HodeiShield®

La Sua postura di sicurezza, verificabile da chiunque Gliela chieda.

Un cliente regolamentato, un auditor o il Suo consiglio chiedono prove della Sua maturità per framework. Il Trust Center le pubblica con accesso pubblico o controllato; ATTEST aggiunge un documento firmato che chiunque verifica offline e senza un account.

Richieda una demoVeda il verificatore su GitHub (si apre in una nuova scheda)
  • Firma ML-DSA-65 (FIPS 204) in JWS detached, senza autorità di certificazione
  • Verificatore open source (Apache-2.0) che funziona offline

attestation.json

Dati di esempio

Header protetto

alg
ML-DSA-65
typ
application/attest+jws
kid
q3Vn…8aLw

Affermazioni firmate

slug
organizzazione-a
visibility
public
generatedAt
09:00:00Z
expiresAt
09:15:00Z
  • NIS2 Sostanziale
  • ENS Base
  • DORA Sostanziale

Banda globale: Base, la più debole

Validità15 min per impostazione predefinita
09:0009:15

Output di verify-attestation.sh

PASS  alg is ML-DSA-65 (RFC 9964, IANA-permanent)PASS  ML-DSA-65 signature verifies over protected.payloadPASS  not expiredPASS  overallBand (E6) 'basic' equals the weakest attested band — recomputed, not trustedVERIFIED — this document was signed by the holder of the key above and has not been altered since.That is all it proves. It does not prove the claims inside are true, that the key belongs to who you think, or that the document was meant to exist.
Dati di esempio: l’organizzazione, le date e gli identificativi sono fittizi. L’output del verificatore è mostrato in inglese, così com’è.

Due componenti che si completano

Il Trust Center è la pagina che vede il Suo interlocutore. ATTEST è la prova firmata che può portare con sé e verificare da sé.

Trust Center

  • Pagina con accesso pubblico o riservato (NDA / revisione manuale) a seconda del contenuto.
  • Registro di audit delle richieste di accesso e degli eventi.
  • Iscrizione agli aggiornamenti con doppia conferma (double opt-in).
  • Copertura per framework e documentazione pubblica della Sua organizzazione in un unico luogo.

ATTEST

  • Documento firmato su richiesta con ML-DSA-65 (FIPS 204), in JWS detached.
  • Solo la banda di maturità di ciascun framework e la più debole: mai punteggi, euro né dettagli dei fornitori.
  • Vita breve: 15 minuti per impostazione predefinita e al massimo un’ora, con sfida-risposta opzionale.
  • Revoca di una chiave o delle attestazioni precedenti di un’organizzazione tramite un elenco di stato firmato.

Da un Trust Center pubblicato a un VERIFIED che chiunque riproduce

Nulla di tutto ciò richiede un account HodeiShield a chi verifica.

  1. Pubblica il Trust Center

    L’attestazione viene emessa per un Trust Center pubblicato, pubblico o ad accesso controllato. Non c’è un’attività pianificata né un archivio: il documento viene firmato nel momento in cui lo si richiede.

  2. Chi ne ha bisogno richiede l’attestazione

    Si richiede all’endpoint pubblico della Sua organizzazione. Con un nonce proprio, la risposta resta legata a quella richiesta.

    curl -s https://app.hodeishield.com/api/public/attest/<slug> -o attestation.json

  3. Scarica le chiavi pubbliche

    Le chiavi di verifica sono pubblicate in un endpoint aperto.

    curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json

  4. Verifica offline

    verify-attestation.sh controlla la firma, la scadenza e ricalcola la banda globale. Richiede solo bash 4, OpenSSL 3.5 e python3.

    ./verify-attestation.sh --attestation attestation.json --jwks keys.json

La verifica non chiama HodeiShield. L’unica eccezione è opzionale: la modalità con elenco di stato, se è Lei stesso a indicarle un URL https.

Che cosa prova un’attestazione e che cosa no

È un’autovalutazione di maturità firmata da HodeiShield. Questo è esattamente ciò che aggiunge la firma.

Ciò che prova

  • Integrità: il documento non è stato modificato da quando è stato firmato.
  • Origine: lo ha firmato chi possiede la chiave pubblicata.
  • Momento: quando è stato emesso e fino a quando è valido.

Ciò che non prova

  • Che ciò che è attestato sia vero: è un’autovalutazione, non una verifica indipendente.
  • Conformità né certificazione: non sostituisce un audit né ISO 27001, l’ENS o un’altra certificazione accreditata.
  • Un registro di trasparenza né una radice di fiducia oltre TLS e il pinning della chiave pubblicata.
  • Revoca di singole attestazioni: si revoca una chiave o un’organizzazione, e lo compensa la loro vita breve.

Ogni affermazione, con la sua prova e il suo ambito

Ciò che HodeiShield dice di ATTEST e del Trust Center, e dove può verificarlo.

  1. Ogni Trust Center pubblicato può emettere un’attestazione firmata con ML-DSA-65 (FIPS 204) in JWS detached.

    Docs · Verificatore di attestazioni (si apre in una nuova scheda)

    Ambito. Firma affermazioni di maturità; non le verifica.

  2. Attesta la banda di maturità di ciascun framework (quattro bande) e la più debole. Mai punteggi, importi in euro né dettagli dei fornitori.

    Nella demo

    Ambito. Una banda non è un esito di audit.

  3. Si verifica offline con il verificatore open source (Apache-2.0) e le chiavi pubbliche, con bash 4, OpenSSL 3.5 e python3.

    GitHub · hodeishield-attest-verifier (si apre in una nuova scheda)

    Ambito. Ricalcola la banda globale; non convalida che il contenuto delle affermazioni sia vero.

  4. L’attestazione ha vita breve: 15 minuti per impostazione predefinita e al massimo un’ora.

    Nella demo

    Ambito. Con sfida-risposta opzionale per legare la risposta a chi la richiede.

  5. Un elenco di stato firmato e pubblicato consente di revocare una chiave o tutte le attestazioni precedenti di un’organizzazione.

  6. Il Trust Center è pubblico o riservato (NDA / revisione manuale), lascia un registro di audit di richieste ed eventi, e le sue iscrizioni usano la doppia conferma.

    Docs · Guida del Trust Center (si apre in una nuova scheda)

    Ambito. Che cosa pubblica e a chi lo concede lo decide Lei.

Prosegua da qui

Documentazione del verificatore (si apre in una nuova scheda)Repository del verificatore (si apre in una nuova scheda)Verificatore nel browser (si apre in una nuova scheda)

Domande su ATTEST e sul Trust Center

Quelle che si pongono coloro che devono fidarsi di un’attestazione, e coloro che devono emetterla.

Un’attestazione sostituisce un audit o una certificazione?

No. È un’autovalutazione di maturità firmata da HodeiShield. Prova integrità, origine e momento di emissione, non che ciò che è attestato sia vero. Non sostituisce un audit né ISO 27001, l’ENS o un’altra certificazione accreditata.

Che cosa vede esattamente il mio cliente?

La banda di maturità di ciascun framework (quattro bande) e la più debole. Mai punteggi, importi in euro né dettagli dei Suoi fornitori.

Il mio cliente ha bisogno di un account HodeiShield per verificarla?

No. Scarica le chiavi pubbliche ed esegue il verificatore open source (Apache-2.0), che funziona offline con bash 4, OpenSSL 3.5 e python3.

Quanto dura e che cosa accade se una chiave viene compromessa?

Quindici minuti per impostazione predefinita e al massimo un’ora. Un elenco di stato firmato consente di revocare una chiave o le attestazioni precedenti di un’organizzazione; non revoca singole attestazioni, e lo compensa la vita breve.

Il Trust Center deve essere pubblico?

No. Può essere pubblico o riservato (NDA / revisione manuale). Le richieste di accesso e gli eventi restano in un registro di audit.

Perché ML-DSA-65?

È l’algoritmo di firma standardizzato in FIPS 204. Si usa per firmare le attestazioni; non protegge il traffico in tempo reale.

Quali certificazioni avete?

Hodeitek S.L., l’azienda titolare, è certificata ISO/IEC 27001 ed ENS categoria Media (certificato n. 34/5704/26/09103, OCA Instituto de Certificación), con un ambito che include il servizio SaaS HodeiShield. Non certifichiamo la conformità della Sua organizzazione: la misuriamo.

Veda un’attestazione emessa e verificata

Nella demo pubblichiamo un Trust Center di esempio, emettiamo un’attestazione e la verifichiamo offline, con la Sua combinazione di framework.

Preferisce verificarlo prima? Il verificatore e la documentazione sono pubblici.

Richieda una demoLegga la documentazione del verificatore (si apre in una nuova scheda)