Tamper-evident record history
Each version of a record is hashed and the hashes are chained or anchored in an append-only log, so any later change to history is detectable by anyone holding an earlier hash.
GCRI · Registry
Cybersécurité pour les registres
Cybersecurity and cryptography protect a registry’s integrity: that records are not altered without trace, that only authorised people change them, and that what a reader receives is what the issuer published. In registries the main threat is often quiet tampering rather than outage, so integrity and audit matter as much as availability.
01Sommaire
Cybersecurity for registries in five parts.
02Candidature
What cybersecurity and cryptography does here.
Cybersecurity and cryptography protect information systèmes and data from unauthorised access, disruption and manipulation. They address threats that can spread rapidly across interconnected digital and physical systems. In governance and institutions and research and evidence, cybersecurity analysis identifies how a single compromise can propagate across sectors that share software, vendors or networks. It informs resilience requirements and cyber insurance. The canonical description is on les STEM Commons.
Signed exports and releases
Exports and data releases are signed with keys whose public halves are published, so consumers can verify origin and integrity before ingesting, and a compromised mirror cannot pass off altered content.
Threat modelling of edit paths
Every route by which a record can change, from the interface and bulk import to administrator tools and pipelines, is modelled for abuse, including insiders and stolen credentials, and each route is logged.
03Suivi
Security assessment.
L'écran qu'une équipe utiliserait pour suivre cette méthode : ses mesures, ses états et ses décisions. Les noms sont des exemples et les valeurs sont illustratives.
Security assessment
Registry · Cybersecurity for registries · Run R-3129
Two high findingsGCRI · Registry
Constats
| Weak key rotation | Identity service | Élevé | PR.AA | Ouvrir |
| Unpatched gateway | Edge | Élevé | PR.PS | Fixing |
| Logging gap | API de paiement | Moyen | DE.CM | Ouvrir |
| Stale accounts | Annuaire | Faible | PR.AA | Clos |
Fiche méthode
- Méthode
- Cybersécurité et cryptographie
- Cadre
- Fonctions du CSF 2.0
- Périmètre
- 37 assets
- Étiquette
- MODÉLISÉ
Control coverage by function
04Données
Ce que consomme la méthode.
Datasets and records used by cybersecurity and cryptography on this platform, with the role each plays and the label its values carry. Sources are listed in le registre des sources.
| Données | Rôle | Étiquette |
|---|---|---|
| Security event and audit logs | Detection and reconstruction of changes | OBSERVÉ |
| Content hashes and transparency logs | Integrity verification of records and releases | OBSERVÉ |
| Vulnerability databases such as CVE and OSV | Known weaknesses in registry software dependencies | DÉCLARÉ |
| Incident reports | Lessons from past compromises and near misses | DÉCLARÉ |
05Simulateur
Une cascade à travers des réseaux interdépendants.
A empreinte d'aléa emporte les actifs colocalisés dans chaque couche ; la fragmentation, la dépendance entre couches et la surcharge des survivants propagent ensuite la défaillance. La vue 3D sépare les couches par profondeur. Modèle pédagogique à valeurs illustratives déclarées, pas une prédiction.
Commandes
- Actifs par couche
- 18
- Emprise de l'aléa
- 8 % de la superficie
- Actifs qui dépendent d'une autre couche
- 60%
- Capacité de réserve (tolérance)
- 30%
Relevés
- Actifs touchés par l'aléa
- 6%
- Actifs encore en fonctionnement
- 48%
- Amplification des dommages initiaux
- 9.3 times
- Étapes jusqu'au règlement
- 3
Chiffres, méthodes et sources
| Étape | Fonctionnement de l'alimentation (%) | Water working (%) | Télécoms opérationnelles (%) |
|---|---|---|---|
| 0 | 100 | 100 | 83 |
| 1 | 61 | 100 | 56 |
| 2 | 61 | 56 | 39 |
| 3 | 61 | 44 | 39 |
Méthodes
- Réseaux interdépendants Buldyrev and others (2010), Catastrophic cascade of failures in interdependent networks, Nature 464
- Cascades de surcharge Motter and Lai (2002), Physical Review E 66
- Charge d'intermédiarité Brandes (2001), Journal of Mathematical Sociology 25
- Réseaux multicouches Kivela and others (2014), Journal of Complex Networks 2
- Interdépendances des infrastructures Rinaldi, Peerenboom and Kelly (2001), IEEE Control Systems 21(6)
- Éventail d'incertitude (Monte Carlo sur les paramètres) Spiegelhalter, Pearson et Short (2011), Visualising uncertainty about the future, Science 333
- Sensibilité un facteur à la fois (tornade) Saltelli and others (2008), Global Sensitivity Analysis: The Primer, Wiley
Données
The model runs on the teaching values set by the controls. To calibrate it for a place, read it against these admitted layers and series, which this page’s map can draw:
- Routes principales Natural Earth
- Chemins de fer Natural Earth
- Ports maritimes Natural Earth
- Aéroports Natural Earth
- Étendues urbaines Natural Earth
- Lumières nocturnes ce soir, coupures (bande jour/nuit VIIRS) NASA/NOAA VIIRS (Suomi NPP) · registre nasa.gibs.context-live-layers
- Événements naturels (NASA EONET) NASA EONET · registre nasa.eonet.events
Sur les six piliers, sous la conduite de Nexus Consortium
- Expériences Laboratoires
- Intégré Registry dans Foundry
- Testé à Registry dans Universe
- Codifié dans Fondations et gouvernance dans Standards
- Publié dans Registre dans Reports
- Enseigné dans Faculté de gouvernance, de politiques publiques et d'affaires internationales à l'Academy
06Validation
Comment les résultats sont vérifiés.
Controls are tested through red-team exercises, audits and formal analysis of cryptographic schemes. Incident data are used to check whether defences performed as intended.
| Vérifier | Comment c'est fait |
|---|---|
| Hash verification | Published records and exports are re-hashed on a schedule and compared with the logged values |
| Access review | Accounts with edit and administrator rights are reviewed against current roles, and stale access is removed |
| Penetration testing | Edit paths and interfaces are tested by an independent team against the threat model |
| Restore drills | Backups are restored to a clean environment and compared with the live registry |
Adversaries adapt, so historical data may not reflect future attacks. Software supply chains and legacy systems introduce weaknesses that are hard to inventory.
07Méthodes et preuves
How cybersecurity for registries is modelled, measured and tested.
Le modèle, ses hypothèses, ses données et son incertitude, sous la forme qu'un scientifique ou un ingénieur vérifierait. Les structures suivent des méthodes publiées. Les valeurs représentées sont illustratives, ce ne sont pas des résultats.
Jeux de données et provenance
The data classes behind cybersecurity for registries and what is recorded about each before it is used.
| Classe de données | Provenance consignée | Résolution indiquée | Licence vérifiée |
|---|---|---|---|
| Imagerie satellitaire, optique et radar | capteur, niveau de traitement, date d'acquisition | taille de pixel et revisite | par scène |
| Réanalyses et sorties de modèles climatiques | modèle, expérience, membre, version | grille et pas de temps | par publication |
| Capteurs et stations de mesure in situ | station, instrument, fiche d'étalonnage | point et fréquence d'échantillonnage | par réseau |
| Exposition de la population et des actifs | méthode, millésime, sources d'entrée | taille et unité de la cellule | par publication |
| Limites et géographie de référence | producteur, édition, date | échelle | par édition |
- Lignage
- Enregistrement W3C PROV de la source à la figure
- Principes
- FAIR : faciles à trouver, accessibles, interopérables, réutilisables
- Lacunes
- affiché comme manquant, jamais complété en silence
Principes directeurs FAIR · GO FAIR et FORCE11W3C PROV · World Wide Web ConsortiumOrientations sur le traitement cohérent des incertitudes · GIECCEOS Analysis Ready Data · Comité sur les satellites d'observation de la Terre
09Intendance
Qui tient à jour la méthode.
Cybersécurité et résilience numérique stewards cybersecurity and cryptography for the Consortium and reviews how it is applied across platforms.
10Connecté
Où mène cette page à travers le Consortium.
11Questions
Questions et réponses.
What are the limits of cybersecurity and cryptography in this field?
Adversaries adapt, so historical data may not reflect future attacks. Software supply chains and legacy systems introduce weaknesses that are hard to inventory.
Comment les résultats sont-ils vérifiés ?
Controls are tested through red-team exercises, audits and formal analysis of cryptographic schemes. Incident data are used to check whether defences performed as intended.
Les valeurs de cette page sont-elles réelles ?
The data names, roles and checks are real descriptions of practice. The canvas shows a design of the method’s use, not a run; no result is reported here.
Où d'autre cette méthode est-elle appliquée ?
Le page canonique de la méthode liste toutes les plateformes qui l'appliquent.
RapportsContribuer
Apportez des éléments de preuve depuis cette page.
Rapports is the Consortium’s quarterly publication. What you know about this subject can become evidence, a case or a correction in the next edition, credited to you and published under CC BY 4.0 where it is your own work.
GCRIRegistreMéthodes et technique
- E-mailPasserelle GW-GCRIL'envoyer depuis cette pageUne preuve, une correction, un cas, une méthode, un examen, une traduction ou un apport au profil. Elle arrive étiquetée avec cette page, afin que le rédacteur responsable la reçoive.
- ZenodoDépôt ouvertLe déposer et le soumettre à la communautéPubliez votre propre fiche sur Zenodo avec votre identifiant ORCID, puis soumettez-la à la communauté Reports qui s'y trouve. Des curateurs l'examinent ; le DOI reste le vôtre.
- RapportsGCRIVoir toutes les façons de contribuerLes types de contribution, la manière dont chacune est examinée, la reconnaissance accordée, la licence et ce qui n'est jamais accepté.
N'envoyez jamais de données personnelles, de détails sensibles sur des infrastructures ni rien que vous n'avez pas le droit de communiquer. Une contribution est examinée avant utilisation ; son envoi ne confère ni qualité d'auteur ni droits éditoriaux, et un parrainage n'achète jamais une conclusion.
Registre
Apportez une méthode, un jeu de données ou une question.
L'information et les demandes sont ouvertes dès aujourd'hui. Une demande reçoit une référence et indique l'étape suivante ; candidatures, paiements, allocations de calcul et inscriptions n'ouvrent que lorsque l'équipe, les conditions et la capacité d'examen existent.
Juridique
Documents juridiques.
Les cartes, données et chiffres de ce site sont présentés à titre de contexte et d'information générale. Ils ne constituent ni des conseils, ni des prévisions, ni des alertes ; les limites de l'information sont exposées dans les Avertissements et les Notices sur les données.