8.4. Résultats d'Attestation
8.4. Résultats d'Attestation
Les résultats d'attestation sont l'entrée utilisée par la partie utilisatrice pour décider dans quelle mesure elle fera confiance à un attesteur particulier et lui permettra d'accéder à certaines données ou d'effectuer certaines opérations.
Les résultats d'attestation peuvent porter une valeur booléenne indiquant la conformité ou la non-conformité avec la politique d'évaluation d'un vérificateur ou peuvent porter un ensemble plus riche de revendications sur l'attesteur, contre lesquelles la partie utilisatrice applique sa politique d'évaluation pour les résultats d'attestation.
La qualité des résultats d'attestation dépend de la capacité du vérificateur à évaluer l'attesteur. Différents attesteurs ont une force de fonction différente, ce qui fait que les résultats d'attestation sont qualitativement différents en termes de force.
Un résultat d'attestation indiquant une non-conformité peut être utilisé par un attesteur (dans le modèle de passeport) ou une partie utilisatrice (dans le modèle de vérification d'antécédents) pour indiquer que l'attesteur ne doit pas être traité comme autorisé et peut avoir besoin de remédiation. Dans certains cas, cela peut même indiquer que les preuves elles-mêmes ne peuvent pas être authentifiées comme étant correctes.
Par défaut, la partie utilisatrice ne croit pas que l'attesteur soit conforme. À la réception d'un résultat d'attestation authentique et étant donné que la politique d'évaluation pour les résultats d'attestation est satisfaite, l'attesteur est autorisé à effectuer les actions prescrites ou l'accès. La politique d'évaluation la plus simple pourrait autoriser l'octroi à l'attesteur d'un accès ou d'un contrôle total sur les ressources protégées par la partie utilisatrice. Une politique d'évaluation plus complexe pourrait impliquer l'utilisation des informations fournies dans le résultat d'attestation pour les comparer aux valeurs attendues ou pour appliquer une analyse complexe d'autres informations contenues dans le résultat d'attestation.
Ainsi, les résultats d'attestation peuvent contenir des informations détaillées sur un attesteur, qui peuvent inclure des informations sensibles sur le plan de la vie privée, comme discuté dans la section 11. Contrairement aux preuves, qui sont souvent très spécifiques à l'appareil et au fournisseur, les résultats d'attestation peuvent être neutres vis-à-vis du fournisseur, si le vérificateur a un moyen de générer des informations indépendantes du fournisseur basées sur l'évaluation d'informations spécifiques au fournisseur dans les preuves. Cela permet à la politique d'évaluation d'une partie utilisatrice d'être plus simple, potentiellement basée sur des moyens standard d'exprimer les informations, tout en permettant l'interopérabilité avec des appareils hétérogènes.
Enfin, alors que les preuves sont signées par l'appareil (ou indirectement par un fabricant si des endorsements sont utilisés), les résultats d'attestation sont signés par un vérificateur, permettant à une partie utilisatrice de n'avoir besoin que d'une relation de confiance avec une seule entité plutôt qu'avec un ensemble plus large d'entités aux fins de sa politique d'évaluation.