Sicherheitsarchitektur-Notiz
Sicherheit ist hier strukturell. Sie beruht nicht auf Optimismus, stillem Fallback oder verborgener Betreiber-Intervention.
OmegaOS™ Kernel bleibt begrenzt: deterministische Auswertung, restriktives Fehlerverhalten, Append-only-Evidence und betreiberkontrollierte Bereitstellung.
Sicherheitslage
Diese Seite benennt die Grenzen, die die Laufzeit auch unter Druck hält.
Standardmäßig restriktiv
Im Enforce-Modus führt ein Auswertungsfehler zu DENY. Stilles Gewähren ist kein Fallback-Modus.
Append-only-Historie
Laufzeitdienste fügen Datensätze hinzu. Sie schreiben die Historie nicht um. Widerrufe erzeugen neue Einträge.
Entscheidung sichtbar, Ausführung getrennt
Die Laufzeit erzeugt öffentliche Ausgänge. Nachgelagerte Ausführung bleibt unter Kontrolle des Betreibers und des aufrufenden Systems.
Fehlerdisziplin
Fehlerpfade fallen in den defensivsten Zustand zurück, den das System begründen kann.
| Szenario | Öffentliches Verhalten |
|---|---|
| Richtlinienauswertung nicht verfügbar | DENY im Enforce-Modus |
| Interner Auswertungsfehler | DENY im Enforce-Modus |
| Lizenzablauf | Automatischer Downgrade auf OBSERVE |
| Unsignierte oder ungültige Evidence | Bei Aufnahme markiert oder abgelehnt |
Integritätskette
Evidence wird authentifiziert, Entscheidungen werden verkettet, und Verifikation bleibt offline.
Authentifizierte Evidence
Jedes Evidence-Element wird bei der Aufnahme verifiziert, bevor es eine Entscheidung beeinflussen darf.
Kryptographische Kontinuität
Entscheidungen werden in einer Append-only-Struktur verbunden. Nachträgliche Änderungen brechen die Verifikation.
Offline-Proof-Surface
Export-Manifeste, Lizenzen und Attestierungen bleiben ohne Netzabhängigkeit verifizierbar. Vertrauenswürdige Zeitstempel können ergänzt werden, wenn evidenzielle Zeit zählt.
Formale Grenze
Verifiziertes wird eng benannt. Nicht beanspruchtes bleibt aus dem Text heraus.
- Determinismus: gleiche Eingaben, gleiche Richtlinienversion und gleiche Evidence-Menge erzeugen denselben öffentlichen Ausgang.
- Append-only-Ledger: kein Mutationspfad für aufgezeichnete Entscheidungen.
- Mandantenisolation: kein mandantenübergreifender Zugriff im verifizierten Modell.
- Keine automatische irreversible Aktion: Ausführung bleibt außerhalb der Entscheidungs-Laufzeit.
Betreiber-Grenze
Die Laufzeit ist nicht die Infrastruktur. Bereitstellungskontrolle bleibt außerhalb des Kernels.
Bereitstellungsverantwortung
Der Betreiber kontrolliert Netzwerkgrenze, Host-Härtung und Zugriffskontrolle der Bereitstellung.
Laufzeit-Containment
Die Richtlinienauswertung führt keine ausgehenden Netzwerkaufrufe aus. Administrative Werkzeuge bleiben von Laufzeitdiensten getrennt.
Kein öffentlicher Claim
Diese Seite veröffentlicht keine Penetrationstest-Ergebnisse, keine infrastrukturspezifischen Hardening-Matrizen und kein Anwendungs-Identity-Design.
Primäre Referenzen
Das Technical Artifact definiert die Laufzeitsemantik. Editionen definiert den Bereitstellungsumfang.