02.3 — Motore 3: Controllo (RBAC, audit, firme)

L’Invariante

Ogni mutazione è attribuibile e ogni artefatto è verificabile senza fidarsi della piattaforma. L’identità arriva da sessioni autenticate e ruoli dichiarati nel manifest; la catena di audit è hash-linked per tenant; manifest, licenze, batch di ingest e payload di verifica pubblica sono firmati Ed25519 — chiunque abbia la chiave pubblica può controllarli.

Il Contratto

• RBAC engine — rbac_engine.roles e permissions nel manifest mappano ruoli → trigger ammessi. Il diniego è fail-closed (403), applicato dentro la pipeline delle azioni.
• Catena di audit — ogni riga di audit porta il prev_hash; GET /api/v1/audit/verify (edge) e …/tenant/audit/verify, …/admin/audit/verify (Control Plane) ri-validano la catena.
• Firme — manifest e licenze di produzione sono firmati con MANIFEST_PRIVATE_KEY / PLUGIN_PRIVATE_KEY (Ed25519). L’edge verifica contro MANIFEST_PUBLIC_KEYS / PLUGIN_PUBLIC_KEYS prima dell’attivazione. Il fallback HMAC esiste solo in sviluppo — NODE_ENV=production fallisce chiuso senza chiavi Ed25519.
• Identità dispositivo — i nodi edge firmano i batch di ingest (x-edge-signature) con la coppia di chiavi emessa al claim di bootstrap.

Il Flusso

1. Un’azione operatore entra in pipeline; l’RBAC confronta i ruoli di sessione con rbac_engine.permissions.
2. Al commit la riga di audit viene accodata con l’hash della riga precedente — manomettere un anello invalida la catena.
3. Il Control Plane pubblica i manifest dopo aver validato la firma; l’edge verifica prima dello swap is_active.
4. I batch di sync arrivano firmati; il Control Plane ri-verifica contro la pubkey registrata del nodo e conserva il batch come evidenza ri-controllabile.
5. GET /api/v1/public/verify/event/:id permette a un terzo di verificare un evento committato — senza credenziali tenant.

Esempio di Payload

# Verifica end-to-end della catena di audit tenant (Control Plane)
curl -s https://cp.axiom-trace.eu/api/v1/tenant/audit/verify \
  -H "Authorization: Bearer $PORTAL_SESSION"
# → { "ok": true, "checked": 4811, "head": "9f2c…" }

# Oracolo pubblico — verifica la traccia di un singolo evento, senza credenziali
curl -s https://cp.axiom-trace.eu/api/v1/public/verify/event/$EVENT_ID
# → { "valid": true, "chain_depth": 12, … }

I Fallimenti Noti