Iga toiming (seansid, käsud, saladustele ligipääs, poliitikamuudatused) räsitakse, seotakse eelmise kirjega ja allkirjastatakse Ed25519-võtmega, mis on ise majutamisel suletud TPM-riistvarasse; hallatavas pilves kaitsevad võtit täna samad hosti tasandi kontrollid mis ülejäänud teenust. Ettevõtte administraator kontrollib vahemikku päringuga GET /audit/verify: server arvutab iga rea räsi uuesti ja kontrollib allkirja registreeritud võtme vastu; ettevõtte avalik võti avaldatakse aadressil /audit/pubkey/:company_id.
🔒audit:8419 · tool.readb3:9f8c…
prev_hash↓
🔒audit:8420 · tool.edit7f:21c8…
prev_hash↓
🔒audit:8421 · session.spawna4:6055…
prev_hash↓
🔒audit:8422 · vault.readc8:1142…
verified↓
Chain intact · 1,284,309 entries—
Kuidas see töötab
1
Toimub toiming
Kasutaja käivitab seansi, agent loeb faili, administraator muudab poliitikat.
2
Räsitud ja seotud
Kirje räsitakse (sha256) koos viitega eelmise rea räsile.
3
Ed25519-allkirjastatud
Ise majutamisel loob allkirja TPM-riistvarasse suletud võti, mis ei lahku kunagi kiibist. Hallatavas pilves kaitsevad seda samad hosti tasandi kontrollid mis ülejäänud teenust.
4
Kontrollitud serveris
Ettevõtte administraator küsib GET /audit/verify kaudu ridade vahemikku; server arvutab iga rea räsi uuesti ja kontrollib selle Ed25519 allkirja võtmega, mida ta selle ahela jaoks hoiab.
Süvavaated
Räsiahel
Iga kirje prev_hash väli on eelmise rea sha256. Kustutage rida N ja read alates N+1 enam ei kontrollu: ahel on nähtavalt katkenud.
Allkirjastamine ja TPM-i sulgemine
Ise majutamisel suletakse allkirjastamisvõti teie hosti TPM-riistvarasse ja avatakse ainult audit-signer protsessi sees. Hallatavas pilves ei ole täna seadistatud riistvaralist TPM-i ega pilve KMS-i: võtit kaitsevad samad hosti tasandi kontrollid mis ülejäänud teenust, mitte eraldi võtmehalduse taustasüsteem.
Lehekülgedeks jaotatud kontroll
Ilma lehitsemiseta kontroll vaatab kuni 10 000 rida; kui vahemikus on rohkem, peatub see seal, märgib tulemuse truncated ja vastab ok: false, mitte ei esita eesliidet kogu vahemikuna. 1,2 miljoni realise ahela läbimiseks anna kaasa batch= ja lehitse seda: iga lehekülg tagastab has_more, kursori next_after_id ja prev_hash'i järgmise päringu jaoks — just see liigutab administraatoriliidese edenemisriba.
Kontrolli ahelat ise
shell · verify CLI
$caldyr audit verify--from 8400 --to 8500
chain intact ✓
entries verified : 101
total in range : 101
last hash : 9f8ce4d27a91…3a4e
Rikkumist tuvastav, mitte ainult rikkumiskindel.
Me ei luba, et me kirjeid ei muuda; me anname ahela, milles muudatus on tuvastatav. Iga rida on räsiga seotud ja Ed25519-ga allkirjastatud, seega muudatus kontrollitud vahemiku sees lõhub lüli ja kontroll märgib selle rea rikutuks. Oluline on, kes kontrolli teeb: /audit/verify on meie lõpp-punkt ja allkirjastamisvõti, mille vastu see võrdleb, on meie käes, seega saab ettevõtte administraator tõendi tegutsemiseks, mitte sõltumatu tõestuse. Sinu ettevõtte avalik võti avaldatakse aadressil /audit/pubkey/:company_id; ükski meie tarnitud tööriist ei kontrolli sellega veel ahelat.
Võrdle
Caldyr
Tavalised DB-logid
Ainult lisamisega logi
Rikkumist tuvastav
jah
ei
allkiri puudub
Krüptograafiline tõend
Ed25519 + sha256
puudub
puudub
Avaldatud avalik võti
jah · /audit/pubkey/:company_id
ei
ei
Ettevõttepõhine allkirjastamisvõti
TPM-i suletud (ise majutamisel)
ei
jagatud võti
Lehekülgedeks jaotatud kontroll
batch-lehitsemine · ülempiir 10 000
ei
kõik mällu
KKK
Genereeritakse uus võti. Enne rotatsiooni loodud read jäävad vana avaliku võtmega kontrollitavaks; pärast rotatsiooni loodud read kasutavad uut. Kadu ilma rotatsioonita tähendab, et ahel muutub ainult lisamisega logiks ilma edasiste allkirjadeta, kuid kõik selle hetkeni allkirjastatu on endiselt kontrollitav.
Audiitor kontrollib ahelat Caldyri CLI-ga: caldyr audit verify --from <n> --to <n>. CLI vajab API-võtit ja pöördub meie /audit/verify poole, mida saab kutsuda ainult selle ettevõtte administraator: kas annad audiitorile sellise võtme või käivitad vahemiku tema eest. Allkirja kontroll ise toimub serveris, registreeritud võtme vastu. Pikaajaliseks säilitamiseks ekspordi logi CSV-na auditi vahekaardilt; Enterprise'is voogedastatakse kogu allkirjastatud logi ka sinu SIEM-i või S3 WORM-kopasse, mida nemad kontrollivad.
Allkirjastamine ei ole toimingu teel. Kõigepealt kirjutatakse auditirida andmebaasi ja kinnitatakse; seejärel äratab Postgresi NOTIFY eraldi Node'i allkirjastaja, mis rea allkirjastab: üks Ed25519 allkiri iga rea kohta, järjestikku iga ettevõtte või kasutaja ahela sees, ning varuvariandina küsitlus iga 30 sekundi järel. Kuni rida ei ole allkirjastatud, näitab kontroll seda ootel olevana.
Ise majutatud TPM 2.0-ga masinas: pitseeritud kiibi külge, ei ekspordita kunagi avatekstina, avatakse ainult sellel hostil. Hallatud teenuses hostil TPM-i ei ole, seega on seeme fail sellel hostil, mida loeb allkirjastaja teenusekonto. Mõlemal juhul on võti meie käes ja kontrolli teeme meie, seega on puhas vahemik meie kinnitus, mitte sinu enda sõltumatu kontroll; selle ahela avalik võti avaldatakse aadressil /audit/pubkey/:company_id ja ükski meie tarnitud tööriist ei kontrolli täna ahelat ilma meieta.
Valmis oma AI-infrastruktuuri haldama?
Taotle ligipääsu mõne minutiga, või räägi meiega oma õhulõhega juurutusest.