> Перевод даётся для удобства чтения. Нормативным является английский оригинал. # Модель безопасности **Спецификация Мета-Вселенной** **Идентификатор документа:** MU-V2-FED-012 **Название:** Модель безопасности и модель угроз федерации **Класс документа:** нормативный **Версия:** 2.0 (черновик) **Статус:** рабочий черновик **Нормативные ссылки:** MUC, [MUFP](../03-federation/MUFP.md), [MUFP-Messages](../03-federation/MUFP-Messages.md), [Trust-Model](../03-federation/Trust-Model.md), [Consent-and-Disclosure](../03-federation/Consent-and-Disclosure.md), [MMAS-Interchange](../02-architecture/MMAS-Interchange.md), RFC 2119 **Информативные ссылки:** [Identity-Binding](../03-federation/Identity-Binding.md), [Conflict-Resolution](../03-federation/Conflict-Resolution.md), [Traceability](../02-architecture/Traceability.md) **Копирайт:** © Orkestron.AI **Лицензия:** Apache-2.0 --- # 1. Назначение Этот документ определяет **модель безопасности** федерации Мета-Вселенной: модель угроз, защиты, которые ОБЯЗАНА обеспечивать каждая реализация, вычисление [вектора доверия](../03-federation/Trust-Model.md), механику отзыва и обращение с приватностью и персональными данными. Он существует потому, что **доверие - это не безопасность** ([статья 15 MUC](../01-constitution/Meta-Universe-Constitution.md)). Установление доверия отвечает на вопрос *"верю ли я, кто вы и что вы моделируете?"*; безопасность отвечает на вопрос *"можно ли гарантировать целостность, подлинность и конфиденциальность того, чем мы обмениваемся, независимо от доверия?"*. Нужно и то, и другое. --- # 2. Область применения Этот документ применяется к каналу федерации и к каждому артефакту, который через него проходит, - конвертам, проекциям, контрактам, привязкам идентичностей, семантическим отображениям и событиям. Он не предписывает конкретный криптографический набор; он предписывает свойства, которые этот набор ОБЯЗАН обеспечивать. --- # 3. Принципы безопасности - **Доверие - это не безопасность.** Безопасность ОБЯЗАНА держаться и тогда, когда доверие высоко. - **Сначала проверь, потом используй.** Каждый полученный артефакт ОБЯЗАН пройти аутентификацию и проверку целостности прежде, чем повлияет на какое-либо решение. - **Наименьшее знание по построению.** Протокол ОБЯЗАН делать избыточное разглашение трудным, а не просто нежелательным. - **История - это доказательство.** Значимые для безопасности события ОБЯЗАНЫ записываться как неизменяемые [события](../04-core-concepts/Event.md). --- # 4. Активы и границы доверия Активы, которые федерация обязана защищать: | Актив | Почему это важно | |-------|----------------| | Привязки идентичностей | Подделанная привязка позволяет атакующему выдать себя за связь между двумя реальными сущностями. | | Семантические отображения | Отравленное отображение молча меняет смысл на границе. | | Проекции | Собственно раскрываемое знание; цель конфиденциальности. | | События и семантическое происхождение | Запись истины; её отравление портит любой производный вывод. | | Контракты | Основание авторизации для всякого разглашения. | | Состояние доверия | Определяет, что разрешено; его порча повышает привилегии. | Граница доверия проходит по краю каждой суверенной Вселенной. Всё, что её пересекает, считается недоверенным, пока не проверено. --- # 5. Модель угроз Для каждой основной угрозы - ТРЕБУЕМАЯ мера защиты: | # | Угроза | Мера защиты (ОБЯЗАНА) | |---|--------|--------------------| | T1 | **Подмена идентичности / подделка привязки идентичностей** | Аутентифицировать сторону `from` каждого конверта; привязывать каждое соглашение об идентичности к проверяемым свидетельствам и подписи; отвергать непроверяемые привязки. | | T2 | **Изменённая полезная нагрузка** (модель, проекция, отображение) | Проверять [семантический отпечаток](../02-architecture/MMAS-Interchange.md) каждой полезной нагрузки MUIF при получении; отказывать с `MUFP-E-FINGERPRINT-MISMATCH`. | | T3 | **Отравленное семантическое отображение** | Отображения ОБЯЗАНЫ объявлять источник полномочий и быть закреплены отпечатками за конкретными версиями моделей; отображение, не совпадающее с обоими отпечатками, ОБЯЗАНО отвергаться. | | T4 | **Отравление событий / происхождения** | События ОБЯЗАНЫ быть неизменяемыми и подписанными по происхождению; производные факты ОБЯЗАНЫ пересчитываться из подписанных исходных событий. | | T5 | **Утечка проекции / избыточное разглашение** | Ни одна проекция НЕ ДОЛЖНА возвращаться без принятого контракта и объявленной цели; поля вне контракта ОБЯЗАНЫ опускаться при порождении, а не отфильтровываться потом. | | T6 | **Повтор** перехваченного конверта | Конверты ОБЯЗАНЫ нести уникальный `messageId` и `sentAt`; получатели ОБЯЗАНЫ отвергать дубликаты и устаревшие отметки времени вне согласованного окна. | | T7 | **Человек посередине** на канале | Транспортная привязка ОБЯЗАНА обеспечивать аутентифицированное шифрование (например, TLS); конвертам СЛЕДУЕТ вдобавок подписываться из конца в конец. | | T8 | **Повышение привилегий через устаревшее доверие или контракт** | Отзыв ОБЯЗАН вступать в силу немедленно и распространяться (раздел 8); обращения к отозванным элементам ОБЯЗАНЫ завершаться ошибкой `MUFP-E-REVOKED`. | | T9 | **Отказ от авторства** | Значимые для безопасности действия (привязка, разглашение, отзыв) ОБЯЗАНЫ записываться как подписанные события, сохраняя неотрекаемость. | | T10 | **Отказ в обслуживании** | Конечным точкам СЛЕДУЕТ ограничивать частоту (`MUFP-E-RATE-LIMITED`) и ограничивать стоимость проверки и вычисления отпечатков. | --- # 6. Аутентификация и целостность конверта - Каждому [конверту MUFP](../03-federation/MUFP-Messages.md) СЛЕДУЕТ нести отделённую `signature` над **канонической формой** конверта (по [MMAS-Interchange](../02-architecture/MMAS-Interchange.md)) с удалённым полем `signature`. Канонизация делает подписываемые байты воспроизводимыми между реализациями. - Получатель ОБЯЗАН проверить подпись по ключу, связанному с идентичностью `from`, прежде чем действовать по сообщению. Неподписанный конверт ОБЯЗАН считаться **непроверенным** и НЕ ДОЛЖЕН использоваться для разглашения защищаемого знания. - Каждая полезная нагрузка MUIF внутри тела ОБЯЗАНА независимо проходить проверку отпечатка (T2), чтобы действительный конверт не смог провезти изменённую модель. --- # 7. Вычисление вектора доверия [Модель доверия](../03-federation/Trust-Model.md) определяет шесть измерений. Этот раздел делает их вычислимыми, чтобы `TrustResponse` был воспроизводим и объясним. Каждое измерение оценивается в `[0.0, 1.0]` по объявленным, проверяемым входным данным: | Измерение | По чему оценивается | |-----------|-------------| | `identity` | сила аутентификации идентичности контрагента (например, проверенный DID, цепочка сертификатов) | | `semantic` | уровень валидации моделей контрагента (V0-V5) и качество отображений | | `governance` | свидетельства зрелости управления (аудиты, сертификации) | | `contract` | история соблюдённых и нарушенных контрактов | | `operational` | доступность / отзывчивость / соответствие конечной точки | | `historical` | длительность и история инцидентов прежней федерации | Решение о федерации есть **функция от вектора и цели**, а не от одного скаляра. Политика ОБЯЗАНА задавать для каждой цели минимально требуемую оценку по каждому измерению; запрос принимается лишь тогда, когда каждое требуемое измерение достигает своего порога. Решение ОБЯЗАНО записывать вектор и применённую политику, чтобы его можно было объяснить, проследить и пересмотреть. Доверие НЕ ДОЛЖНО сводиться к одному усреднённому числу, которое прячет провальное измерение. --- # 8. Отзыв и его распространение Доверие, контракты и привязки идентичностей отзывны в любой момент сообщением `Revoke` ([MUFP-Messages §9](../03-federation/MUFP-Messages.md)). - Отзыв ОБЯЗАН вступать в силу по получении и ОБЯЗАН записываться как неизменяемое [событие](../04-core-concepts/Event.md); отозванный элемент **завершён, а не стёрт** (история сохраняется). - После отзыва любое обращение к отозванному элементу ОБЯЗАНО завершаться ошибкой `MUFP-E-REVOKED`, а автомат состояний федерации ОБЯЗАН понизиться до состояния, предшествовавшего отозванному элементу. - Сторона, передавшая отозванную проекцию дальше по цепочке, ОБЯЗАНА распространить отзыв своим потребителям, соблюдая условия `no-onward-disclosure` и сроки хранения управляющего контракта. - Распространению отзыва СЛЕДУЕТ быть своевременным; максимальную задержку распространения СЛЕДУЕТ указывать в контракте федерации. --- # 9. Приватность и персональные данные Мета-Вселенная часто используется для федерации сведений о людях, поэтому приватность здесь - первоклассная забота, а не запоздалая мысль. - **Привязка к цели.** Персональные данные ОБЯЗАНЫ раскрываться только ради явной цели принятого контракта ([статьи 11-13 MUC](../01-constitution/Meta-Universe-Constitution.md)). - **Согласование с субъектом данных.** Там, где проекция касается человека, модели СЛЕДУЕТ обозначать роль субъекта данных, чтобы права субъекта (доступ, исправление, стирание дальнейших копий, ограничение обработки) можно было осуществить через изменение контракта и отзыв. Это согласуется с режимами вроде GDPR, не привязывая стандарт ни к одной юрисдикции. - **Минимизация.** Наименьшее знание (T5) - техническое выражение минимизации данных: проекция несёт только законтрактованные поля. - **Стирание против истории.** Неизменяемая история событий фиксирует, *что* разглашение произошло и *что* оно было впоследствии отозвано; она НЕ ДОЛЖНА использоваться для хранения самой персональной нагрузки дольше срока хранения по контракту. Стирание относится к раскрытым персональным данным; оно не переписывает аудит самого решения о разглашении. --- # 10. Соображения безопасности для документов федерации Каждому документу в `03-federation/` СЛЕДУЕТ нести краткую заметку **Соображения безопасности**, называющую угрозы, которых он касается, и указывающую сюда. Документы механизмов соотносятся с этой моделью так: | Документ | Основные угрозы | |----------|-----------------| | [Identity-Binding](../03-federation/Identity-Binding.md) | T1, T9 | | [Semantic-Mapping](../03-federation/Semantic-Mapping.md) | T3 | | [Consent-and-Disclosure](../03-federation/Consent-and-Disclosure.md) | T5, приватность | | [Synchronization](../03-federation/Synchronization.md) | T4, T6 | | [Trust-Model](../03-federation/Trust-Model.md) | T7, T8 | | [MUFP-Messages](../03-federation/MUFP-Messages.md) | T2, T6, T7, T10 | --- # 11. Соответствие Реализация федерации соответствует этой модели, когда она: - аутентифицирует сторону `from` и проверяет целостность конверта до использования; - проверяет семантический отпечаток каждой полезной нагрузки MUIF; - отвергает отображения, не закреплённые за отпечатками обеих моделей; - не возвращает ни одной проекции без принятого контракта и объявленной цели; - отвергает повторы и устаревшие сообщения; - применяет отзыв немедленно, записывает его как событие и распространяет; - вычисляет и записывает вектор доверия и целевую политику для каждого решения. --- # 12. Архитектурные инварианты - Безопасность НЕ ДОЛЖНА зависеть от того, что доверие высоко. - Каждый пересекающий границу артефакт ОБЯЗАН быть аутентифицирован и проверен на целостность. - Отзыв ОБЯЗАН быть немедленным, записанным и распространённым. - Персональные данные ОБЯЗАНЫ быть привязаны к цели и минимизированы. - Аудит решения ОБЯЗАН переживать стирание тех данных, которых это решение касалось. --- # Направления развития - **Криптографический профиль** (наборы подписей, форматы ключей, методы DID) - разрабатываемый совместно с [децентрализованным реестром](../06-ecosystem/Decentralized-Registry.md). - Паттерны **конфиденциальных вычислений**, чтобы проекцию можно было вычислить над данными, которые никогда не раскрываются в открытом виде, и [аттестация политик с нулевым разглашением](../03-federation/Zero-Knowledge-Attestation.md), чтобы Вселенная могла доказать соответствие политикам, не раскрывая свою модель. - **Набор тестов соответствия по безопасности** в составе Semantic Test Kit (дорожная карта WS6). --- # Заключение > Доверие решает, *хотят* ли две вселенные делиться смыслом. Безопасность гарантирует, > что пересекает границу между ними ровно то, о чём договорились, - не больше, неизменённым, > с указанием авторства и с возможностью отзыва. Мета-Вселенной нужно и то, и другое.