Säkerhetsarkitektur-notering
Strukturella egenskaper, antaganden och felbeteende hos OmegaOS™ Kernel.
Omfattning & antaganden
Den här sidan beskriver de strukturella säkerhetsegenskaperna hos OmegaOS™ Kernel-körtiden enligt design. Den täcker beslutslogiken, revisionsjournal och operatörens distributionsmodell.
Antaganden
- Operatören kontrollerar distributionsmiljön.
- Operatören ansvarar för nätverksperimeter, härdning av värd-OS och åtkomstkontroll för distribution.
- Körtiden gör inga utgående nätverksanrop under policyutvärdering.
- OmegaOS™ Kernel är enbart rådgivande som standard. I observations- och skuggläge producerar den beslut utan att utföra nedströmsåtgärder.
Vad den här sidan inte täcker
- Identitetsfederation på applikationsnivå (operatörens ansvar).
- Värd-OS eller sårbarheter i containerkörning (distributionsspecifikt).
- Denial of service på nätverksnivå (infrastrukturproblem).
- Resultat från penetrationstester (publiceras inte offentligt).
Strukturella egenskaper
Fail-closed som standard
När policymotorn är onåbar eller utvärderingen misslyckas, nekar gatewayen som standard i tillämpningsläge. Fail-open är inte en tillgänglig konfiguration.
Tilläggsbaserad journal
Körtidstjänster kan enbart skapa nya poster. Ingen ändring eller radering av journalposter. Återkallelser skapar nya poster, inte raderingar.
Dataisolering för flera klienter
Varje fråga filtreras genom isoleringspolicyer på infrastrukturnivå. Körtidstjänster kommer enbart åt poster som tillhör aktuell klientkontext.
Enbart rådgivande design
OmegaOS™ Kernel producerar strukturerade beslut som informerar mänskliga operatörer. Den utför inte autonomt nedströmsåtgärder.
Felbeteende
Varje felväg stannar i det mest restriktiva tillståndet. Inget tyst beviljande, ingen syntetisk tillåtelse.
| Scenario | Beteende |
|---|---|
| Policymotor onåbar | NEKA (tillämpningsläge) |
| Internt fel vid utvärdering | NEKA (tillämpningsläge) |
| Licens utgången | Automatisk nedgradering till OBSERVE |
| Evidens utan giltig signatur | Flaggas eller avvisas vid inmatning |
Modell för klientisolering
Dataisolering på infrastrukturnivå upprätthålls på postnivå. Även om en angripare lyckas med injektion via applikationslagret är dataåtkomst över klientgränser strukturellt förhindrad.
| Åtkomstnivå | Isolering | Används av |
|---|---|---|
| Administrativ | Full åtkomst | Operatörsverktyg, migreringar |
| Körtid | Klientbegränsad | Applikationstjänster |
Kryptografisk integritet
Evidensautentisering
Varje evidenspost kryptografiskt autentiseras vid inmatning. Evidens som anländer utan giltig signatur kan flaggas eller avvisas — vilket bevisar dataintegritet på applikationsnivå, oberoende av transportkryptering.
| Egenskap | Värde |
|---|---|
| Autentisering | Meddelandeautentiseringskod |
| Domänseparation | Per säkerhetskontext |
| Omfång | Per evidenspost |
| Verifiering | Vid inmatning — före beslut |
Beviskedja
Varje beslut kedjas in i en tilläggsbaserad kryptografisk struktur. Retroaktiv ändring bryter integritetsverifieringen. Inkluderingsbevis är verifierbara utan att avslöja andra beslut.
Digitala signaturer
Exportmanifest, licenser och byggintyg signeras med kryptografiska digitala signaturer. Verifiering är helt offline.
Betrodd tidsstämpling
Kryptografiska rötter förankras periodiskt till en extern tidsstämplingsutfärdare. När konfigurerat med en kvalificerad TSA kan tidsstämplar stödja beviskrav för tidpunkt enligt ZertES och eIDAS. Rättslig verkan beror på jurisdiktion och sammanhang.
Operatörsgräns
Nätverksisolering
Enbart gatewayen accepterar externa anslutningar. Interna tjänster är inte externt nåbara. Administratörsverktyg körs som isolerade processer, inte beständiga tjänster.
Körtidsisolering
Icke-root-körning, skrivskyddat filsystem, onödiga capabilities borttagna. Ingen väg till privilegieeskalering.
Förfrågningskontroller
Konfigurerbara gränser för förfrågningsstorlek, anslutningstimeouts och utvärderingstimeouts. Parametrar justerbara per distribution.
Formell verifiering
Fem systeminvarianter verifieras formellt med matematisk modellkontroll över ändliga tillståndsrum. Detta är uttömmande utforskning av ett avgränsat tillståndsrum — inte teoremsbevis.
- INDETERMINATE är primitiven — ALLOW/DENY kräver explicit upplösning
- Tilläggsbaserad journal — ingen ändring, ingen radering
- Determinism — samma indata ger samma utdata
- Klientisolering — ingen dataåtkomst över klientgränser
- Ingen automatisk oåterkallelig åtgärd — människa i loopen krävs
| Omfång | Invarianter som täcks |
|---|---|
| Beslutuplösning | Determinism, tri-state-logik, klientisolering |
| Revisionsjournal | Tilläggsbaserad, integritetskedja, ingen mutation |
| Kombinerad modell | Alla 5 invarianter kombinerade |
API-autentisering
- Uppgifter: Kryptografiskt starka API-nycklar
- Lagring: Säkert hashad
- Rotation: Nyckelrotation utan driftstopp stöds
- Mappning: API-nyckel kopplas till klientkontext för dataisolering
Licensverifiering
- Metod: Kryptografisk verifiering
- Nyckelhantering: Inbäddad nyckelverifiering
- Nätverk: Helt offline
- Reserv: Smidig nedgradering vid utgång
Infrastruktur & jurisdiktion
Infrastrukturen som stödjer denna webbplats hostas i Schweiz och verkar under schweizisk jurisdiktion.
- Data hostas inom Schweiz
- Lyder under schweizisk lagstiftning
- Ingen avsiktlig överföring av data utanför Schweiz
- Inga tredjepartsverktyg för beteendeanalys
Relaterad dokumentation
Teknisk artefakt beskriver körtidssemantik. Editioner täcker distributionsomfång.