Vérifiez le paquet sans passer par nous.
Un paquet de preuves Attestkeep est signé dans le cluster de votre client. Le format, la clé et les étapes de vérification sont publics ; la réponse ne dépend donc pas de notre disponibilité.
Un zip, 6 fichiers.
Le rapport est la preuve. Tout le reste le couvre, se porte garant de la clé qui l'a signé ou le rend lisible pour des humains.
report.jsonLe rapport, octet pour octet tel qu'il a été signé. C'est le fichier à vérifier.attestation.jsonUne enveloppe DSSE portant un statement in-toto dont le subject est le digest du rapport.certificate.jwtLe certificat de licence, signé par Attestkeep, qui nomme l'installation et la clé avec laquelle elle signe. Absent si l'installation n'a pas été activée ; la signature prouve tout de même que le rapport n'a pas été modifié.<report-id>.pdfUne mise en forme pour la lecture. Vérifier le PDF n'est pas vérifier la preuve.<report-id>.attestkeep.jsonLe rapport, l'attestation et le certificat en un fichier, pour le vérificateur du navigateur.README.txtCe qu'est chaque fichier et comment le vérifier, écrit pour qui n'a jamais entendu parler de nous.
Trois façons, aucune ne passe par nous.
Dans le navigateur
Déposez le zip sur attestkeep.com/fr/verify.html. La clé racine est intégrée à la page et rien n'est envoyé ; vous pouvez vous déconnecter une fois la page chargée et obtenir la même réponse.
Avec un court script
Le site de documentation donne toute la vérification en une page de Python, bibliothèque standard plus un paquet de cryptographie. Vérifier un rapport
Avec vos propres outils
DSSE et in-toto sont des spécifications publiques, et le predicate est documenté champ par champ. Format des preuves
Deux choses, et elle est précise sur les deux.
- Elle prouveLe rapport n'a pas changé depuis sa signature, et il a été signé par une clé dont Attestkeep garantit qu'elle appartient à cette installation.
- Elle ne prouve pasQuand il a été signé : les horodatages viennent de l'horloge de l'installation elle-même. Ni que les événements décrits se sont passés comme décrits.
- Ce n'est pasNi une signature électronique au sens juridique, ni une certification. Aucun auditeur n'est tenu de l'accepter.
- Un certificat expiréEst signalé, pas rejeté. Les certificats changent tous les trente jours ; le rapport date de la période qu'ils couvraient.
- Quatre étatsSatisfaite, partielle, écart ou hors périmètre. Partielle et écart sont imprimés, pas cachés.
- Les mots de l'instrumentChaque exigence reformule ce qu'elle demande au plus près du texte d'origine : vous vérifiez l'affirmation par rapport à la norme, et non par rapport à un nom de fonction.
- Des chiffres sous chaque noteLa note donne les chiffres de la période et nomme les sections du rapport d'où ils proviennent.
- Périmètre annoncé d'embléeLe rapport de chaque framework s'ouvre sur ce que les enregistrements d'un cluster peuvent ou non étayer.
Vous auditez un client sous Attestkeep ?
Posez-nous vos questions sur le format ou les vérifications. Plusieurs clients ? Voyez le programme partenaires.
Nous contacter