不変のボールト
一切上書きされることはありません。
他のすべてのボールトは就地編集を行います。パスワードを変更すると古いパスワードは失われ、存在した記録も、先週の火曜日に何があったかを証明する方法も残りません。Clavitorは上書きしません。すべての変更は新しいリビジョンとして書き込まれます。履歴は保持され、記録は完全なまま残ります。
すべてが追加専用です。
Clavitorにおける資格情報は、編集する行ではありません。それはリビジョンのスタックです。パスワードを更新すると、ボールトは新しいバージョンを挿入し、古いバージョンには一切触れません。最新のリビジョンが現在の値となり、それ以前のすべてのリビジョンはそのままの状態で順序通りに保持されます。
01 — 書き込み
毎回新しいリビジョンを作成
各更新はINSERTであり、UPDATEではありません。エントリは1つの安定したIDを保持し、バージョン番号が増えていきます。資格情報の読み取りでは、期待通りの値である最新バージョンが返され、それ以前のすべてのバージョンは書き込まれた当時のまま保持されます。
02 — 保持
ボールトの存続期間中の履歴
古いリビジョンは、ボールトが存在する限り保持されます。ローテーションの履歴、侵害発生前の値、任意の日付時点のフィールドなど、いずれも破棄されることはありません。過去は、誰かが保持していることを願うログではありません。それ自体がデータなのです。
03 — 削除
消去ではなくトゥームストーン
資格情報を削除すると、その削除を示す追加のリビジョンが書き込まれます。エントリの解決は停止しますが、それが存在していたという記録と、削除された時期は残ります。証明できる削除は、痕跡を残さない削除よりも価値があります。
重要な理由
可変ボールトでは答えられない質問。
すべての編集がその前の状態を破壊してしまうと、あらゆる種類の質問に答えられなくなります。不変性は、その構造によってこれらの質問に答えます。
「インシデント発生当日の鍵は何でしたか？」
ローテーションされたシークレットは、通常、置き換えられた瞬間に消えます。しかしここでは、対象期間中に有効だった値が、そのバージョンと証明するタイムスタンプとともに、引き続きボールト内に存在します。フォレンジックは考古学ではなくなります。
「誰がこれを変更し、変更前は何でしたか？」
すべての更新、削除、アクセス範囲を限定する変更、およびエージェントの変更は、新しいリビジョンにリンクされた監査イベントを書き込みます。履歴と誰が実行したかの記録は、2つの方法で語られる同じストーリーであり、いずれも密かに巻き戻すことはできません。改ざん検知可能な監査証跡を見る →
「それを元に戻せませんか？」
不適切なローテーション、入力ミスによる編集、フィールドを上書きしてしまった侵害されたエージェントなど、何も破棄されていなければ、以前の値の復旧は、十分に新しいことを祈りながらバックアップを復元するのではなく、過去のリビジョンを読み取るだけで完了します。
「目を離している間に変更されたものはありませんか？」
密かに変更されることはありません。見逃すような就地変更は存在しません。現在の状態は、番号、作成者、タイムスタンプを持つリビジョンであり、それ以前の状態もすべて同様です。
1つの原則が、ボールト全体に適用されます。
不変性は資格情報に後付けされた機能ではありません。それは、Clavitorのすべてのレコードが構築される方法です。エントリ、監査ログ、ラップされた鍵のレコード、これらのページの内容そのものに至るまで、すべてが追加専用であり、すべて同じ方法で処理されます。システム内のどこにも、真実が上書きされる場所はありません。
競合のないレプリケーション
リビジョンは一度だけ書き込まれ、変更されることがないため、地球の裏側へのコピーは簡単です。行が到達したときに明示的な確認を行う順方向専用カーソルを使用します。調整する編集も、解決する競合も、「どのコピーが正しいか」という問題もありません。追加専用データには、正確に1つの履歴しか存在しません。
暗号文の保持 — 平文の漏洩ではなく
保持された履歴は、現在の値とまったく同じように、サーバーに到達することのない鍵によって保存時の暗号化が施されます。過去を保持しても、エクスポージャーの観点からのコストはかかりません。盗まれたディスクには古い暗号文と新しい暗号文が含まれますが、どちらも同じように読み取り不可能です。暗号化の仕組み →
唯一の例外
就地更新する唯一の箇所を文書化しています。
誠実さは設計の一部です。新しいリビジョンとしてではなく、就地で書き込まれるフィールドは正確に1つだけです。verified_at、つまり資格情報が最後に機能した時期を記録するマーカーです。これはコンテンツの変更ではなく使用状況のメタデータであるため、最新のリビジョンを直接更新し、すべてのスタンプ自体が監査ログに記録されます。文書化されていない例外こそが不変性の主張を空虚にするものであるため、ここでそのことをお伝えしています。これが唯一の例外です。
削除を正しく行う。
追加専用であることは、決して忘れ去られないという意味ではありません。忘却が意図的かつ完全であり、記録に残ることを意味します。日常的なケースは、リビジョンごとのトゥームストーンで処理されます。真の消去が必要な場合（GDPRの要求やアカウント閉鎖など）、削除はボールト全体に対して不可逆的に、意図的な操作として実行され、密かなフィールド単位の上書きが行われることは決してありません。密かに編集されることはなく、削除される場合は、意図的かつ完全に削除されます。
誠実なボールトは履歴を保持します。
不変性は物語の半分に過ぎません。もう半分は、誰が何にアクセスしたかという記録であり、チェーンされ、証跡が残り、証明可能です。