Härdning efter panelgranskningen: kedjad logg, förseglat avslut, härledd säkerhetsnivå

Fyra av granskningens fynd åtgärdade, i bevisvärdesordning.

HASHKEDJAN (ALVA-SPEC-070). Triggrar skyddar loggen mot applikationen,
inte mot den som äger databasen — det var granskningens allvarligaste
invändning mot ett system vars hela värde är bevisvärde. Varje händelse
bär nu en hash av sitt innehåll och föregående händelses hash, beräknad
av servern vid insättningen. All skrivning går genom en enda kedjande
funktion; en händelse vid sidan av kedjan är ett hål i beviset, så den
bekväma vägen förbi finns inte. Digest tas över den LAGRADE händelsen,
efter kryptering: verifieringen ska kunna räkna om den ur databasen för
all framtid, och krypto-shredding förstör nycklar, inte rader, så kedjan
överlever en radering. Radlås per ärende hindrar att två samtidiga
batchar forkar kedjan — en falsk larmande verifiering avfärdas snart som
trasig, och då är den värdelös.

Integrationstestet provar hotmodellen ordagrant: triggern släpps, en rad
ändras med full databasbehörighet, triggern återskapas. Verifieringen
pekar ut raden — inte bara att något är fel, utan vilken.

FÖRSEGLINGEN. Avslut skriver kedjans rot och en HMAC med en nyckel som
aldrig finns i databasen, i samma transaktion som avslutshändelsen. Den
som räknar om hela kedjan efter sin ändring stoppas av att förseglingen
inte går att räkna om utan nyckeln. Engångs: triggern vägrar ändra en
satt försegling. Svaret säger vad det bevisar och inte — innehållet är
oförändrat sedan mottagandet, ingenting om tiden före, ingenting om
sanningshalten. Den texten följer med in i varje rapport som citerar
svaret, för det är precis den skillnad en motpartsjurist annars hittar.

SIGNATUREN. Fältet hette signatur men var teknikerns egen text — det
inbjöd en jurist att tro något som inte gällde. Det skrivs nu ur
verifierad token som övriga härkomstfält och intygar exakt vad det kan
intyga: vem som var inloggad när avslutet togs emot.

SÄKERHETSNIVÅN (ALVA-SPEC-071). Var teknikerns fria val — ett
självskattat värde som ser ut som en mätning. Nu ett tak härlett ur
underlaget: hög kräver reproducerat symptom OCH spårbart mätvärde ur
mätdonsregistret; enbart observationer bär inte ens medel. Teknikern kan
sänka men aldrig höja — asymmetrin är poängen, ärlig osäkerhet är
information. Grinden spärrar påståenden över taket på alla tio språken,
och gränssnittet visar taket medan arbetet pågår i stället för att spara
beskedet till avslutsknappen. "Delvis reproducerat" bär inte hög: delvis
är ett annat ord för att felet inte är förstått.

Taket bet direkt i två av våra egna testfixturer som påstod hög utan
spårbart mätdon — vilket är regeln som fungerar, inte testet som är fel.
Genomgången avslöjade följdkravet: vid medel/låg kräver panelen att
teknikern anger vilka ytterligare kontroller som skulle stärka
bedömningen, och det fältet fylls nu i som en tekniker skulle.

Kvar ur granskningens lista, medvetet: extern förankring (RFC 3161),
klienthashat foto vid upptagning, gränsvärden som data, OIDC/SAML.

766 tester, 200 integrationskontroller mot riktig Postgres — inklusive
sabotage som databasägare — genomgång 4/4, portalspärr, typkontroll,
lint och artefaktmätning gröna. Utgåva 3.3, API-specen uppdaterad,
åtgärderna bokförda i panelrapportens bilaga A.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt

felsokning/infra/postgres-init.sql

@@ -186,6 +186,14 @@ begin
       old.metodik_id, old.skapad_av, old.insatt) then
     raise exception 'Ärendets historik kan inte ändras — endast härledda fält får sättas';
   end if;
+  -- Förseglingen är härledd men inte omskrivbar: satt en gång, sedan
+  -- låst. Kolumnprövningen ovan räcker inte, eftersom den släpper
+  -- igenom alla härledda fält.
+  if old.forsegling is not null and
+     (new.forsegling, new.kedjerot, new.forseglad)
+     is distinct from (old.forsegling, old.kedjerot, old.forseglad) then
+    raise exception 'Förseglingen är satt och kan inte ändras';
+  end if;
   return new;
 end $$;
 
@@ -424,6 +432,31 @@ create trigger personnycklar_skydd
 -- eller nyttolasten kan jämföras. Avtrycket kan.
 alter table felsokning_handelser add column if not exists klientdigest text;
 
+-- ---- Hashkedjan (ALVA-SPEC-070) -----------------------------------------
+--
+-- Triggern ovan skyddar loggen mot applikationen. Kedjan skyddar den mot
+-- den som äger databasen: varje händelse bär en hash av sitt innehåll och
+-- föregående händelses hash, beräknad av servern vid insättningen. Den
+-- som ändrar en rad i efterhand bryter varje efterföljande länk, och den
+-- som räknar om hela kedjan stoppas av förseglingen vid avslut — en HMAC
+-- med en nyckel som aldrig finns i databasen (FORSEGLING_NYCKEL).
+--
+-- `sekvens` är kedjeordningen. Tidsstämpeln duger inte: två händelser i
+-- samma batch kan få samma klockslag, och en kedja utan entydig ordning
+-- går inte att verifiera.
+alter table felsokning_handelser add column if not exists sekvens bigint;
+alter table felsokning_handelser add column if not exists kedjehash text;
+create index if not exists felsokning_handelser_sekvens_idx
+  on felsokning_handelser (arende_id, sekvens);
+
+-- Förseglingen vid avslut: kedjans rot och en HMAC över den, beräknad med
+-- FORSEGLING_NYCKEL som aldrig finns i databasen. Kolumnerna är härledda
+-- och skrivs EN gång — se skydda_arende, som vägrar ändra en satt
+-- försegling. En försegling som kan skrivas om är ingen försegling.
+alter table felsokning_arenden add column if not exists kedjerot text;
+alter table felsokning_arenden add column if not exists forsegling text;
+alter table felsokning_arenden add column if not exists forseglad timestamptz;
+
 -- ---- Support och felanmälan (ALVA-PROC-0050) ---------------------------
 --
 -- Anmälan är oföränderlig, och det som händer med den är egna poster.