HodeiShield®

Ihre Sicherheitslage, überprüfbar für jeden, der danach fragt.

Ein regulierter Kunde, ein Auditor oder Ihr Vorstand verlangt einen Beleg Ihres Reifegrads je Rahmenwerk. Das Trust Center veröffentlicht ihn mit öffentlichem oder kontrolliertem Zugang; ATTEST ergänzt ein signiertes Dokument, das jeder offline und ohne Konto prüfen kann.

Demo anfragenVerifizierer auf GitHub ansehen (öffnet sich in einem neuen Tab)
  • ML-DSA-65-Signatur (FIPS 204) in einem getrennten JWS, ohne Zertifizierungsstelle
  • Open-Source-Verifizierer (Apache-2.0), der offline funktioniert

attestation.json

Beispieldaten

Geschützter Header

alg
ML-DSA-65
typ
application/attest+jws
kid
q3Vn…8aLw

Signierte Claims

slug
organisation-a
visibility
public
generatedAt
09:00:00Z
expiresAt
09:15:00Z
  • NIS2 Substanziell
  • ENS Basis
  • DORA Substanziell

Gesamtband: Basis, das schwächste

Gültigkeitstandardmäßig 15 Min.
09:0009:15

Ausgabe von verify-attestation.sh

PASS  alg is ML-DSA-65 (RFC 9964, IANA-permanent)PASS  ML-DSA-65 signature verifies over protected.payloadPASS  not expiredPASS  overallBand (E6) 'basic' equals the weakest attested band — recomputed, not trustedVERIFIED — this document was signed by the holder of the key above and has not been altered since.That is all it proves. It does not prove the claims inside are true, that the key belongs to who you think, or that the document was meant to exist.
Beispieldaten: Organisation, Zeiten und Kennungen sind fiktiv. Die Ausgabe des Verifizierers wird wortgetreu gezeigt.

Zwei Teile, die zusammenwirken

Das Trust Center ist die Seite, die Ihr Gegenüber sieht. ATTEST ist der signierte Beleg, den es mitnehmen und selbst prüfen kann.

Trust Center

  • Eine Seite mit öffentlichem oder eingeschränktem Zugang (NDA / manuelle Prüfung), je nach Inhalt.
  • Ein Audit-Trail der Zugriffsanfragen und Ereignisse.
  • Abonnements für Aktualisierungen mit Double-Opt-in.
  • Abdeckung je Rahmenwerk und Ihre öffentliche Dokumentation an einem Ort.

ATTEST

  • Ein auf Anfrage mit ML-DSA-65 (FIPS 204) signiertes Dokument, als getrenntes JWS.
  • Nur das Reifegradband je Rahmenwerk und das schwächste: nie Scores, Euro-Beträge oder Lieferantendetails.
  • Kurzlebig: standardmäßig 15 Minuten, höchstens eine Stunde, optional mit Challenge-Response.
  • Widerruf eines Schlüssels oder früherer Attestierungen einer Organisation über eine signierte Statusliste.

Von einem veröffentlichten Trust Center zu einem VERIFIED, das jeder reproduzieren kann

Nichts davon erfordert für die prüfende Person ein HodeiShield-Konto.

  1. Sie veröffentlichen das Trust Center

    Eine Attestierung wird für ein veröffentlichtes Trust Center ausgestellt, öffentlich oder zugangskontrolliert. Es gibt weder einen geplanten Job noch einen Speicher: Das Dokument wird in dem Moment signiert, in dem es angefordert wird.

  2. Wer sie braucht, fordert die Attestierung an

    Sie wird vom öffentlichen Endpunkt Ihrer Organisation angefordert. Mit einer eigenen Nonce ist die Antwort an diese Anfrage gebunden.

    curl -s https://app.hodeishield.com/api/public/attest/<slug> -o attestation.json

  3. Sie laden die öffentlichen Schlüssel herunter

    Die Prüfschlüssel sind an einem offenen Endpunkt veröffentlicht.

    curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json

  4. Sie prüfen offline

    verify-attestation.sh prüft die Signatur und den Ablauf und berechnet das Gesamtband neu. Es benötigt nur bash 4, OpenSSL 3.5 und python3.

    ./verify-attestation.sh --attestation attestation.json --jwks keys.json

Die Prüfung ruft HodeiShield nicht auf. Die einzige Ausnahme ist optional: der Statuslisten-Modus, wenn Sie ihn selbst auf eine https-URL verweisen.

Was eine Attestierung belegt und was nicht

Sie ist eine von HodeiShield signierte Selbstbewertung des Reifegrads. Das fügt die Signatur genau hinzu.

Was sie belegt

  • Integrität: Das Dokument wurde seit der Signierung nicht verändert.
  • Herkunft: Es wurde vom Inhaber des veröffentlichten Schlüssels signiert.
  • Zeitpunkt: wann es ausgestellt wurde und bis wann es gültig ist.

Was sie nicht belegt

  • Dass das Attestierte wahr ist: Sie ist eine Selbstbewertung, keine unabhängige Prüfung.
  • Weder Compliance noch Zertifizierung: Sie ersetzt weder ein Audit noch ISO 27001, das ENS oder eine andere akkreditierte Zertifizierung.
  • Ein Transparenzprotokoll oder einen Vertrauensanker jenseits von TLS und dem Festschreiben des veröffentlichten Schlüssels.
  • Widerruf einzelner Attestierungen: Widerrufen werden ein Schlüssel oder eine Organisation, und die kurze Lebensdauer gleicht den Rest aus.

Jede Aussage, mit Beleg und Geltungsbereich

Was HodeiShield über ATTEST und das Trust Center sagt und wo Sie es prüfen können.

  1. Jedes veröffentlichte Trust Center kann eine mit ML-DSA-65 (FIPS 204) signierte Attestierung als getrenntes JWS ausstellen.

    Doku · Attestierungs-Verifizierer (öffnet sich in einem neuen Tab)

    Geltungsbereich. Sie signiert Reifegrad-Aussagen; sie prüft sie nicht.

  2. Sie attestiert das Reifegradband jedes Rahmenwerks (vier Bänder) und das schwächste. Nie Scores, Euro-Beträge oder Lieferantendetails.

    In der Demo

    Geltungsbereich. Ein Band ist kein Auditergebnis.

  3. Sie wird offline mit dem Open-Source-Verifizierer (Apache-2.0) und den öffentlichen Schlüsseln geprüft, mit bash 4, OpenSSL 3.5 und python3.

    GitHub · hodeishield-attest-verifier (öffnet sich in einem neuen Tab)

    Geltungsbereich. Sie berechnet das Gesamtband neu; sie validiert nicht, dass die enthaltenen Aussagen wahr sind.

  4. Eine Attestierung ist kurzlebig: standardmäßig 15 Minuten, höchstens eine Stunde.

    In der Demo

    Geltungsbereich. Mit optionalem Challenge-Response, um die Antwort an den Anfragenden zu binden.

  5. Eine signierte, veröffentlichte Statusliste kann einen Schlüssel oder alle früheren Attestierungen einer Organisation widerrufen.

    Doku · Attestierungs-Verifizierer (öffnet sich in einem neuen Tab)

    Geltungsbereich. Einzelne Attestierungen widerruft sie nicht.

  6. Das Trust Center ist öffentlich oder eingeschränkt (NDA / manuelle Prüfung), führt einen Audit-Trail der Anfragen und Ereignisse, und seine Abonnements nutzen Double-Opt-in.

    Doku · Trust-Center-Leitfaden (öffnet sich in einem neuen Tab)

    Geltungsbereich. Was Sie veröffentlichen und wem Sie es gewähren, entscheiden Sie.

Weiterlesen

Dokumentation des Verifizierers (öffnet sich in einem neuen Tab)Repository des Verifizierers (öffnet sich in einem neuen Tab)Verifizierer im Browser (öffnet sich in einem neuen Tab)

Fragen zu ATTEST und zum Trust Center

Die Fragen von Menschen, die sich auf eine Attestierung verlassen müssen, und von denen, die sie ausstellen müssen.

Ersetzt eine Attestierung ein Audit oder eine Zertifizierung?

Nein. Sie ist eine von HodeiShield signierte Selbstbewertung des Reifegrads. Sie belegt Integrität, Herkunft und Ausstellungszeitpunkt, nicht, dass das Attestierte wahr ist. Sie ersetzt weder ein Audit noch ISO 27001, das ENS oder eine andere akkreditierte Zertifizierung.

Was genau sieht mein Kunde?

Das Reifegradband jedes Rahmenwerks (vier Bänder) und das schwächste. Nie Scores, Euro-Beträge oder Details zu Ihren Lieferanten.

Braucht mein Kunde ein HodeiShield-Konto, um sie zu prüfen?

Nein. Er lädt die öffentlichen Schlüssel herunter und führt den Open-Source-Verifizierer (Apache-2.0) aus, der offline mit bash 4, OpenSSL 3.5 und python3 arbeitet.

Wie lange gilt sie, und was, wenn ein Schlüssel kompromittiert wird?

Standardmäßig fünfzehn Minuten, höchstens eine Stunde. Eine signierte Statusliste kann einen Schlüssel oder frühere Attestierungen einer Organisation widerrufen; einzelne Attestierungen widerruft sie nicht, und die kurze Lebensdauer gleicht das aus.

Muss das Trust Center öffentlich sein?

Nein. Es kann öffentlich oder eingeschränkt sein (NDA / manuelle Prüfung). Zugriffsanfragen und Ereignisse werden in einem Audit-Trail festgehalten.

Warum ML-DSA-65?

Es ist der in FIPS 204 standardisierte Signaturalgorithmus. Er dient dazu, Attestierungen zu signieren; den laufenden Datenverkehr schützt er nicht.

Welche Zertifizierungen haben Sie?

Hodeitek S.L., das Unternehmen hinter dem Produkt, ist nach ISO/IEC 27001 und nach dem spanischen ENS, Kategorie Mittel, zertifiziert (Zertifikat Nr. 34/5704/26/09103, OCA Instituto de Certificación), mit einem Geltungsbereich, der den SaaS-Dienst HodeiShield einschließt. Wir zertifizieren nicht die Compliance Ihrer Organisation: Wir messen sie.

Sehen Sie eine Attestierung, ausgestellt und geprüft

In der Demo veröffentlichen wir ein Beispiel-Trust-Center, stellen eine Attestierung aus und prüfen sie offline, mit Ihrer Auswahl an Rahmenwerken.

Lieber erst selbst prüfen? Verifizierer und Dokumentation sind öffentlich.

Demo anfragenDokumentation des Verifizierers lesen (öffnet sich in einem neuen Tab)