SEAL — il perimetro crittografico di fiducia

01Il perimetro crittografico di fiducia #sec_af09b142

SEAL è il servizio che concentra le operazioni crittografiche sensibili di REVIEWIT: conservare i riferimenti dei segreti, derivare valori, firmare sigilli, governare le generazioni di chiavi e autorizzarne la distruzione. I moduli di business gli richiedono un'operazione; non ottengono la materia segreta che la rende possibile.

Questa frontiera evita che ogni applicazione inventi il proprio sistema di archiviazione delle chiavi, i propri formati di ricevute e le proprie regole di rotazione. Il caveau sottostante protegge i segreti; SEAL aggiunge la dottrina REVIEWIT: isolamento per tenant, capacità autorizzate, ciclo di vita, prova di operazione e stato di autorità.

SEAL non decide di una certificazione, di un diritto o di una durata di conservazione. Applica un'operazione crittografica precedentemente autorizzata e restituisce un risultato o una ricevuta verificabile.

02La chiave non esce, il risultato sì #sec_3b5f0896

Un consumatore manipola un riferimento stabile, mai un segreto in chiaro. Per firmare una testa di Audit Trail, SEAL fa utilizzare la chiave nel suo perimetro e restituisce la firma. Per il sign-off, deriva i valori casuali necessari per le prove di inclusione senza restituire il segreto di attestazione.

Questa regola riduce fortemente i percorsi di esposizione: nessuna chiave privata viaggia nella memoria di un'applicazione di business, nei suoi parametri o nei suoi log. Facilita anche il cambio di fornitore di caveau, poiché i consumatori dipendono da una capacità e non da un'API proprietaria.

Le operazioni sono isolate per uso. Una chiave di sigillo di audit, una chiave di firma documentale e un segreto di derivazione di attestazione appartengono a domini diversi. Riutilizzare la stessa chiave perché le tre operazioni "firmano qualcosa" mescolerebbe responsabilità e durate incompatibili.

03Generazioni, rotazione e distruzione #sec_52bf3522

Un segreto possiede una classe e delle generazioni. La politica di classe decide se una rotazione è permessa, a quale cadenza e con quali validazioni.

Alcuni valori sono volutamente non rotabili. Il segreto che ha partecipato a un impegno di attestazione deve rimanere stabile: sostituirlo renderebbe impossibili le prove future. Una nuova generazione può servire le attestazioni seguenti, ma la vecchia rimane disponibile fintanto che un'attestazione attiva ne dipende.

La distruzione segue la regola inversa: deve essere facile da richiedere quando è legittima, difficile da annullare e impossibile fintanto che una dipendenza protetta sussiste. Lo stato di autorità impedisce un ritorno silenzioso a una generazione revocata o distrutta.

SEAL distingue così la durata di business e il ciclo crittografico. La conservazione può rendere una generazione idonea alla distruzione; non la distrugge direttamente né aggira i controlli di governance.

04Autorizzare l'operazione, non solo il chiamante #sec_6d9b6b65

Il controllo riguarda l'identità del richiedente, il tenant, la capacità richiesta e lo stato corrente dell'autorità. Un'applicazione autorizzata a derivare un valore non riceve automaticamente il diritto di firmare, ruotare o distruggere una chiave.

Gli atti umani più sensibili possono richiedere un'elevazione TrustGate e una doppia validazione. Le operazioni di servizio ripetitive seguono un regime adatto alla loro natura, con identità di macchine, capacità minime e ricevute. Un'operazione non mutante non è artificialmente trattata come un'operazione di governance, ma rimane limitata e osservabile.

I ruoli di prodotto non sono sufficienti per amministrare l'account di autorità. La separazione dei poteri si estende alle politiche IAM e alla catena di sfruttamento: la persona in grado di alterare l'archiviazione delle prove non deve, da sola, poter produrre un sigillo che maschererebbe questa alterazione.

05Ricevute, ripresa e stato degradato #sec_40421e1a

Le operazioni che modificano lo stato sono idempotenti. Una richiesta "ottenere o creare" con la stessa identità logica ritrova la stessa generazione; un riavvio non produce due segreti concorrenti. Le ricevute permettono al consumatore e all'audit di collegare la richiesta, la decisione dell'autorità e il risultato senza esporre il valore segreto.

L'audit rimane proporzionato. Una derivazione su migliaia di elementi viene tracciata per lotto o per tranche, non per valore elementare. Il sistema dimostra che una costruzione ha avuto luogo senza sovraccaricare la pista.

In situazione degradata, SEAL fallisce in modo chiuso per un'operazione crittografica che non può garantire. Il modulo chiamante può conservare uno stato di ripresa, ma non deve mai presentare come sigillato o firmato ciò che non lo è. Le operazioni di lettura o di servizio già esplicitamente autorizzate non diventano, per questo, porte di aggiramento della governance.

06In sintesi #sec_f94675c2

SEAL offre a REVIEWIT un'unica frontiera per proteggere, autorizzare e provare le sue operazioni crittografiche. Le applicazioni utilizzano capacità, non chiavi; le generazioni seguono le loro dipendenze; le operazioni sensibili rispettano la separazione dei poteri; e nessun risultato viene presentato come sigillato quando l'autorità non ha potuto garantirlo.