Trustvice 360
Le prove crittografiche invitano all’esagerazione. «Firmato» suona come «vero», e «a prova di manomissione» suona come «certificato». Nessuno dei due è corretto. Se usi le ricevute Trustvice in un audit, in un contratto o in una contestazione, la cosa più preziosa che puoi fare è descriverle con esattezza: non più di quanto mostrano, e non meno.
Questo post è quella descrizione. È la pagina che vorremmo leggesse un legale, un auditor o una controparte scrupolosi prima di fare affidamento su una ricevuta, e ripete di proposito cose che la nostra documentazione già dice.
Cosa prova una ricevuta valida#
Una ricevuta che si verifica con una chiave Trustvice pubblicata prova tre cose.
Origine. La busta è stata firmata dal titolare della chiave privata corrispondente a signatureKeyId, che è una chiave di firma Trustvice. Nessun altro, te compreso, può produrre una ricevuta che si verifichi con quella chiave.
Integrità. Ogni membro della busta tranne signature è esattamente come è stato firmato: il tipo, il body, l’ora issuedAt e l’id della chiave. Cambiare un solo carattere fa fallire la verifica.
Un’ora firmata. Trustvice afferma che la ricevuta è stata creata a issuedAt. È l’orologio dell’emittente stesso.
Chiunque può controllarle tutte e tre, offline, senza account e senza chiederci nulla. Il controllo è deterministico: due implementazioni indipendenti con la stessa ricevuta e la stessa chiave arrivano alla stessa risposta. Questa è la forza di una ricevuta, ed è reale.
Fatti dichiarati e fatti osservati#
Prima di elencare i limiti, una distinzione decide quanto vale una singola ricevuta.
Una ricevuta può riportare fatti che qualcuno ha fornito a Trustvice, firmati per mostrare che sono stati presentati, oppure fatti su qualcosa che Trustvice ha eseguito o visto direttamente. Una ricevuta su fatti dichiarati prova che sono stati presentati entro issuedAt; una ricevuta su fatti osservati prova ciò che Trustvice ha visto. Le ricevute appaiono uguali in entrambi i casi, quindi leggi il tipo di ricevuta per sapere quale hai in mano.
Cosa una ricevuta non prova#
Non sono difetti. Sono il confine dell’affermazione.
Che un fatto dichiarato sia vero#
Una ricevuta su un hash copre un hash. L’hash di un documento falso si verifica esattamente come quello di uno vero. Una ricevuta su uno scambio dichiarato, come un prompt e una risposta, prova che lo scambio è stato presentato in un certo momento, non che sia avvenuto come descritto.
Ciò che una ricevuta per un fatto dichiarato ti dà vale comunque: fissa l’affermazione nel tempo, così non può essere retrodatata di nascosto, e ogni modifica successiva è rilevabile.
Chi ha scritto, approvato o posseduto qualcosa#
La busta non porta alcun identificatore di workspace o account, né la firma di una persona. Chiunque abbia il JSON può presentarlo. Un hash identifica byte, non un proprietario: non mostra che nessun altro abbia lo stesso contenuto. Se conta la paternità, metti le tue firme dentro il contenuto.
I tuoi contenuti#
La ricevuta contiene un hash. Per mostrare che un documento corrisponde, calcolane l’hash e confrontalo con il body. La ricevuta aiuta solo se hai conservato il contenuto in un posto da cui puoi produrlo.
L’ora reale di un evento#
issuedAt è il nostro orologio al momento della firma. Per un fatto dichiarato, l’evento è avvenuto qualche tempo prima della ricevuta. Una ricevuta non è una validazione temporale qualificata in alcun regime giuridico. Non dichiarare una precisione più fine dell’intervallo tra l’evento e la ricevuta. Se ti serve un’ancora esterna, pubblica la firma della ricevuta in un posto che abbia un proprio orologio fidato.
Che non sia successo nulla dove manca una ricevuta#
Una ricevuta prova ciò che dice, non ciò che è rimasto non detto. Un vuoto nelle ricevute non prova che non sia successo nulla, né a tuo favore né contro di te.
Che una ricevuta sia stata revocata, o che una chiave non sia mai stata compromessa#
Non esiste revoca. Una ricevuta che si verificava all’emissione si verifica finché la sua chiave di firma resta pubblicata. Non esiste nemmeno una lista di revoca delle chiavi. Una chiave di firma trapelata permetterebbe a chi la detiene di creare ricevute che si verificano, e il solo controllo della firma non potrebbe distinguerle da quelle autentiche.
Per cosa ti fidi di noi#
La verifica elimina la necessità di fidarti di noi per molto: non ti serve che ti diciamo se una ricevuta è stata alterata, quale chiave l’ha firmata o se la chiave al suo interno è stata sostituita. Ciò che resta è un piccolo insieme con un nome:
- Che la chiave pubblica con cui verifichi sia nostra. Fissa l’id della chiave e il valore
xda una rete di cui ti fidi, e verifica con quella copia. - Che le nostre chiavi di firma siano usate solo dal servizio ricevute. Trustvice le custodisce negli HSM di AWS KMS, da cui non escono mai, il che impedisce di copiarle. Non impedisce a chi può fare il deploy del servizio ricevute, o detiene la sua credenziale di sola firma, di fargli firmare qualcosa.
- Che quando diciamo di aver osservato qualcosa, sia vero. Vale per le ricevute su ciò che Trustvice ha eseguito o visto.
- Il nostro orologio.
Per la posizione più solida in una contestazione, combina le ricevute con registrazioni che controlli tu.
Come presentare una ricevuta#
Quando una ricevuta lascia le tue mani, una breve nota di accompagnamento evita la maggior parte dei fraintendimenti. Una buona nota fa cinque cose:
- Dice cosa mostra la ricevuta, nei termini della ricevuta. «Alle 09:41:07 UTC del 14 ottobre, un titolare della nostra chiave ha presentato a Trustvice lo SHA-256
4d9a…7d62con l’etichetta proof v3 delivered.» - Dice di chi è il fatto. Dichiarato da noi, o osservato da Trustvice.
- Consegna insieme le prove. La ricevuta, il set di chiavi con cui è stata verificata e il contenuto originale.
- Invita a una verifica indipendente. Rimanda a /verify e alla procedura offline, e chiedi all’altra parte di scaricare da sé le chiavi da
trustvice.com, così non si affida a un file di chiavi fornito da te. - Dichiara i limiti. In particolare l’ora, il punto di osservazione ed eventuali buchi.
La nostra guida Prove per le contestazioni mostra lo schema completo: decidere prima di una contestazione quali affermazioni ti serviranno, acquisire le ricevute nel momento in cui le cose accadono e assemblare un fascicolo di prove che l’altra parte possa verificare senza fidarsi di te.
Ricevute e diritto#
Se una ricevuta sia ammissibile, o sufficiente, in un dato contesto giudiziario, regolamentare o contrattuale dipende dalla giurisdizione e dal caso. Una ricevuta è un record tecnico di ciò che è stato presentato a un servizio di firma, o osservato da esso. Non è consulenza legale, non è una certificazione e non è prova di conformità. Chiedi al tuo legale, e valuta di scrivere nei tuoi contratti che entrambe le parti accettano le ricevute verificate con le chiavi pubblicate come prova dei fatti che affermano.
Perché lo mettiamo per iscritto#
Un limite dichiarato chiaramente costruisce più fiducia di una promessa, perché una ricevuta è utile solo quanto la precisione con cui la si descrive. Se trovi un punto in cui le nostre pagine esagerano ciò che una ricevuta prova, scrivici su /contact e lo correggeremo.
