Logo

Whitepaper su sicurezza e privacy (panoramica)Capitolo 6

Capitolo 6 Ciclo di vita ed eliminazione dei dati

Questo capitolo definisce il ciclo di vita dei dati cifrati (blocchi di testo cifrato e manifest): creazione, conservazione, scadenza ed eliminazione. L'obiettivo è un comportamento prevedibile per utenti e auditor, mantenendo i confini zero-knowledge.

6.1 Categorie di dati

  • Blocchi di testo cifrato: porzioni di file cifrate conservate nello storage a oggetti.
  • Manifest: parametri pubblici necessari per il download e il riassemblaggio (nessuna CEK).
  • Stato: autorizzazione, avanzamento, TTL, flag di revoca e prove di consegna minime.

6.2 Semantica dell'eliminazione

  • L'eliminazione o revoca avviata dal mittente DEVE far fallire gli accessi successivi (token invalidati / lo stato nega l'accesso).
  • L'eliminazione DOVREBBE attivare la pulizia degli oggetti correlati (blocchi/manifest) quando possibile.
  • Il comportamento del sistema DEVE essere coerente per i destinatari: i trasferimenti revocati o scaduti dovrebbero mostrare un motivo chiaro.

6.3 Politica di scadenza e pulizia automatica

6.3.1 Cause di scadenza

  • I trasferimenti DOVREBBERO avere una politica expiresAt (conservazione in base al piano o TTL scelto dall'utente).
  • Dopo la scadenza, l'accesso DEVE essere negato anche se il testo cifrato esiste ancora temporaneamente.

6.3.2 Pulizia automatica

  • La pulizia in background DOVREBBE eliminare i blocchi e i manifest scaduti entro un intervallo ragionevole.
  • La pulizia dovrebbe essere resistente a nuovi tentativi e fallimenti parziali (eliminazione idempotente).

6.3.3 Vincoli di UX dopo la scadenza

  • I destinatari DEVONO vedere uno stato «Scaduto» esplicito e il passo successivo (contattare il mittente).
  • I mittenti DOVREBBERO poter distinguere «scaduto» da «revocato» nell'interfaccia di gestione.

6.4 Garanzie visibili all'utente

  • L'eliminazione o revoca DEVE avere effetto immediato sul controllo degli accessi (fail closed).
  • L'eliminazione fisica dallo storage PUÒ avvenire in modo differito; tuttavia, l'accesso deve restare negato senza possibilità di riattivazione.
  • I log e le prove devono restare minimi e non devono includere segreti (frammenti/CEK).

6.5 ID delle affermazioni correlati