Tamper-evident record history
Each version of a record is hashed and the hashes are chained or anchored in an append-only log, so any later change to history is detectable by anyone holding an earlier hash.
GCRI · Registry
Cibersegurança para registros
Cybersecurity and cryptography protect a registry’s integrity: that records are not altered without trace, that only authorised people change them, and that what a reader receives is what the issuer published. In registries the main threat is often quiet tampering rather than outage, so integrity and audit matter as much as availability.
01Conteúdo
Cybersecurity for registries in five parts.
02Candidatura
What cybersecurity and cryptography does here.
Cybersecurity and cryptography protect information sistemas and data from unauthorised access, disruption and manipulation. They address threats that can spread rapidly across interconnected digital and physical systems. In governance and institutions and research and evidence, cybersecurity analysis identifies how a single compromise can propagate across sectors that share software, vendors or networks. It informs resilience requirements and cyber insurance. The canonical description is on o STEM Commons.
Signed exports and releases
Exports and data releases are signed with keys whose public halves are published, so consumers can verify origin and integrity before ingesting, and a compromised mirror cannot pass off altered content.
Threat modelling of edit paths
Every route by which a record can change, from the interface and bulk import to administrator tools and pipelines, is modelled for abuse, including insiders and stolen credentials, and each route is logged.
03Monitoramento
Security assessment.
A tela que uma equipe usaria para acompanhar este método: suas medidas, estados e decisões. Os nomes são exemplos e os valores são ilustrativos.
Security assessment
Registry · Cybersecurity for registries · Run R-3129
Two high findingsGCRI · Registry
Constatações
| Weak key rotation | Identity service | Elevado | PR.AA | Abrir |
| Unpatched gateway | Edge | Elevado | PR.PS | Fixing |
| Logging gap | API de pagamentos | Médio | DE.CM | Abrir |
| Stale accounts | Diretório | Baixo | PR.AA | Encerrado |
Ficha do método
- Método
- Cibersegurança e criptografia
- Quadro de referência
- Funções do CSF 2.0
- Escopo
- 37 assets
- Rótulo
- MODELADO
Control coverage by function
04Dados
O que o método consome.
Datasets and records used by cybersecurity and cryptography on this platform, with the role each plays and the label its values carry. Sources are listed in registro de fontes.
| Dados | Função | Rótulo |
|---|---|---|
| Security event and audit logs | Detection and reconstruction of changes | OBSERVADO |
| Content hashes and transparency logs | Integrity verification of records and releases | OBSERVADO |
| Vulnerability databases such as CVE and OSV | Known weaknesses in registry software dependencies | REPORTADO |
| Incident reports | Lessons from past compromises and near misses | REPORTADO |
05Simulador
Uma cascata através de redes interdependentes.
A pegada de perigo elimina os ativos colocalizados em cada camada; a fragmentação, a dependência entre camadas e a sobrecarga dos sobreviventes propagam depois a falha. A vista 3D separa as camadas por profundidade. Modelo didático com valores ilustrativos declarados, não uma previsão.
Controles
- Ativos por camada
- 18
- Área de impacto da ameaça
- 8% da área
- Ativos que dependem de outra camada
- 60%
- Capacidade de reserva (tolerância)
- 30%
Leituras
- Ativos atingidos pela ameaça
- 6%
- Ativos ainda a funcionar
- 48%
- Amplificação do dano inicial
- 9.3 times
- Passos até à liquidação
- 3
Números, métodos e fontes
| Passo | Funcionamento da alimentação (%) | Water working (%) | Telecomunicações operacionais (%) |
|---|---|---|---|
| 0 | 100 | 100 | 83 |
| 1 | 61 | 100 | 56 |
| 2 | 61 | 56 | 39 |
| 3 | 61 | 44 | 39 |
Métodos
- Redes interdependentes Buldyrev and others (2010), Catastrophic cascade of failures in interdependent networks, Nature 464
- Cascatas de sobrecarga Motter and Lai (2002), Physical Review E 66
- Carga de intermediação Brandes (2001), Journal of Mathematical Sociology 25
- Redes multicamada Kivela and others (2014), Journal of Complex Networks 2
- Interdependências de infraestruturas Rinaldi, Peerenboom and Kelly (2001), IEEE Control Systems 21(6)
- Leque de incerteza (Monte Carlo de parâmetros) Spiegelhalter, Pearson e Short (2011), Visualising uncertainty about the future, Science 333
- Sensibilidade de um fator de cada vez (tornado) Saltelli and others (2008), Global Sensitivity Analysis: The Primer, Wiley
Dados
The model runs on the teaching values set by the controls. To calibrate it for a place, read it against these admitted layers and series, which this page’s map can draw:
- Rodovias principais Natural Earth
- Ferrovias Natural Earth
- Portos marítimos Natural Earth
- Aeroportos Natural Earth
- Extensões urbanas Natural Earth
- Luzes noturnas esta noite, falhas (banda dia/noite VIIRS) NASA/NOAA VIIRS (Suomi NPP) · registo nasa.gibs.context-live-layers
- Eventos naturais (NASA EONET) NASA EONET · registo nasa.eonet.events
Nos seis pilares, sob a liderança do Nexus Consortium
- Experimentos Laboratórios
- Integrado Registry em Foundry
- Testado em Registry em Universe
- Codificado em Fundamentos e governança em Standards
- Publicado em Registry em Reports
- Ensinado em Faculdade de Governança, Políticas Públicas e Relações Internacionais na Academy
06Validação
Como os resultados são verificados.
Controls are tested through red-team exercises, audits and formal analysis of cryptographic schemes. Incident data are used to check whether defences performed as intended.
| Verificar | Como é feito |
|---|---|
| Hash verification | Published records and exports are re-hashed on a schedule and compared with the logged values |
| Access review | Accounts with edit and administrator rights are reviewed against current roles, and stale access is removed |
| Penetration testing | Edit paths and interfaces are tested by an independent team against the threat model |
| Restore drills | Backups are restored to a clean environment and compared with the live registry |
Adversaries adapt, so historical data may not reflect future attacks. Software supply chains and legacy systems introduce weaknesses that are hard to inventory.
07Métodos e evidência
How cybersecurity for registries is modelled, measured and tested.
O modelo, os seus pressupostos, os seus dados e a sua incerteza, na forma que um cientista ou engenheiro verificaria. As estruturas seguem métodos publicados. Os valores representados são ilustrativos, não conclusões.
Conjuntos de dados e proveniência
The data classes behind cybersecurity for registries and what is recorded about each before it is used.
| Classe de dados | Proveniência registada | Resolução indicada | Licença verificada |
|---|---|---|---|
| Imagens de satélite, óticas e radar | sensor, nível de processamento, data de aquisição | tamanho do píxel e revisita | por cena |
| Reanálises e saídas de modelos climáticos | modelo, experiência, membro, versão | grelha e passo temporal | por publicação |
| Sensores e estações de medição in situ | estação, instrumento, registo de calibração | ponto e frequência de amostragem | por rede |
| Exposição da população e dos ativos | método, versão, fontes de entrada | tamanho e unidade da célula | por publicação |
| Limites e geografia de referência | produtor, edição, data | escala | por edição |
- Linhagem
- Registro W3C PROV da fonte à figura
- Princípios
- FAIR: localizáveis, acessíveis, interoperáveis, reutilizáveis
- Lacunas
- apresentado como em falta, nunca preenchido em silêncio
Princípios orientadores FAIR · GO FAIR e FORCE11W3C PROV · World Wide Web ConsortiumOrientação sobre o tratamento consistente das incertezas · IPCCCEOS Analysis Ready Data · Committee on Earth Observation Satellites
09Gestão responsável
Quem mantém o método.
Cibersegurança e resiliência digital stewards cybersecurity and cryptography for the Consortium and reviews how it is applied across platforms.
10Ligado
Para onde esta página leva em todo o Consórcio.
11Perguntas
Perguntas e respostas.
What are the limits of cybersecurity and cryptography in this field?
Adversaries adapt, so historical data may not reflect future attacks. Software supply chains and legacy systems introduce weaknesses that are hard to inventory.
Como os resultados são verificados?
Controls are tested through red-team exercises, audits and formal analysis of cryptographic schemes. Incident data are used to check whether defences performed as intended.
Os valores desta página são reais?
The data names, roles and checks are real descriptions of practice. The canvas shows a design of the method’s use, not a run; no result is reported here.
Onde mais este método é aplicado?
A página canônica do método lista todas as plataformas que o aplicam.
RelatóriosContribuir
Contribua com evidências a partir desta página.
Relatórios is the Consortium’s quarterly publication. What you know about this subject can become evidence, a case or a correction in the next edition, credited to you and published under CC BY 4.0 where it is your own work.
GCRIRegistroMétodos e documentos técnicos
- E-mailPortal GW-GCRIEnvie desta páginaEvidência, uma correção, um caso, um método, uma revisão, uma tradução ou uma contribuição ao perfil. Chega marcada com esta página, de modo que o editor responsável a receba.
- ZenodoDepósito abertoDeposite-o e envie à comunidadePublique seu próprio registro no Zenodo com seu ORCID iD e depois envie-o à comunidade Reports ali. Os curadores o revisam; o DOI continua sendo seu.
- RelatóriosGCRIVer todas as formas de contribuirOs tipos de contribuição, como cada um é revisado, o crédito que você recebe, a licença e o que nunca é aceito.
Nunca envie dados pessoais, detalhes sensíveis de infraestrutura nem nada que você não tenha o direito de compartilhar. Uma contribuição é revisada antes do uso. Enviá-la não confere autoria nem direitos editoriais, e o patrocínio nunca compra uma constatação.
Registro
Traga um método, um conjunto de dados ou uma pergunta.
A informação e os pedidos estão abertos hoje. Um pedido recebe uma referência e indica o próximo passo; candidaturas, pagamentos, alocações de computação e registros só abrem quando existem a equipa, os termos e a capacidade de revisão.
Jurídico
Documentos jurídicos.
Os mapas, dados e números deste site são apresentados como contexto e informação geral. Não são aconselhamento, previsões nem avisos; os limites da informação estão expostos nos Avisos legais e nos Avisos sobre dados.