Identiteit en lidmaatschap

Er is nergens in bae een accountsysteem. Elke persoon in een bibliotheek is een coven-lid: een willekeurige, permanente lid-id en twee sleutelparen, één om te ondertekenen en één waarvoor sleutels worden verzegeld, gedeeld door alle apparaten van die persoon en bewaard in de OS-sleutelbos van elk apparaat. Een apparaat is één installatie, met een eigen id, die bij één lid hoort. Wie bij een bibliotheek hoort is een set ondertekende records in de cloud-home, gecontroleerd door het apparaat van elk lid, uitgegeven door geen enkele server. De machine is van coven; deze pagina beschrijft hoe bae hem gebruikt.

Lidmaatschapsrecords

De hele geschiedenis van een bibliotheek in de cloud-home is één genummerde reeks, en elk apparaat past die in dezelfde volgorde toe. Een wijziging in lidmaatschap of instellingen is een beheerdersvermelding in die reeks, ondertekend met de sleutel van de auteur en beoordeeld tegen de toestand vlak ervoor, zodat elk apparaat zelf tot hetzelfde oordeel komt. Een vermelding telt alleen als de auteur haar mag maken, en de bibliotheek houdt altijd minstens één beheerder.

Elke wijziging die een apparaat stuurt wordt tegen dit record gecontroleerd: ondertekend door een huidig lid, vanaf een apparaat dat niet is verwijderd. Wijzigingen van verwijderde apparaten of leden, van sleutels die nooit zijn toegevoegd, of met ongeldige handtekeningen tellen niet. De provider bewaart de records maar kan ze niet vervalsen.

Rollen

Beheerder en Lid lezen en schrijven allebei de bibliotheek: coven controleert geen rechten op schrijfacties in de bibliotheek, dus een alleen-lezen-rol zou niet standhouden. Beheerders nodigen daarnaast mensen uit, verwijderen ze, wijzigen rollen en hernoemen de bibliotheek. Wie een bibliotheek haar cloud-home geeft, is haar eerste beheerder.

Actie	Wie
Iemand uitnodigen	een beheerder
Een apparaat toevoegen	de persoon zelf, vanaf het nieuwe apparaat, met zijn herstelcode
Een apparaat verwijderen	de persoon van wie het is, of elke beheerder
Iemand verwijderen	een beheerder
De bibliotheek hernoemen	een beheerder

Het profiel, de beoordelingen, de geschiedenis en de afspeellijsten van een persoon zijn eigenaarsrijen: alleen de apparaten van die persoon kunnen ze wijzigen, dus een beoordeling op iemands naam is ook echt van hem.

Je eigen apparaat toevoegen

Een herstelcode bewijst dat een apparaat van zijn persoon is, dus er is geen goedkeuring nodig:

1. Het nieuwe apparaat krijgt de code door de QR-code te scannen die een ander apparaat van de persoon toont, uit de iCloud-sleutelhanger op Apple-apparaten, of door hem te typen.
2. Het bereikt de opslag: bij Dropbox en OneDrive door zich aan te melden bij het eigen account van de persoon, bij S3 met zijn toegangssleutel, die de QR-code naast de code meedraagt.
3. Het laadt de bibliotheek, controleert dat de sleutels van de code bij een huidig lid horen, en registreert zich als nieuw apparaat met een vermelding die met die sleutels is ondertekend.

Een code waarvan de sleutels inmiddels zijn vervangen, faalt. Herstellen maakt altijd een nieuw apparaat; het redt geen niet-verzonden bewerkingen van een andere installatie.

Iemand uitnodigen

1. Een beheerder vult het provideraccount van de persoon in en kiest zijn rol. bae deelt de map van de bibliotheek met dat account, of maakt bij S3 een toegangssleutel voor hem, en toont een uitnodiging: een QR-code met de locatie van de bibliotheek, de lid-id die voor de persoon is gekozen, een eenmalig geheim en de huidige naam van de bibliotheek. Ze verloopt een dag nadat ze is gemaakt.
2. Het apparaat van de persoon scant haar, meldt zich aan bij zijn eigen account, maakt zijn sleutelparen en schrijft een toetredingsverzoek naar de opslag, versleuteld met een sleutel die is afgeleid van het geheim van de uitnodiging en ondertekend met zijn nieuwe sleutel.
3. Het apparaat van de beheerder, het enige dat het geheim heeft, toont het verzoek, en de beheerder keurt het goed.
4. Goedkeuring verzegelt elke store-sleutel voor de nieuwe verzegelingssleutel van de persoon en voegt daarna de vermelding toe die hem toelaat.
5. Het nieuwe apparaat opent zijn sleutels, laadt de bibliotheek, registreert zich en schrijft het profiel van de persoon met de naam die hij typte.

Afwijzen, of de uitnodiging laten verlopen, trekt de providertoegang in die ze had verleend.

Verwijderen

Een apparaat of een persoon verwijderen is een beheerdersvermelding, en haar plek in de reeks is een lijn in de geschiedenis: wat het verwijderde apparaat of de verwijderde persoon daarna stuurt telt niet, terwijl wat eerder aankwam blijft staan. Een persoon verwijderen verwijdert ook zijn apparaten en zijn privékring, en de sleutels die hij had worden vervangen voordat er meer data wordt geschreven (zie Encryptie). Opslagtoegang afsluiten is werk voor de provider: het apparaat van het account dat de bibliotheek host stopt met delen van de map, en bij S3 wordt de toegangssleutel van de persoon verwijderd. Wat al naar een verwijderd apparaat was gesynchroniseerd blijft daar; data kan niet worden teruggestuurd.

Herstelcodes

Een herstelcode bevat de id van een lid en zijn huidige privésleutelparen, de store-id van de bibliotheek en haar opslaglocatie; nooit opslaginloggegevens, aanmeldtokens of de naam van de bibliotheek. Hij wordt op verzoek getoond, automatisch in de iCloud-sleutelhanger bewaard op Apple-platforms, en is precies zo gevoelig als de bibliotheek zelf: wie hem heeft, met toegang tot de opslag, is voor de bibliotheek die persoon. Iemand die elk apparaat en zijn code verliest, kan door een beheerder opnieuw worden uitgenodigd op zijn bestaande lid-id, wat zijn sleutels vervangt.