Das Paket prüfen, ohne uns zu fragen.
Ein Attestkeep-Nachweispaket wird im Cluster Ihres Mandanten signiert. Format, Schlüssel und Prüfschritte sind öffentlich; die Antwort hängt also nicht davon ab, ob wir erreichbar sind.
Ein Zip, 6 Dateien.
Der Bericht ist der Nachweis. Alles andere sichert ihn ab, bürgt für den Schlüssel, der ihn signiert hat, oder bereitet ihn für Menschen auf.
report.jsonDer Bericht, Byte für Byte so, wie er signiert wurde. Diese Datei prüfen Sie.attestation.jsonEin DSSE-Envelope mit einem in-toto-Statement, dessen Subject der Digest des Berichts ist.certificate.jwtDas von Attestkeep signierte Lizenzzertifikat, das die Installation und ihren Signaturschlüssel nennt. Fehlt, wenn die Installation nicht aktiviert war; die Signatur belegt trotzdem, dass der Bericht unverändert ist.<report-id>.pdfEine Fassung zum Lesen. Wer das PDF prüft, prüft nicht den Nachweis.<report-id>.attestkeep.jsonBericht, Attestation und Zertifikat in einer Datei, für die Prüfung im Browser.README.txtWas jede Datei ist und wie man sie prüft, geschrieben für jemanden, der noch nie von uns gehört hat.
Drei Wege, keiner davon über uns.
Im Browser
Ziehen Sie das Zip auf attestkeep.com/de/verify.html. Der Root-Schlüssel steckt in der Seite, nichts wird hochgeladen; nach dem Laden können Sie die Verbindung trennen und erhalten dieselbe Antwort.
Mit einem kurzen Skript
Die Dokumentationsseite enthält die vollständige Prüfung auf einer Seite Python: Standardbibliothek plus ein Kryptopaket. Einen Bericht prüfen
Mit eigenen Werkzeugen
DSSE und in-toto sind öffentliche Spezifikationen, und das Predicate ist Feld für Feld dokumentiert. Nachweisformat
Zwei Aussagen, beide genau umrissen.
- Sie belegtDer Bericht ist seit dem Signieren unverändert, und er wurde mit einem Schlüssel signiert, von dem Attestkeep bestätigt, dass er zu dieser Installation gehört.
- Sie belegt nichtWann signiert wurde: Die Zeitstempel stammen von der eigenen Uhr der Installation. Ebenso wenig, dass die beschriebenen Ereignisse so stattgefunden haben.
- Sie ist nichtEine rechtsgültige elektronische Signatur oder eine Zertifizierung. Kein Auditor muss sie anerkennen.
- Ein abgelaufenes ZertifikatWird gemeldet, nicht abgelehnt. Zertifikate rotieren alle dreißig Tage; der Bericht stammt aus dem Zeitraum, den sie abdeckten.
- Vier ZuständeErfüllt, teilweise, Lücke oder außerhalb des Umfangs. Teilweise und Lücke stehen offen im Bericht.
- Die Worte des RegelwerksJede Anforderung gibt nah am Originaltext wieder, was sie verlangt; Sie prüfen die Aussage also am Standard selbst, nicht an einem Funktionsnamen.
- Zahlen hinter jeder AnmerkungDie Anmerkung nennt die Zahlen des Zeitraums und die Berichtsabschnitte, aus denen sie stammen.
- Umfang gleich zu BeginnDer Bericht jedes Frameworks beginnt damit, was die Aufzeichnungen eines Clusters belegen können und was nicht.
Sie prüfen einen Mandanten mit Attestkeep?
Fragen Sie uns alles zum Format oder zu den Prüfungen. Mehrere Mandanten? Sehen Sie sich das Partnerprogramm an.
Fragen Sie uns