# MeshForge — Bedrohungsmodell

Stand: Entwicklungsvorschau vom 25. Oktober 2026. Keine Produktionsfreigabe.

| Angreifer / Grenze | Vorhandene Maßnahmen | Verbleibendes Risiko / Gate |
|---|---|---|
| Untrusted Snapshot oder Arbeitsdatei | gepinnte os.Root-Verzeichnisse, Symlink-/Pfadprüfung, Größenlimits, Hashprüfung, escaped Text | privilegierter lokaler Angreifer außerhalb des Modells; keine Codeausführung |
| Konkurrierender Writer / Prozessabbruch | Kernel-Locks, immutable Objekte, CAS, File-/Linux-Directory-Sync, persistente Retry-Intents | echte Powerloss/Windows/NFS/Disk-full-Abnahme; Export außerhalb Linux amd64/arm64 nicht crash-atomar |
| Fremde Webseite gegen lokale UI | Loopback+Host+Origin, CSP, ablaufende kontextgebundene CSRF-Token, Tree-/HEAD-CAS | lokale Prozesse/SSH-Weiterleitung sind keine unterschiedlichen angemeldeten Benutzer |
| Bösartiges Gerät oder Replay | rootgebundene Scopes, Ablauf, exakte Requestbindung, Nonce-Verbrauch, persistenter Widerruf | privater E2EE-Pfad mit frischer Membership-/Nonceprüfung und Owner-Cutover vorhanden; OS-Keystore und umfassende DIP-Root-Recovery/UI fehlen |
| Bösartiger Peer / Netzpfad | TLS außerhalb Loopback, Origin-/Owner-Pin, Hash-/Signatur-/Graphprüfung, URL/DNS-Prüfung, kein Proxy/Redirect | Sybil/Eclipse, öffentliche Verfügbarkeit und Produktionslast nicht abgenommen |
| Spam / Ressourcenverbrauch | Body-/Rate-/Concurrency-/Store-/Graphlimits, bounded Gossip, Backoff/Dedupe | selbst erzeugte Schlüssel keine Admission-Policy; TTL/GC und SLOs offen |
| Kompromittierter Download-Peer | experimenteller Offline-Verifier mit separat gepinnten Roots, signierter Policy/Manifest/Reviews/Testbelegen, lokalen Fristen und Artefakthash; opt-in Policy-Wechsel mit stärkeren lokal gepinnten Quoren/Floors, kein Auto-Run | v2 Rotation/Recovery separat provisioniert und lokal getestet; v1 bleibt terminal. Realer Founder-Root, Installer und unabhängige Abnahme fehlen |
| Privilegierter lokaler Administrator | als vertrauenswürdig vorausgesetzt | kann State/Clock/Binary austauschen oder gültige alte Zustände zurückspielen; Signaturen allein erkennen vollständigen lokalen Rollback nicht |

Private Namen, Hashes und Inhalte gelangen durch lokale Commits nicht in Discovery,
MCP oder die öffentliche Outbox. Public-Sync ist eine getrennte ausdrückliche
Veröffentlichung; auch unreferenzierte Uploads sind öffentlich. Deshalb prüft der
Client den ganzen ausgewählten Graph vor Upload. Unbekannte Secrets können
nicht anhand eines Dateinamens sicher erkannt werden; Veröffentlichung verlangt
inhaltliche Benutzerprüfung. Ein Widerruf löscht keine fremden öffentlichen Kopien.

Ein Key beweist Schlüsselkontrolle, keine natürliche Person/Firma. Peerzahlen,
Sterne und Unternehmensgröße sind keine Governance-Autorität. Externe Provider,
Wallets, Firmenprüfer und Agentenausführung sind noch keine aktiven Vertrauenspfade.

Private Remote-Peers sehen Ciphertextgrößen, Zugriffszeiten und opaque Repo-/Geräte-
Metadaten; E2EE verbirgt nicht dieses Verkehrsmuster. Ein widerrufener Leser behält
bereits erhaltene Readkeys/Klartexte. Neue Epochkeys und Owner-Cutover sperren
künftige Zugriffe, löschen aber keine fremden Kopien. Manuell unabhängig bestätigte
Historypins erkennen Rollbacks/Forks erst relativ zum bekannten Zustand; Verfügbarkeit
und globale Konsistenz gegenüber einem equivokierenden Peer sind nicht garantiert.
[Private Sync](PRIVATE_SYNC_CLI.md), [Pakete](PRIVATE_PACKAGES.md).

V2 Recovery verlangt vorher provisionierte unabhängige Recoveryautorität und
Reviewer sowie neue Rootsignaturen; offene terminale Ursachen bleiben bis zur
expliziten Behandlung erhalten. Vollständiger lokaler State-/Clock-Rollback bleibt
außerhalb der Garantie. [Recovery-CLI](RECOVERY_CLI.md).
[Build-/SBOM-Werkzeuge](REPRODUCIBLE_BUILDS.md) belegen Bytes/Provenienz innerhalb
des konkreten geprüften Builds, nicht die Ehrlichkeit von Buildern oder Roots.


N5 ist experimentell implementiert: [explizite Neuzielmigration](NATIVE_MIGRATION_CLI.md)
aus einem [vollständig gepinnten Backup](BACKUP_READER.md), mit erhaltenen
Rohobjekten, abgetrennten Historien, `.dh/ignore` und unabhängig nachprüfbarem
Owner-Importerattest. HEAD allein genügt nicht; die genaue Manifest-SHA256 ist
Pflicht. Die Signatur ersetzt keine vollständige Konversionsprüfung und belegt
keine historische Autorenschaft. Linux-No-replace-Publikation lässt das
Quellrepository unverändert; Windows-Backend, DOP-Remote und autorisiertes
Merge-Apply bleiben offen. Lokale Paketprüfungen und fünf Prozessprüfgruppen
bestanden; der gemeinsame aktuelle Freeze-Lauf ist noch ausstehend.

N5 behandelt einen gültigen Owner-Importerclaim nicht als Freigabe des
Quellinhalts. Unabhängig provisionierte Quellpins schützen nur den ausgewählten
Backupstand. Ein lokaler Administrator kann Dateien, Pins und Prozessspeicher
verändern; die Dateisystemprüfungen ersetzen diese Vertrauensgrenze nicht.
Bei unsicherer Persistenz nach Veröffentlichung bleibt das mögliche Ziel
erhalten, und der Aufrufer erhält keinen Erfolg oder teilweisen Ergebnisbeleg.