμεση, καταγεγραμμένη και διαδιδόμενη. - Τα προσωπικά δεδομένα ΟΦΕΙΛΟΥΝ να είναι δεσμευμένα στον σκοπό και ελαχιστοποιημένα. - Ο έλεγχος μιας απόφασης ΟΦΕΙΛΕΙ να επιβιώνει της διαγραφής των δεδομένων που η απόφαση αφορούσε. --- # Μελλοντικές κατευθύνσεις - Ένα **κρυπτογραφικό προφίλ** (σουίτες υπογραφών, μορφές κλειδιών, μέθοδοι DID) - προς ανάπτυξη από κοινού με το [αποκεντρωμένο μητρώο](../06-ecosystem/Decentralized-Registry.md). - Μοτίβα **εμπιστευτικού υπολογισμού**, ώστε μια προβολή να μπορεί να υπολογιστεί επί δεδομένων που ποτέ δεν αποκαλύπτονται σε καθαρή μορφή, και [πιστοποίηση πολιτικών μηδενικής γνώσης](../03-federation/Zero-Knowledge-Attestation.md), ώστε ένα Σύμπαν να μπορεί να αποδείξει τη συμμόρφωσή του χωρίς να αποκαλύψει το μοντέλο του. - Μια **σουίτα δοκιμών συμμόρφωσης ασφάλειας** μέσα στο Semantic Test Kit (οδικός χάρτης WS6). --- # Τελική δήλωση > Η εμπιστοσύνη κρίνει αν δύο σύμπαντα *θέλουν* να μοιραστούν νόημα. Η ασφάλεια εγγυάται > ότι αυτό που περνά ανάμεσά τους είναι ακριβώς το συμφωνημένο - τίποτε παραπάνω, αναλλοίωτο, > αποδόσιμο και ανακλητό. Το Μετα-Σύμπαν χρειάζεται και τα δύο.