Assurance Levels A0 bis A4
Eine verständliche Vertrauenssprache für das, was technisch belegt ist. Keine Rechtsklassifikation, sondern eine Zusammenfassung der Prüfschritte.
Kurz gesagt
Fünf kumulative Stufen von A0 (nicht verifiziert) bis A4 (zeitlich verankert). Ein widerlegter Nachweis steht immer auf A0.
- KYA-A0Nicht verifiziert
A0Format erkannt, nichts belegt
- KYA-A1Integrität belegt
A1Signaturen und Hashes stimmen
- KYA-A2Befugnis belegt
A2Mandat gültig, Handlung im Umfang
- KYA-A3Herkunft belegt
A3Nicht widerrufen, Delegation lückenlos
- KYA-A4Zeitlich verankert
A4Zeitpunkt unabhängig fixiert
Die Regeln
| Stufe | Bezeichnung | Mindestanforderung |
|---|---|---|
KYA-A0 | Nicht verifiziert Unverified | Nur lesbar oder syntaktisch erkannt. |
KYA-A1 | Integrität belegt Integrity Verified | Format und kryptografische Integrität belegt. |
KYA-A2 | Befugnis belegt Authority Verified | A1, dazu Aussteller, Agent und Auftraggeber sowie Gültigkeit belegt; Umfang weder widerlegt noch unbestimmt. |
KYA-A3 | Herkunft belegt Provenance Verified | A2, dazu Widerruf belegt; Delegation belegt oder nicht vorhanden. |
KYA-A4 | Zeitlich verankert Time-Anchored Evidence | A3, dazu Zeitstempel belegt und auf einen Anker der Prüfstelle zurückgeführt. |
Die Stufen sind kumulativ. Wer A3 erreicht, hat A1 und A2 bereits belegt.
Ein widerlegter Nachweis steht immer auf A0
Ist ein einziger Prüfschritt widerlegt, lautet das Urteil «ungültig», und die Stufe ist A0 – auch wenn andere Schritte belegt sind. Eine hohe Stufe neben einem widerlegten Schritt würde überflogen und falsch gelesen.
Eine Blankovollmacht kommt nicht über A1
Ein Mandat ohne Umfang ist eine Blankovollmacht. Ob eine Handlung darin liegt, lässt sich nicht prüfen, also ist der Umfang «unbestimmt». Seit Policy 1.0 blockiert das die Stufe A2: Eine unbegrenzte Vollmacht ist keine geprüfte Befugnis.
Was A4 bedeutet und was nicht
A4 heisst: Alle Schritte bis A3 sind belegt, und ein RFC-3161-Zeitstempel ist gültig, an den Inhalt gebunden und auf einen Vertrauensanker zurückführbar, den die prüfende Stelle angegeben hat.
A4 heisst nicht, dass der Zeitstempel qualifiziert im Sinne von ZertES oder eIDAS ist. Dafür braucht es eine Vertrauensliste, die diese Version nicht lädt. Der Bericht weist den Qualifikationsstatus deshalb als «nicht geprüft» aus. Mehr zu Zeitstempeln und Ankern
Unbelegte Delegation
Für A3 darf die Delegationskette fehlen – dann hat der Auftraggeber direkt mandatiert. Ist eine Kette vorhanden, aber nicht belegbar, reicht es nicht: Eine unbelegbare Kette ist keine belegte Kette.
Versionierung der Stufen
Jede Stufe hat eine öffentliche Regel, Testvektoren und eine Policy-Version. Ein Bericht behält die Version, unter der er entstanden ist. Wird eine Regel verschärft, entsteht eine neue Version, keine rückwirkende Neubewertung.