8.4. Attestierungsergebnisse
8.4. Attestierungsergebnisse
Attestierungsergebnisse sind die Eingabe, die von der vertrauenden Partei verwendet wird, um zu entscheiden, inwieweit sie einem bestimmten Attestierer vertrauen und ihm den Zugriff auf bestimmte Daten oder die Ausführung bestimmter Operationen ermöglichen wird.
Attestierungsergebnisse können einen booleschen Wert tragen, der die Konformität oder Nichtkonformität mit der Bewertungsrichtlinie eines Verifizierers anzeigt, oder sie können eine umfassendere Menge von Behauptungen über den Attestierer tragen, gegen die die vertrauende Partei ihre Bewertungsrichtlinie für Attestierungsergebnisse anwendet.
Die Qualität der Attestierungsergebnisse hängt von der Fähigkeit des Verifizierers ab, den Attestierer zu bewerten. Verschiedene Attestierer haben eine unterschiedliche Funktionsstärke, was dazu führt, dass die Attestierungsergebnisse qualitativ unterschiedlich stark sind.
Ein Attestierungsergebnis, das Nichtkonformität anzeigt, kann von einem Attestierer (im Passport-Modell) oder einer vertrauenden Partei (im Background-Check-Modell) verwendet werden, um anzuzeigen, dass der Attestierer nicht als autorisiert behandelt werden sollte und möglicherweise einer Behebung bedarf. In einigen Fällen kann es sogar anzeigen, dass der Nachweis selbst nicht als korrekt authentifiziert werden kann.
Standardmäßig glaubt die vertrauende Partei nicht, dass der Attestierer konform ist. Nach Erhalt eines authentischen Attestierungsergebnisses und sofern die Bewertungsrichtlinie für Attestierungsergebnisse erfüllt ist, darf der Attestierer die vorgeschriebenen Aktionen ausführen oder Zugriff erhalten. Die einfachste solche Bewertungsrichtlinie könnte die Gewährung des vollständigen Zugriffs oder der vollständigen Kontrolle über die von der vertrauenden Partei geschützten Ressourcen für den Attestierer autorisieren. Eine komplexere Bewertungsrichtlinie könnte die Verwendung der im Attestierungsergebnis bereitgestellten Informationen zum Vergleich mit erwarteten Werten oder die Anwendung komplexer Analysen anderer im Attestierungsergebnis enthaltener Informationen beinhalten.
Attestierungsergebnisse können daher detaillierte Informationen über einen Attestierer enthalten, die datenschutzsensible Informationen wie in Abschnitt 11 diskutiert enthalten können. Im Gegensatz zu Nachweisen, die oft sehr geräte- und herstellerspezifisch sind, können Attestierungsergebnisse herstellerneutral sein, wenn der Verifizierer eine Möglichkeit hat, herstellerunabhängige Informationen basierend auf der Bewertung herstellerspezifischer Informationen in Nachweisen zu generieren. Dies ermöglicht es, dass die Bewertungsrichtlinie einer vertrauenden Partei einfacher ist, möglicherweise basierend auf standardisierten Methoden zur Ausdrucksweise der Informationen, während gleichzeitig die Interoperabilität mit heterogenen Geräten ermöglicht wird.
Schließlich werden Nachweise vom Gerät signiert (oder indirekt vom Hersteller, wenn Endorsements verwendet werden), während Attestierungsergebnisse von einem Verifizierer signiert werden, was es einer vertrauenden Partei ermöglicht, nur eine Vertrauensbeziehung zu einer Entität benötigen zu müssen, anstatt zu einer größeren Menge von Entitäten für die Zwecke ihrer Bewertungsrichtlinie.