Часто припускають, що після проходження перевірки сервіс, який обробляє верифікацію, насправді бачив ваші документи, оцінював їх і просто запам’ятовує результат.
Перевірка особи Newton працює інакше. Верифікація виконується всередині TEE (Trusted Execution Environment — надійного середовища виконання), тож звичайна інфраструктура верифікатора ніколи напряму не отримує доступ до базових даних особи. Верифікатор отримує результат перевірки, а не сирі вхідні дані.
Це інша модель безпеки, ніж лише шифрування. Шифрування захищає дані під час зберігання чи передавання, але зазвичай десь їх потрібно дешифрувати, щоб виконати верифікацію. TEE прагне ізолювати навіть обчислення: хостова ОС, яка керує системою, не може перевірити, що саме відбувається всередині енклаву.
Це також узгоджується із ширшою моделлю ідентичності Newton. Верифікатори підтверджують докази відповідності кваліфікації, не дізнаючись базову персональну інформацію. Мета — не лише «утримувати дані поза ланцюгом», а й приховати їх від верифікатора також.
Наразі лишається питання довіри. TEE зменшують обсяг того, кому верифікатор має довіряти, але не усувають довіру повністю. Натомість частина довіри зміщується на реалізацію TEE, виробника обладнання, прошивку та процес атестації. У TEE в минулому вже були реальні апаратні вразливості та вразливості через побічні канали, тому це радше механізм зниження ризику, а не гарантія.
Більше за все мене цікавить модель відмов. Якщо буде виявлена критична вразливість TEE в апаратному забезпеченні, на якому Newton покладається, що станеться з обліковими даними, які раніше були перевірені через ці енклави? Чи вплив буде обмежений лише майбутніми атестаціями після того, як про вразливість стане відомо, чи можна також вважати, що попередні сеанси верифікації були скомпрометовані? І якщо так станеться, чи існує задокументований процес відновлення, наприклад, відкликання довірених енклавів, ротація ключів атестації або вимога повторно переперевіряти облікові дані?
$NEWT @NewtonProtocol #Newt $LAB $TLM #labcrashed