01
Integrität prüfen.
Ed25519 schützt die signierten Payload-Bytes. SHA-256 verknüpft den Sitzungskopf und die geordnete Ereignisfolge. Der Verifier weist veränderte Signaturen, gebrochene Ketten, mehrdeutiges JSON und unzulässige Formatwerte zurück. Eine ausgewählte Datei wird gegen Prüfsumme und Byteanzahl verglichen.
02
Den Unterzeichner getrennt einordnen.
Der öffentliche Schlüssel im Record ermöglicht die mathematische Prüfung. Vertrauen in diesen Schlüssel braucht eine unabhängige Grundlage. Verify vergleicht dafür einen gesondert bekannten Fingerabdruck. Wer ihn aus demselben Record kopiert, schafft damit keine zusätzliche Vertrauensbasis.
03
Record-Prüfung und PDF-Signatur getrennt lesen.
Bei einem ExtraProof-PDF extrahiert Verify den eindeutig indizierten Anhang humanproof-certificate.json und prüft dessen SHA-256 sowie die Signatur und Ereigniskette des Records. Die sichtbaren PDF-Inhalte und die PDF-/CMS-Signatur werden im Browser nicht geprüft. Die native App behandelt die PDF-Signatur gesondert. Auch eine gültige Signatur braucht eine unabhängige Vertrauensgrundlage für den Aussteller.
04
Die Aussage auf die Evidenz begrenzen.
Das Profil localObservation bestätigt die Konsistenz signierter Recorder-Angaben. Es beweist weder deren vollständige Wahrheit noch menschliche Autorschaft. Textqualität, Gedankenursprung und zulässige Hilfsmittel werden durch die Signatur nicht bewertet.
05
Sicherheitslücken verantwortungsvoll melden.
Schreiben Sie an [email protected] und nennen Sie die betroffene Komponente, die Version und einen möglichst kleinen reproduzierbaren Fall. Bitte senden Sie in der ersten Nachricht keine vertraulichen Manuskripte, Zugangsdaten oder privaten Schlüssel; den Übertragungsweg stimmen wir danach ab. Die Datei /.well-known/security.txt nennt denselben Kontakt.
- Kontakt: [email protected] (Sicherheitsmeldungen).
- Eingangsbestätigung: innerhalb von fünf Werktagen.
- Ablauf: Wir prüfen die Meldung, melden uns mit dem Ergebnis und stimmen mit Ihnen ab, wann Details veröffentlicht werden.
- Geltungsbereich: diese Website, der Browser-Verifier, das Aufzeichnungsformat humanproof/1 und die ExtraProof-Software, deren Einsatz wir für einen Pilot gemeinsam vorbereiten.
