Spezifikation

Bestandteile der Spezifikation #

Konformitätsstufen #

Die Stufen bauen aufeinander auf: Wer L2 beansprucht, muss auch L0 und L1 erfüllen.

L0 Files: ein Verzeichnis mit Verlauf #

1. Dateien in einem Run-Branch zu ändern, lässt die geschützte Hauptlinie unverändert.
2. Ein direkter Schreibzugriff auf einen geschützten Tree wird abgelehnt, auch mit gültigen Zugangsdaten.
3. Nachdem eine Datei in einem geschützten Tree gelöscht wurde, lässt sie sich aus dem Papierkorb wiederherstellen.
4. Export und anschließender Import ergeben einen byteidentischen Tree samt Verlauf.
5. Mindestens zwei Standardansichten werden angeboten: Mount und Git, oder eine davon plus S3.

L1 Authority: wer hat auf welcher Befugnis was getan #

1. Eine Anfrage ohne Lease wird abgelehnt, und die Ablehnung wird protokolliert.
2. Die Anfrage nach einer Kind-Lease, die weiter reicht als ihre Eltern-Lease, wird abgelehnt.
3. Nach Ablauf einer Lease wird der Mount schreibgeschützt; ein Widerruf wirkt innerhalb der Frist, die die Implementierung angibt.
4. Keine Lease kann einen Snapshot löschen.
5. Jeder Commit lässt sich mit explain auf eine Ausführung, eine Lease und ein Lesemanifest zurückführen.
6. Die Prüfung der Record-Kette gelingt; wurde ein Record manipuliert, schlägt sie fehl.
7. Beim Merge in einen geschützten Tree zeigt die Gate Card einen vom NAS berechneten Diff, und die Freigabe ist an einen Digest gebunden: Ändert sich der Diff, ist die Freigabe ungültig.

L2 Memory: Gedächtnis, das Sie lesen und mitnehmen können #

1. Nachdem alle Indizes gelöscht und neu aufgebaut wurden, bestehen die Golden-Recall-Tests.
2. Notizen lassen sich ohne die Memory-Schicht lesen.
3. Jede Ableitung trägt ein Rezept und ihre Eingaben.
4. Ein budgetiertes Lesen liefert bei zu kleinem Budget eine gröbere Ansicht und gibt an, welche Ansicht es tatsächlich geliefert hat.
5. Belegzeiger lassen sich überprüfen: Auch nachdem sich Commits geändert haben, zeigt ein Zeiger noch auf den ursprünglichen Inhalt.

L3 Guard: Folgen begrenzen #

1. Unter einer Lease mit B und C wird eine Aktion der Klasse C, die eine Sitzung auslöst, die external-Inhalte gelesen hat, abgelehnt oder an ein Gate übergeben.
2. Eine Ableitung erbt die Vereinigung der Labels ihrer Eingaben.
3. Notizen aus einer kontaminierten Sitzung werden nicht automatisch geladen.
4. Eine Vergessensanfrage erzeugt einen Bericht, der „was nicht abgedeckt ist“ enthält; eine Löschsperre (Legal Hold) kann das Vergessen blockieren.
5. Die Richtlinienauswertung ruft kein LLM auf: Die Richtlinien-Engine macht keine ausgehenden Aufrufe an ein Modell, sodass sie sich prüfen lässt.

L4 Sync: mehrere Knoten #

1. Nachdem zwei Knoten synchronisiert haben, sind die Trees identisch.
2. Hochsensible Objekte werden nicht an einen Knoten mit niedrigerer Vertrauensstufe gesendet.
3. Löschmarker (Tombstones) für das Vergessen werden an die Gegenstelle weitergegeben.
4. Ein Übergabepaket lässt sich auf der Gegenstelle ausführen, und Leases werden dabei nur enger.

Das Format der Erklärung #

Eine Implementierung muss eine conformance.json veröffentlichen, die die Stufe nennt, der sie entspricht, das Ergebnis jedes Tests und alle bekannten Abweichungen. Die Behauptung „kompatibel“ ohne diese Datei wird nicht akzeptiert.

{
  "implementation": "example-nas",
  "version": "0.1.0",
  "spec": "0.2",
  "level": "L1",
  "tests": { "L0.1": "pass", "L0.2": "pass", "L0.3": "pass", "L0.4": "pass", "L0.5": "pass",
             "L1.1": "pass", "L1.2": "pass", "L1.3": "pass", "L1.4": "pass",
             "L1.5": "pass", "L1.6": "pass", "L1.7": "pass" },
  "deviations": ["L1.3: revocation takes effect within 60 seconds"]
}

Versionen und Kompatibilität #

• Semantische Versionierung. Während 0.x wird keine Kompatibilität garantiert.
• Neue Felder sind abwärtskompatibel.
• Ein veraltetes Feld behält eine Warnfrist von mindestens einer Version.

Was die Spezifikation noch nicht abdeckt #

Versionsdetails von Transportprotokollen, eine bestimmte Richtliniensprache, der Signaturalgorithmus für Tokens, bestimmte Speicher-Engines und Benutzeroberflächen.