qinglong/docs/adr/ADR-0183-emergency-local-publisher-key-revocation-and-quarantine.md

ADR-0183：本机 Publisher Key 紧急撤销与隔离证据

• 状态：Accepted
• 日期：2026-07-28
• 关联：RFC D-133、D-169、D-170、D-171、D-172、D-173；ADR-0135、 ADR-0179、ADR-0180、ADR-0181、ADR-0182

背景

ADR-0182 的正常退休要求旧 signer 引用和未决 catalog transaction 都归零，这不适合 疑似或确认泄露的 key。继续等待重签与 collect 会允许攻击者发布新的 recovery entry；直接删 key 又会把“信任根已删除”误写成“已经运行的 Package、Task 和 Tool 均已停止”，并遗漏受影响 durable lock 的审计锚点。

本机 trust、catalog/bundle 文件与 SQLite 仍是不同介质。紧急动作必须先建立一个跨 重启可见的阻断事实，再以双人或显式 break-glass 完成不可逆删除；不能依赖进程内 锁、watcher 或一次目录扫描。

决策

1. 提案先阻断，再确认删除

第一位 authenticated current Owner 执行 plugin-package.publisher-trust.revoke.propose。短生命周期命令先有界分析全部 retained catalog entry 和未决 transaction，并把受影响 lock digest 的排序集合、 计数、publisher/key、expected generation、mutation、提案 Owner 与 audit 时间绑定 为 immutable proposal 和 impactDigest。

proposal 以 hard-link no-replace 写入受管 0700 trust root；一旦 durable：

• 目标 signer 的 catalog publication 立即失败；
• application 在 queued stage 前和 staging 后、返回 evidence 前各复验阻断事实；
• rotate、retire 和另一生命周期 mutation 不能越过该 pending proposal；
• 命令返回 runtimeAction=stop_required，要求 operator 停止 application。

proposal 不提供 abort 或 unblock。疑似泄露事实一旦发布就只能通过精确确认继续， 避免删除提案恢复已受怀疑 signer 的 authority。

2. 默认双人确认，break-glass 必须显式绑定影响

第二条命令 plugin-package.publisher-trust.revoke.confirm 必须精确重放 proposal 的 publisher、key、expected generation、mutation、proposerSubjectId 和 expectedImpactDigest，并选择：

• dual_control：确认者与提案者必须是两个不同 subject，且两者在确认时都仍是 current default Project Owner；
• break_glass：允许同一 current Owner 独立完成，但必须显式选择该模式，并提交 suspected_key_compromise 或 confirmed_key_compromise reason code。

两种模式都重新执行强认证、current Owner fence 和既有低敏 SecurityAudit。确认后先 写 immutable revocation receipt，再生成显式 revoke snapshot；snapshot 必须精确 等于前一 generation 删除一个目标 key，不得改写其他 key。

紧急撤销允许删除最后一个 key。此时 current.json 的空 key 集合是可恢复、可审计的 管理状态，但 runtime trust registry 构造失败关闭；operator 必须通过受审 provision/ recovery 流程重建信任，不能让 runtime 使用隐式默认 key。

3. Quarantine 是不可变证据，不是假热停止

receipt 保存 proposal 时观察到的受影响 lock digest 集合，并在 inspect 中只聚合返回 quarantinedLockCount，不回显 publisher、key 或 lock identity。它证明这些 lock 必须按 compromise 处置，但本切片不修改既有 Package installation 状态枚举，也不 声称已撤下：

• 已经 active 的 Package；
• 已物化的 Task/Tool resource generation；
• 已进入 staged 或 activating 的事务。

确认成功返回 runtimeAction=restart_required。这不是自动重启许可：operator 应在 停机状态审查受影响 lock、替代 key 与恢复源。后续 D-174 必须新增持久化 Package deactivation/quarantine 状态机，并让 Task/Tool publication 和 invocation admission 按 durable fence 撤出已激活资源。

4. 恢复、容量与低配约束

proposal、receipt、snapshot 或 current 提升任一窗口崩溃，只允许同一 authenticated command 和同一 impact/authorization/reason 精确重放；漂移失败关闭。trust root 最多保留 32 个 revocation proposal、32 个 receipt、32 组 retirement evidence、 64 代 snapshot 和 64 个临时文件；未知或超限 entry 失败关闭。

实现复用已有：

• @qinglong/local-admin/package-publisher-trust；
• @qinglong/local-admin/package-recovery-catalog；
• @qinglong/local-owner-cli/package-publisher-trust-command；
• @qinglong/local-application/plugin-package-recovery-catalog。

没有新增 workspace package、第三方依赖、timer、watcher、listener、socket 或 steady state I/O。空队列仍不加载 catalog；proposal guard 只在真实 publication/stage 或 显式管理命令中读取有界私有目录，适合低配路由设备。

拒绝方案

1. 复用正常 retirement：要求引用为零，无法立即冻结疑似泄露 signer。
2. 单命令立即删除：缺少第二人复核或显式 break-glass，误操作不可审计。
3. 只删除 trust key：丢失受影响 lock 集合，也无法驱动后续资源隔离。
4. 新增 quarantined 枚举但不接资源消费者：形成“状态已安全”的虚假保证。
5. 进程内 denylist 或 watcher：重启丢失且增加路由器 idle 资源和竞态。
6. 删除最后 key 时注入默认 key：在最危险窗口引入未审计信任根。

当前证据

• proposal durable 后目标 signer 的 catalog publish 与 queued application stage 均 失败关闭；
• 同一 Owner 使用 dual_control 被拒绝，显式 break_glass 可完成产品级流程；
• core 双 Owner 流程验证不同 subject、impact digest、reason 和 authorization mode；
• receipt/snapshot/current 崩溃窗口由 exact command 收敛，最后 key 可撤销且 runtime registry 失败关闭；
• inspect 只返回 revocation、pending 和 quarantined lock 计数；
• 非 Owner 在 proposal 可见前被拒绝，33 个 revocation evidence 触发容量失败关闭；
• local-admin 63/63、local-application 32/32、local-owner-cli 22/22、 dependency/source boundary 30/30 和 Edge import 121 modules 全绿；
• edge/standalone application 为 4,766,330/4,766,474 bytes、607 files、90 loaded modules；application-ai 为 5,444,151/5,444,307 bytes、651 files、89 loaded modules，四种制品和 RSS 门均在预算内；
• workspace 仍为 22 package，无新增生产依赖或常驻资源。

Cluster 代码、migration、ACL 和部署 manifest 未变化。本 ADR 不声明 Cluster publisher trust 能力；PostgreSQL HA Docker 门只在后续 Cluster 对等实现发生变更时重跑。

后续门禁

1. D-174：active/staged/activating Package 的持久 deactivation/quarantine；
2. Task/Tool resource generation 撤回、invocation admission fence 与 crash replay；
3. 被隔离 lock 的替代发布、恢复或永久 tombstone ceremony；
4. 在线 OCI fetch authority 与 publisher metadata/update channel；
5. 固定低配 Linux 路由器断电、ENOSPC、闪存写放大与容量证据；
6. Cluster 对等 trust lifecycle 和双人管理 transport。