Silme ve imha

Silme türleri

Tür	Kapsam
record	Bir kimliğin tüm sürümleri
author	Bir sahibin (kişi, hesap, müşteri ya da cihaz) tüm kayıtları
record_before	Bir parti sırasından eski sürümler
batch	Bir partinin tamamı

Kimlikler varışta HMAC takma adlarına dönüşür. Talep tek bir işlemde kiracının defterine girer.

Hemen olanlar

Talep deftere girdiği anda kayıtlar değişiklik akışından, dışa aktarımlardan ve tekil okumalardan düşer. Silinen kimliklerin sonraki yüklemeleri süzülür.

Haftalık döngü

Varsayılan olarak her yedi günde bir yeni bir dönem açılır: her iki saklayıcıda yeni anahtarlar üretilir ve her anahtar bloğu, silinen kayıt anahtarları olmadan, yeni veri anahtarlarıyla yeniden mühürlenir. Bağımsız bir doğrulama adımı sonucu, hiçbir anahtar imha edilmeden önce kontrol eder. Bir operatör erken döngü isteyebilir.

İmha ve sertifika

Eski dönem yedi günlük güvenlik penceresini bekler; döngü aralığı bu pencerenin altına inemez. Ardından anahtarları her iki HSM’de imha edilir, imzalı imha kanıtı saklanır, bir silme sertifikası verilir ve değişiklik akışına erasure.completed olayı düşer.

Not

Talepten anahtar imhasına en kötü durumda yaklaşık 15 gün geçer. Bu bir sözleşme koşulu değil, mekanizmanın bir özelliğidir.

Şifreli veri yeniden yazılmaz; onu açacak anahtar kalmadığı için okunamaz hâle gelir. Kriptografik silme, NIST SP 800-88 Rev. 2’de tanımlanan bir temizleme (purge) tekniğidir; standartlara dayalı temizleme olarak anılmalıdır.

Sertifikayı doğrulamak

Sertifika, makbuz anahtarıyla imzalanmış bir JWS’tir ve kiracıyı, erased_through konumunu, imha kanıtını ve lost_epochs listesini (anahtarı onaylı bir kayıp beyanıyla kapanan dönemler) içerir.

reindeerctl audit keys
reindeerctl audit erasures -pin <makbuz anahtarı>

-pin olmadan araçlar yalnızca aynı sunucunun sunduğu anahtarlarla tutarlılığı gösterir. Konsol aynı doğrulamayı tarayıcıda yapar.

Onay gerektiren silmeler

Toplu (batch) silmeler ve 24 saatlik sınırları aşan silmeler ikinci bir kişinin onayını, ardından herhangi bir onaylayıcının iptal edebileceği 24 saatlik bekleme süresini gerektirir. Günlüğün beklediği ama HSM’de bulunmayan bir anahtar eksik olarak raporlanır, asla imha edilmiş sayılmaz ve yalnızca onaylı bir kayıp beyanıyla kapanır.