Bei der Durchsicht der Aufbauten in infra aufgefallen: Der Tresor-Pod laeuft mit
disable_mlock. Im Behaelter ist das unvermeidlich und mit eingebautem Speicher vertretbar —
aber nur unter einer Bedingung, die bisher nirgends stand. Ohne Speicherfestnagel darf der
Arbeitsspeicher des Tresors ausgelagert werden, und das ist genau der Speicher mit den
entschluesselten Zugangsdaten aller Zielsysteme des Kunden. Es entstuende eine zweite,
unbewachte Kopie ausserhalb des Tresors, ausserhalb seiner Richtlinien und ausserhalb der
Pruefspur — die das Herunterfahren ueberlebt und die keine Loeschregel dieser Entscheidung
erfasst.
Die Anforderung gehoert in die Geraeteschicht und nicht in die Nutzlast: Ein Pod bestimmt
nicht, ob sein Wirt auslagert. Eine Anforderung, die nur die Nutzlast kennt aber nur der
Wirt erfuellen kann, ist die Art Luecke, die niemandem auffaellt.
Der Preis ist gering und faellt sogar guenstig aus: Ohne Auslagerung ist ein
Speicherueberlauf ein harter Abbruch statt einer Verlangsamung — ein zaehes Geraet sieht wie
ein Leistungsproblem aus und wird tagelang gesucht, ein abgebrochener Pod startet neu und
steht im Protokoll.
Suspend-to-Disk faellt aus demselben Grund weg. Das Absturzabbild des Kerns bleibt offen und
beruehrt das Diagnosepaket aus ADR-0007.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Thomas Reitz
34a2280aba