David Abutbul
b37162a33d
* feat(i18n): add multilingual wiki scaffolding, language switcher, and translation QA pipeline * docs(readme): adopt picoclaw-style multilingual link bar * fix(i18n): repair localized index links and tighten partial-pair QA * ci(i18n): fail on broken markdown links in README/wiki * ci(i18n): add changed-files mode for markdown link checks * i18n(de): use local Argos MT to fill untranslated German sections * i18n(es,fr): fill untranslated sections via local Argos workflow * i18n(ja): fill untranslated sections with scoped local Argos pass * i18n(ko): fill untranslated sections with scoped local Argos pass * fix(i18n): address review feedback --------- Co-authored-by: David Abutbul <David.a@prompt.security>
5.9 KiB
ツイート セキュリティ
##セキュリティモデルの概要
- ClawSec は、コンテンツの配布 (署名されたアーティファクト) とランタイムの動作 (管理者のゲート、完全性監視) の両方を保護します。
- Trust アンカーは、リポジトリにコミットし、ワークフロー生成された出力に対して検証された公開鍵をピン留めします。
- Runtime 消費者は、明示的なマイグレーションバイパスフラグを使用して、検証優先動作にデフォルトでデフォルトで設定します。
暗号化制御
| 制御 | 機構 | 位置 |
| お問い合わせ |
お問い合わせ フィード認証 | Ed25519 は署名を取り外す (feed.json.sig) | アドバイザリーワークフロー + 消費者検証ライブラリ お問い合わせ
| アーティファクトの完全性 | SHA-256チェックサムマニフェスト(checksums.json) | スキルリリースとページ展開ワークフロー お問い合わせ
お問い合わせ 鍵の一貫性 | ドキュメント全体の指紋比較 + 正式PEM | scripts/ci/verify_signing_key_consistency.sh. お問い合わせ
| シグネチャー検証アクション | CIでのコンポジットサイン+検証アクション | .github/actions/sign-and-verify/action.yml お問い合わせ
#ランタイムの執行制御
| 制御 | コンポーネント | 効果 |
| お問い合わせ |
| アドバイザリーホークギャティング | clawsec-advisory-guardian | マッチングアドバイザリーに基づく注意・注意深い指導 お問い合わせ
| ダブルカンファレンスインストーラー | guarded_skill_install.mjs | 42を終了 マッチングアドバイザリーの明示的な確認まで お問い合わせ
| 評判の延長 | clawsec-clawhub-checker | インストール前の追加リスクスコアリング お問い合わせ
| ナノクローシグネチャーゲート | skill-signature-handler.ts + MCPツール | ブロック改ざん・荷役パッケージをポリシーでインストールします。 お問い合わせ
| 整合性ベースラインモニター | soul-guardian + NanoClaw 整合性モニター | ドリフト検知・検疫・復元・監査可能な履歴 お問い合わせ
サプライチェーンとCIコントロール
- CI実行 トリビー、npm 監査、CodeQL、およびスコアカードワークフロー。
gitleaksがインストールされているときにローカルプレパスチェックがgitleaks detectを実行できます。- リリースワークフローは、パッケージの前にSBOMファイルの存在を検証します。
- ワークフローをデプロイすると、生成された署名キーフィンガープリントをキャノンキー素材に対して検証します。
- リリースドキュメントには、ダウンストリームの消費者向けの手動検証コマンドが含まれます。
インシデントとローテーションの Playbooks
wiki/security-signing-runbook.mdは、キー生成、クラスト、回転、およびインシデントフェーズを定義します。wiki/migration-signed-feed.mdは段階的な執行およびロールバックのレベルを定義します。- ロールバックパスは、署名された公開を優先順位付けし、可能かつ任意のバイパスをタイムボックス化します。
サンプルスニペット
# verify canonical public key fingerprint
openssl pkey -pubin -in clawsec-signing-public.pem -outform DER | shasum -a 256
# run repo key-consistency guardrail used in CI
./scripts/ci/verify_signing_key_consistency.sh
#既知のセキュリティトレードオフ
- 符号なしの互換性モードは保証を減らすことができ、移行が完了したら無効にする必要があります。
- バックワードの互換性のために署名されていないレガシーチェックサムアセットを許容するパスをいくつかデプロイします。
- 評判は外的な工具細工の出力に依存し、ヒューリスティック偽陽性/負を含むかもしれません。
- ローカルスクリプトは、環境の信頼を継承します。 侵害されたローカルシェルは、オペレータのワークフローをサブバートできます。
困難な機会
- 移行の安定化後に署名されていない互換性フラグを削除します。
- すべてのミラーリングされた解放ファイルのための決定的なチェックサム/signatureの確認を拡大して下さい。
- ワークフローレベルのシグネチャー障害シナリオに明示的なテストを追加します。
- アドバイザリー・フェッチ/検証の失敗に対するランタイムテレメトリーを増加させ、インシデント・トライを簡素化します。
更新ノート
- 2026-02-26:
docs/ファイルをrootwiki/の操作ページ専用の署名とマイグレーションの参照をリセットしました。
ソース参照
- セキュリティ.md
- wiki/security-signing-runbook.md
- wiki/migration-signed-feed.md
- スクリプト/ci/verify_signing_key_consistency.sh
- .github/actions/sign-and-verify/action.yml
- .github/workflows/poll-nvd-cves.yml
- .github/workflows/community-advisory.yml
- .github/workflows/skill-release.yml
- .github/workflows/deploy-pages.yml
- スキル/ clawsec-suite/hooks/clawsec-advisory-guardian/lib/feed.mjs
- スキル/clawsec-suite/scripts/guarded_skill_install.mjs
- スキル/clawsec-clawhub-checker/scripts/enhanced_guarded_install.mjs
- スキル/ロシア語/スクリプト/soul_guardian.py
- スキル/ clawsec-nanoclaw/host-services/skill-signature-handler.ts
- スキル/クローセ・ナンクロー/ガーディアン/積分僧侶。ts