Identität und Mitgliedschaft

Es gibt nirgendwo in bae ein Kontosystem. Jede Person in einer Mediathek ist ein coven-Mitglied: eine zufällige, dauerhafte Mitglieds-ID und zwei Schlüsselpaare, eines zum Signieren und eines, an das Schlüssel versiegelt werden, geteilt von allen Geräten dieser Person und im OS-Schlüsselbund jedes Geräts gehalten. Ein Gerät ist eine Installation mit eigener ID, die einem Mitglied gehört. Wer zu einer Mediathek gehört, ist eine Menge signierter Datensätze im Cloud-Zuhause, geprüft vom Gerät jedes Mitglieds, von keinem Server ausgegeben. Die Mechanik gehört zu coven; diese Seite beschreibt, wie bae sie nutzt.

Mitgliedschaftsdatensätze

Die gesamte Historie einer Mediathek im Cloud-Zuhause ist eine nummerierte Abfolge, und jedes Gerät wendet sie in derselben Reihenfolge an. Eine Änderung an Mitgliedschaft oder Einstellungen ist ein Admin-Eintrag in dieser Abfolge, signiert mit dem Schlüssel seines Autors und am Zustand direkt davor gemessen, sodass jedes Gerät von sich aus zum selben Urteil kommt. Ein Eintrag zählt nur, wenn sein Autor ihn machen darf, und die Mediathek behält immer mindestens einen Admin.

Jede Änderung, die ein Gerät sendet, wird gegen diesen Datensatz geprüft: signiert von einem aktuellen Mitglied, von einem Gerät, das nicht entfernt wurde. Änderungen von entfernten Geräten oder Mitgliedern, von nie hinzugefügten Schlüsseln oder mit ungültigen Signaturen zählen nicht. Der Anbieter speichert die Datensätze, kann sie aber nicht fälschen.

Rollen

Admin und Mitglied lesen und schreiben beide die Mediathek: coven prüft bei Schreibvorgängen in der Mediathek keine Berechtigung, daher könnte eine Nur-Lese-Rolle nicht halten. Admins laden zusätzlich Personen ein, entfernen sie, ändern Rollen und benennen die Mediathek um. Wer einer Mediathek ihr Cloud-Zuhause gibt, ist ihr erster Admin.

Aktion	Wer
Eine Person einladen	ein Admin
Ein Gerät hinzufügen	die Person, vom neuen Gerät aus, mit ihrem Wiederherstellungscode
Ein Gerät entfernen	seine Person oder jeder Admin
Eine Person entfernen	ein Admin
Die Mediathek umbenennen	ein Admin

Profil, Bewertungen, Verlauf und Playlists einer Person sind Besitzerzeilen: Nur die Geräte dieser Person können sie ändern, sodass eine jemandem zugeschriebene Bewertung auch von ihm stammt.

Ein eigenes Gerät hinzufügen

Ein Wiederherstellungscode beweist, dass ein Gerät seiner Person gehört, daher braucht es keine Genehmigung:

1. Das neue Gerät erhält den Code, indem es den QR-Code scannt, den ein anderes Gerät der Person zeigt, aus dem iCloud-Schlüsselbund auf Apple-Geräten oder durch Abtippen.
2. Es erreicht den Speicher: bei Dropbox und OneDrive durch Anmeldung beim eigenen Konto der Person, bei S3 mit ihrem Zugriffsschlüssel, den der QR-Code neben dem Code mitbringt.
3. Es lädt die Mediathek, prüft, dass die Schlüssel des Codes zu einem aktuellen Mitglied gehören, und registriert sich als neues Gerät mit einem Eintrag, der mit diesen Schlüsseln signiert ist.

Ein Code, dessen Schlüssel inzwischen ersetzt wurden, schlägt fehl. Wiederherstellen erzeugt immer ein neues Gerät; es rettet keine ungesendeten Änderungen einer anderen Installation.

Eine Person einladen

1. Ein Admin gibt das Anbieterkonto der Person ein und wählt ihre Rolle. bae gibt den Ordner der Mediathek für dieses Konto frei, oder erstellt bei S3 einen Zugriffsschlüssel für sie, und zeigt eine Einladung: einen QR-Code mit dem Ort der Mediathek, der für die Person gewählten Mitglieds-ID, einem einmaligen Geheimnis und dem aktuellen Namen der Mediathek. Sie läuft einen Tag nach ihrer Erstellung ab.
2. Das Gerät der Person scannt sie, meldet sich bei ihrem eigenen Konto an, erzeugt ihre Schlüsselpaare und schreibt eine Beitrittsanfrage in den Speicher, verschlüsselt mit einem aus dem Geheimnis der Einladung abgeleiteten Schlüssel und signiert mit ihrem neuen Schlüssel.
3. Das Gerät des Admins, das einzige, das das Geheimnis hält, zeigt die Anfrage, und der Admin genehmigt sie.
4. Die Genehmigung versiegelt jeden Store-Schlüssel an den neuen Versiegelungsschlüssel der Person und fügt dann den Eintrag hinzu, der sie aufnimmt.
5. Das neue Gerät öffnet seine Schlüssel, lädt die Mediathek, registriert sich und schreibt das Profil der Person mit dem Namen, den sie eingegeben hat.

Ablehnen oder Ablaufenlassen der Einladung nimmt den Anbieterzugriff zurück, den sie gewährt hat.

Entfernen

Ein Gerät oder eine Person zu entfernen ist ein Admin-Eintrag, und seine Stelle in der Abfolge ist eine Linie in der Historie: Was das entfernte Gerät oder die entfernte Person danach sendet, zählt nicht, während das, was davor ankam, bleibt. Eine Person zu entfernen entfernt auch ihre Geräte und ihren privaten Kreis, und die Schlüssel, die sie hielt, werden ersetzt, bevor weitere Daten geschrieben werden (siehe Verschlüsselung). Den Speicherzugriff zu entziehen ist Sache des Anbieters: Das Gerät des Kontos, das die Mediathek hält, hebt die Freigabe des Ordners auf, und bei S3 wird der Zugriffsschlüssel der Person gelöscht. Was bereits auf ein entferntes Gerät synchronisiert wurde, bleibt dort; Daten lassen sich nicht zurückholen.

Wiederherstellungscodes

Ein Wiederherstellungscode enthält die ID eines Mitglieds und seine aktuellen privaten Schlüsselpaare, die Store-ID der Mediathek und ihren Speicherort; nie Speicherzugangsdaten, Anmelde-Tokens oder den Namen der Mediathek. Er wird bei Bedarf angezeigt, auf Apple-Plattformen automatisch im iCloud-Schlüsselbund gespeichert und ist genau so sensibel wie die Mediathek selbst: Wer ihn hält, ist mit Zugriff auf den Speicher für die Mediathek diese Person. Eine Person, die jedes Gerät und ihren Code verliert, kann von einem Admin erneut zu ihrer bestehenden Mitglieds-ID eingeladen werden, was ihre Schlüssel ersetzt.