Neměnný auditní log

Neměnný auditní log funguje řetězením pomocí hashů: pokaždé, když se zapíše záznam - přihlášení, změna oprávnění, smazání zdroje - systém spočítá kryptografický otisk obsahu tohoto záznamu spolu s otiskem záznamu bezprostředně předchozího. Tento kombinovaný otisk se uloží spolu s novým záznamem, což znamená, že příští zapisovaný záznam se zase bude hashovat proti němu. Výsledkem je řetěz záznamů, z nichž je každý matematicky závislý na všem, co mu předcházelo, až po úplně první záznam v logu. Žádný záznam neexistuje izolovaně; jeho platnost lze prokázat jen v kontextu celé sekvence.

Právě to odlišuje neměnný auditní log od obyčejného. Běžný log soubor nebo databázovou tabulku obvykle může upravit nebo smazat kdokoliv s dostatečným přístupem pro zápis - omezení, kdo takový přístup má, je politika, a politiky lze špatně nastavit, obejít nebo přebít zevnitř. Řetězení pomocí hashů mění, co manipulace vyžaduje: úprava nebo smazání jednoho starého záznamu znehodnotí otisk každého záznamu zapsaného po něm, takže zamaskovat změnu znamená přepočítat celý zbytek řetězu, ne upravit jeden izolovaný řádek. To je pořád možné pro někoho s neomezeným přístupem k surovému úložišti, a proto neměnné logy kombinují řetězení pomocí hashů se způsobem, jak řetěz ověřit proti referenci, kterou útočník nekontroluje - exportovanou kopií, pravidelným kontrolním bodem, nebo úložištěm, které prostě odmítne přepsání nebo smazání. Ať tak či tak, otázka se posouvá od „komu věříme" k „sedí ten řetěz pořád?"