Dayanma: mekanik yarı bugün çalışıyor; bütün argümanımızın ihtiyaç duyduğu yarı hiç olmadı
Dayanmanın bir mekanik yarısı ve bir insan yarısı var, ve bunlar aynı başarı değil. Bu sayfa, ikincisinin sonradan keşfedilmemesi için var.
Dayanmanın ne anlama geldiği
Bir doğrulayıcının, bir kimlik bilgisinin iddialarını kabul edip onlara göre hareket etmesi; hesabı açması, erişimi vermesi, işlemi tamamlaması, alttaki olguyu bağımsız olarak yeniden ortaya koymadan.
Doğrulanabilir bir kimlik bilgisinin var olmasının bütün sebebi budur. Veren işi bir kez yaptı. Tutan kanıtı taşıyor. Doğrulayıcı, başkasının işinin gücüne dayanarak bir karar veriyor, ve o karar işlemin kendisidir.
Sözcük dağarcığı ödünç alınmıştır, buradaki neredeyse her şey gibi. "Güvenen taraf", açık anahtar altyapısında resmî olarak tanımlanmış bir roldür, RFC 5280 onu, başkasının verdiği bir sertifikaya inanarak hareket eden varlık diye tanımlıyor, ve aynı rol SAML'e, OAuth 2.0/OIDC'ye, ve "doğrulayıcı"nın aynı anlama geldiği W3C Doğrulanabilir Kimlik Bilgileri modeline taşınıyor.
Alttaki daha eski fikir, ki dürüst çerçeve odur
Ayrı olarak ve çok daha eski biçimde, "makul dayanma" bir örf ve âdet hukuku kavramıdır. Mahkemeler yüzyıllardır, bir tarafın başkasının beyanına duyduğu güvenin, o tarafın bildiği ya da bilmesi gerektiği şey göz önüne alındığında haklı olup olmadığını sordu.
Bizimki dâhil her yeniden kullanılabilir kimlik bilgisi sunumunun altındaki gerçek soru budur: ikinci bir işletmenin, bir güven kütüğünün ve bir güvence düzeyinin ona söyleyebileceği şeyin gücüne dayanarak, kendisinin vermediği bir kimlik bilgisine güvenmesi makul mü?
Yanıtlanmasına yardım edebileceğimiz bir sorudur. Güvenen taraf adına yanıtlayabileceğimiz bir soru değildir.
Bugün ne çalışıyor
Mekanik yarı, ve gerçekten çözülmüş kısım odur:
- Bir doğrulayıcı, sunulan bir kimlik bilgisinin imzasını denetleyebilir.
- Vereni güven kütüğüne karşı denetleyebilir; bu veren biliniyor mu, ve hangi güvence düzeyinde.
- Kimlik bilgisi akışı geliştirici kılavuzu, verme, tutma ve bağımsız doğrulamayı uçtan uca yürüyor. Çalıştırılabilir koddur, bir şema değil.
Bu, sayfanın en ilgi çekici olmayan kısmıdır, çünkü kriptografik doğrulama, icat etmediğimiz onlarca yıllık açık anahtar matematiğidir. Güven kütükleri ve güvence düzeyleri, dayanmayı kör değil makul kılmak için var; "bu veren akredite mi, ve hangi güçte" sorusu, "bana güvenin"den maddi olarak daha savunulabilir bir konumdur.
Ama dayanmayı makul kılan bir düzenek, dayanma değildir.
Hiç olmamış olan şey
Gerçek, bağlantısız hiçbir taraf, üretimde bir Solidus kimlik bilgisine dayanmadı. Bir kez bile. Küçük bir bahiste bile değil. Sayı sıfırdır, ve her zaman sıfır olmuştur.
Bunu bir sayı olarak ifade ediyoruz, çünkü her daha yumuşak ifade ondan kaçınmanın bir yoludur.
Bu, bu sitedeki diğer her boşluktan daha önemlidir, çünkü argümanın geri kalanının üzerinde durduğu varsayım odur. Doğrulama yeniden kullanımı, yeniden kullanım oranı, maliyet kesişimi, taşınabilirliğin yeniden doğrulamadan daha ucuz olduğu savı, bunların her biri, ikinci bir işletmenin birinci işletmenin işine güvenmeyi seçmesine bağlıdır. O seçim, olası her güvenen tarafın kendi başına, teker teker verdiği ticari ve hukuki bir karardır, ve onu henüz kimse vermedi.
Yani iktisat sayfalarımızı ölçüm olarak değil model olarak okuyun. Dayanma gerçekleşseydi aritmetiğin ne olacağını tarif ediyorlar. Gerçekleştiğinin kanıtı değiller.
Ve dayanma bir yükümlülük aktarımı değildir
Bir güvenen taraf dayansa bile, bu, o tarafın kendi düzenleyici yükümlülüğünü ortadan kaldırmıyor. Bir denetleyicinin üçüncü taraf doğrulamayı belirli bir gerekliliği karşılıyor sayıp saymayacağı yerleşmemiştir, MASAK, GDPR ve yeniden KYC sayfalarında aynı biçimde ifade edilmiştir, çünkü her seferinde aynı sınırdır.
Ve dayanmanın yersiz olduğu ortaya çıkarsa, kayıp, bizde değil, yürürlükteki kurallara göre onu kim taşıyorsa ondadır. Hiçbir sorumluluk kayması sağlamıyoruz, çünkü sorumluluk kayması kriptografik güçle değil, düzen kurallarıyla ve hukukla sağlanır.
Bu sayfada neden bir yeniden kullanım rakamı olmadığı
Bir yeniden kullanım oranı, yeniden kullanım gerektiriyor. Sıfır güvenen tarafla, yayımlayacağımız herhangi bir yüzde kendi sınama trafiğimizden hesaplanırdı ve bir piyasayı değil sınamalarımızı tarif ederdi.
Bir tane yayımlamıyoruz, ve bir Solidus sayfası bir gün bir yeniden kullanım oranı, gözlemlenmiş gibi sunulan bir kesişim noktası, ya da modellenmiş değil elde edilmiş diye ifade edilen bir maliyet tasarrufu gösterirse, yanlıştır.