Häufige Fragen zu Spezialthemen

Antworten auf Fragen, die in einer Sicherheitsprüfung gestellt werden und die in keine der Themenseiten passen.

Agenten-Identität und Zuordnung zu einer Person

Governance über Agenten steht und fällt damit, ob nachvollziehbar bleibt, wer gehandelt hat und für wen. Diese Fragen kommen zuerst.

Woran erkennt die Plattform, wer eine Handlung ausgelöst hat?

Jede Governance-Handlung und jede Antwort wird als Lauf mit einem Beleg festgehalten, und der Beleg trägt die geprüfte Identität des Aufrufenden. Ist ein Signaturschlüssel konfiguriert, ist der Beleg signiert. Ein Ausnahme-Antrag erhält seinen Beleg erst mit dem Entscheid, und eine Suche schreibt keinen.

Hat der Agent eine eigene Identität, steht er selbst dort. Arbeitet er im Namen eines Menschen, steht der Mensch dort, und die auslösende Anwendung wird zusätzlich vermerkt.

Was ist ein Nachweis und was nur eine Angabe?

Alles, was aus dem signierten Token des Identitätsanbieters stammt, hat die Plattform geprüft: die Identität, die auslösende Anwendung, die Sitzung.

Alles, was eine Anwendung von sich aus mitschickt, ist ihre Angabe. Beides wird getrennt gespeichert und getrennt ausgewiesen. Eine Angabe wird nie zum Nachweis aufgewertet, auch nicht, wenn sie plausibel aussieht.

Welche Begriffe verwendet ihr dafür?

Die der Standards, nicht eigene: den Prinzipal, den handelnden Agenten, die auslösende Anwendung und die Sitzung, jeweils in der Benennung von OAuth und OpenID Connect.

Der Grund ist einfach: ein Beleg, den nur wir lesen können, ist für eine Prüfung wertlos. Wo wir von einem Standard abweichen, wird die Abweichung begründet und nicht stillschweigend eingeführt.

Kann ein Agent seine Herkunft fälschen?

Die geprüften Angaben nicht: sie stammen aus einem Token, das der Identitätsanbieter signiert hat, und die Plattform prüft diese Signatur bei jedem Aufruf. Die selbst gemeldeten Angaben einer Anwendung sind fälschbar, und genau deshalb sind sie als solche gekennzeichnet.

Was steht an einem Entscheid, den ein Agent vorgeschlagen hat?

Wer ihn eingereicht hat, wann, und dass er ein Entwurf ist.

Ein Vorschlag gilt nicht. Er wird erst bindend, wenn ein zuständiger Mensch ihn freigibt. Das ist die Trennlinie im Governance-Modell, nicht die zwischen Lesen und Schreiben.

Kann ein Agent unbegrenzt Entwürfe einreichen?

Nein. Die Zahl offener Entwürfe je Raum und Einreichendem ist begrenzt, und erst eine Entscheidung schafft wieder Platz. Der Deckel ist bewusst ein Governance-Druck und keine reine Lastbremse: ein Posteingang, den niemand mehr durchsieht, wird pauschal abgearbeitet, und dann ist die Governance nur noch behauptet.

Was passiert, wenn die Plattform etwas nicht belegen kann?

Dann sagt sie das, statt es zu behaupten. Eine Antwort ohne belastbare Grundlage wird als solche ausgewiesen, und wo eine Herkunft fehlt, wird sie nicht rekonstruiert.

Eine nachträglich erfundene Herkunft wäre schlimmer als eine fehlende, weil sie eine Prüfung in die Irre führt statt sie zu begrenzen.

Anmeldung und Sitzung

Bin ich nach dem Abmelden wirklich abgemeldet?

Ja. «Abmelden» beendet die Sitzung im Browser und, sofern der Identitätsanbieter den RP-initiated Logout nach OpenID Connect unterstützt, auch die Single-Sign-On-Sitzung bei ihm. Danach landet man auf der öffentlichen Startseite, und die nächste Anmeldung fragt wieder nach Zugangsdaten.

Das gilt für dieses Gerät und diesen Browser. Sitzungen auf anderen Geräten bleiben bestehen, bis sie dort beendet werden oder ablaufen.