[Security] access policy 欠落時に read を許可している(fail-open)。genesis と policy が原子的でない

[somasekimoto]

背景

PR #54 のディープレビュー指摘(blocker 2)。

問題

authorize_read(state_node_service.rs)は access policy のロード エラー には fail-closed で拒否する一方、正常に None を得た場合は Ok(()) を返して認証済みの任意の caller に read を許可する。

// No policy exists yet — allow, matching the HTTP read path.
Ok(())

これは理論上の状態ではない:

• prepare_create_operations(crdt_repository.rs)が作る Create payload は access_policy: None で、owner policy は別の Update operationとして後から適用される
• 受信側の apply_operations は個々の operation の失敗をログして処理を継続し、部分適用でも成功を返し得る

→ 「genesis はあるが policy update が無い」レプリカが成立し、そのノードは誰にでも read を許してしまう。

暗号文の機密性は CEK が守るが、これは認可契約の代替にならない。暗号文・履歴・サイズ・更新頻度といったメタデータが漏れ、将来の暗号/鍵管理のバグを即座に平文漏洩へ拡大する。

あるべき修正

• owner policy を genesis payload に原子的に含める(create の時点で policy が存在することを不変条件にする)
• それが入るまでは、policy 欠落は read 拒否とする。明示的な bootstrap 状態が必要なら別の型で表現する
• create / policy update の部分適用を成功として扱わない

テスト観点

• genesis のみを持つレプリカに対する非 owner の read が拒否されること
• policy update が落ちた部分同期状態を再現し、fail-closed になること

関連

• PR fix(state-node): relay reads to members with member-side authorization; fix read auth + phantom history #54 / feat(read-integrity): verified read path — payload authenticity, sender-authenticated CEK envelopes, single-use mutation signatures #56 は本 issue を未解決のまま、保証範囲を明記した部分 hardening として扱う
• 信頼の根に関する一連の課題: [Security] 版メタデータの trust anchor: 観測者が偽 parents で読み単調性を bypass できる #59, [Security] relay read: 未証明の DHT 候補を member として扱い、credential 転送と認可否定の受理を行っている #63

[somasekimoto]

fail-open 部分は PR #54 で修正しました(2026-07-28)

commit c5afba0(fix/state-node-read-relay)。authorize_read が policy 欠落時に許可していた経路を AuthorizationFailed で拒否するよう変更しました。HTTP read path も同メソッドに集約されているので、両経路が同時に fail-closed になります。

エラーメッセージでは「このノードにまだ複製されていない可能性」を示し、retry または policy を持つノードでの read を案内しています。

テスト:

• policy 欠落時の拒否
• genesis のみを持つレプリカでの拒否(本 issue が指す実シナリオの再現)
• 実機 4 ノードでフル e2e 8/8 pass(正常系を壊していないことを確認)

本 issue に残すもの

• owner policy を genesis payload へ原子的に含める。現状は Create payload が access_policy: None で、owner policy は別の Update operation として届く。fail-closed 化により「policy が未達のノードでは読めない」挙動になったので、正常系でも policy 伝播待ちが観測され得る。根治は genesis に policy を含めること
• apply_operations の部分適用を成功として扱わない。個々の operation の失敗をログして継続する現在の実装が、上記の中途半端な状態を生む一因

この 2 点は create フローと CRDT 適用の変更を伴うため、read 経路の PR とは分けて対応します。