パーミッションシステム

Quiraは従来のIDベースアクセスモデル ―「あなたは誰？」― をCapability-Based Securityモデル ―「あなたはどんな証明を持っている？」― に置き換えます。この根本的な転換により、環境権限が排除され、すべてのパーミッションが明示的、スコープ付き、時間制限付きになります。

Capability-Based Security

従来のブラウザでは、拡張機能やページは環境権限の下で動作します: 一度広いパーミッションが付与されると自由に行使できます。Quiraはこのパターンを完全に排除します。すべてのCapabilityトークン評価は、macOS AMFIに着想を得た単一の判定ポイントであるContext Trust Arbiter (CTA)に集約されます。

Context TCC

macOS TCC (Transparency, Consent, and Control)にインスパイアされたContext TCCは、同じ明示的同意モデルをContext Graphに適用します ― このきめ細かさでナレッジグラフを保護するブラウザは世界に存在しません。

プラグインや内部サブシステムがContext Graphへのアクセスを要求すると、Context TCCがリクエストをインターセプトし、正確にどのデータにアクセスするか、なぜアクセスするかを説明する同意ダイアログを表示します。

TCCパーミッションタイプ

情報フロー制御

誰がデータにアクセスできるかを制御するだけでなく、Quiraはデータがどこに流れるかを追跡します。Context Graphのすべてのデータには、伝搬を制約するIFCラベルが付与されます。

• 単調ラベル ― 感度ラベルは増加のみ可能で、減少はできません。「confidential」ソースから派生したデータは少なくとも「confidential」感度を継承します。
• テイント追跡 ― AIがグラフデータを処理する際、出力はすべての入力の最大感度を継承します。
• Cross-Spaceバリア ― WorkスペースのデータがPersonalスペースに黙って流入することはできません。ユーザーがCross-Space転送を明示的に承認する必要があります。
• エクスポート制御 ― ブラウザから出ていくデータ（クリップボード、ファイルエクスポート、ネットワーク）はIFCラベルに対してチェックされます。高感度データは確認ダイアログをトリガーします。

Spaceスコープセキュリティ境界

Context Spaceは単なる整理用コンテナではなく、セキュリティ境界です。各Spaceは独立したセキュリティ設定を持ちます:

• 独立したCapabilityトークンプール（Space AのトークンはSpace Bにアクセス不能）
• Space個別のプライバシーモード設定（標準、厳格、シークレット）
• 独立暗号化鍵を持つ隔離されたContext Graphパーティション
• 全グラフ書き込み操作のSpace単位監査ログ

プラグインサンドボックス

Quiraプラグインは宣言的Capabilityモデルを持つサンドボックス環境で実行されます:

• マニフェスト宣言 ― 各プラグインはマニフェストで必要なCapabilityを宣言
• 減衰委譲 ― プラグインは必要最小限のCapabilityトークンのみ受け取る
• ネットワークアローリスト ― マニフェストで宣言されたドメインにのみ接続可能
• ストレージ割り当て ― プラグインごとのストレージ上限（デフォルト10MB）
• 監査ログ ― プラグインによるすべてのContext Graph操作は quira://settings/security/audit で記録

サイト別パーミッション

従来のWebパーミッション（カメラ、マイク、位置情報、通知）も同じCapabilityモデルに従います: