Warum die Cronica

Jedes Ereignis beantwortet dieselben Fragen: wer zugegriffen hat, in wessen Namen, welche Operation er genutzt hat, für welches Verfahren und welchen Zweck, auf welcher Grundlage, wann und mit welchem Ergebnis, einschließlich Ablehnungen und Fehlern.

Ereignisse können über die Schnittstelle weder aktualisiert noch gelöscht werden: das Protokoll wächst nur. Personenbezogene Kennungen werden nicht im Klartext aufbewahrt: verwendet werden opake Kennungen und kryptografische Prüfsummen, und der Inhalt der Antworten wird nicht gespeichert.

Jedes Ereignis trägt die kryptografische Prüfsumme des vorherigen. Verändert jemand ein Ereignis oder entfernt eines aus der Mitte der Kette, passen die nachfolgenden Prüfsummen nicht mehr, und die Abweichung wird beim Nachrechnen erkennbar.

Damit die Kette veröffentlicht werden kann, werden die Felder, die eine Person identifizieren würden, nicht aus ihr entfernt: sie werden durch Prüfsummen ersetzt, die zusammen mit einem Zufallswert je Ereignis berechnet sind. Ein Entfernen würde den Inhalt ändern, die Prüfsumme würde nicht mehr passen, und du könntest nur prüfen, was nicht zählt. So kann jeder die Kette auf der veröffentlichten Form nachrechnen, ohne die Werte hinter den Prüfsummen wiederherstellen zu können: der Zufallswert wird nicht veröffentlicht.

Technische Protokolle (Programmfehler, Kennzahlen, Funktionsprüfungen) dienen dem Betrieb der Systeme und richten sich an das technische Personal. Die Cronica hat einen anderen Gegenstand: sie ist der beweiskräftige Nachweis des Datenzugriffs, ausgedrückt in den Begriffen des Verwaltungsverfahrens, nicht der Infrastruktur. Beides wird nicht vermischt.

Die Unversehrtheit einer Folge lässt sich ohne Anmeldung und ohne Zugriff auf den Inhalt der Ereignisse prüfen, über GET /audit/verify/{partiție}; die Antwort nennt den geprüften Abschnitt. Die Prüfung rechnet die Kette nach, sie erklärt sie nicht für gültig. Und wenn ein Auditereignis nicht erfasst werden kann, wird die zugehörige Abfrage nicht ausgeführt.

Die Prüfung braucht weder unsere Zustimmung noch unseren Code. Die Ereignisse in der veröffentlichten Form und das Kettenende lassen sich ohne Konto lesen, über GET /audit/export/{partiție} und GET /audit/checkpoint, und das getrennte Prüfprogramm arbeitet auf genau diesem Export: es berechnet die kanonische Form selbst, mit einer von der Plattform unabhängigen Bibliothek, und übernimmt keine Zeile aus deren Code.

Was noch nicht belegt ist: Die Kette belegt, dass niemand einzelne Stellen verändert hat, nicht dass wir selbst das Protokoll nicht komplett neu geschrieben haben. Es fehlt ein Kettenende, das außerhalb der Plattform veröffentlicht wird, dort, wo wir es nicht ändern können.

Du meldest dich an und siehst die Abfragen über dich: wer deine Daten angefragt hat, wann, auf welcher Rechtsgrundlage und mit welchem Ergebnis, einschließlich der abgelehnten Anfragen. Die Zuordnung erfolgt über eine kryptografische Prüfsumme, einen aus deiner Kennung abgeleiteten Code, aus dem diese nicht zurückgerechnet werden kann; die Kennung im Klartext wird nicht gespeichert. Wir legen deine Personenkennziffer nicht offen und zeigen die Identität des Sachbearbeiters nicht.

Die Ereignisse stammen aus der Puntea (dem kontrollierten Zugriff zwischen Institutionen) und aus dem einheitlichen Zugang der Plattform, in.deobste.ro.