Compruebe el paquete sin preguntarnos.
Un paquete de evidencia de Attestkeep se firma dentro del cluster de su cliente. El formato, la clave y los pasos para verificarlo son públicos, así que la respuesta no depende de que estemos disponibles.
Un zip, 6 archivos.
El informe es la evidencia. Todo lo demás lo envuelve, responde de la clave que lo firmó o lo presenta para que lo lean personas.
report.jsonEl informe, byte a byte tal como se firmó. Este es el archivo que hay que comprobar.attestation.jsonUn envelope DSSE con un statement in-toto cuyo subject es el digest del informe.certificate.jwtEl certificado de licencia, firmado por Attestkeep, que nombra la instalación y la clave con la que firma. No está si la instalación no se activó; la firma sigue probando que el informe no se ha alterado.<report-id>.pdfUna versión para leer. Comprobar el PDF no es comprobar la evidencia.<report-id>.attestkeep.jsonEl informe, la attestation y el certificado en un archivo, para el verificador del navegador.README.txtQué es cada archivo y cómo comprobarlo, escrito para alguien que nunca ha oído hablar de nosotros.
Tres caminos, ninguno pasa por nosotros.
En el navegador
Arrastre el zip a attestkeep.com/es/verify.html. La clave raíz va integrada en la página y no se sube nada; puede desconectarse cuando haya cargado y obtendrá la misma respuesta.
Con un script corto
El sitio de documentación tiene toda la comprobación en una página de Python, biblioteca estándar más un paquete criptográfico. Verificar un informe
Con sus herramientas
DSSE e in-toto son especificaciones públicas, y el predicate está documentado campo a campo. Formato de las evidencias
Dos afirmaciones, ambas bien delimitadas.
- PruebaQue el informe no ha cambiado desde que se firmó, y que lo firmó una clave de la que Attestkeep responde como perteneciente a esa instalación.
- No pruebaCuándo se firmó: las marcas de tiempo vienen del propio reloj de la instalación. Tampoco que los hechos descritos ocurrieran como se describen.
- No esNi una firma electrónica legal ni una certificación. Ningún auditor está obligado a aceptarla.
- Un certificado caducadoSe informa, no se rechaza. Los certificados rotan cada treinta días; el informe es del periodo que cubrían.
- Cuatro estadosCumplido, parcial, carencia o fuera de alcance. Parcial y carencia se imprimen, no se ocultan.
- Las palabras del instrumentoCada requisito reformula lo que pide de forma próxima al texto original, así que usted compara la afirmación con la norma y no con el nombre de una función.
- Cifras detrás de cada notaLa nota da las cifras del periodo y nombra las secciones del informe de las que salen.
- Alcance declarado de entradaEl informe de cada framework empieza por lo que los registros de un cluster pueden y no pueden respaldar.
¿Audita a un cliente que usa Attestkeep?
Pregúntenos lo que quiera sobre el formato o las comprobaciones. ¿Trabaja con varios clientes? Consulte el programa de partners.
Contáctenos