Du lädst einen Ausführungsbeleg herunter, und der Verifizierer meldet `valid: true`.
Kannst du ihm vertrauen?
Frage zuerst, woher der Verifizierer seinen vertrauenswürdigen öffentlichen Schlüssel hat. Eine Signatur beweist, dass ein bestimmter Schlüssel den Beleg signiert hat. Für sich genommen sagt sie dir nicht, wem dieser Schlüssel gehört.
Wenn der Beleg seinen eigenen Schlüssel mitbringt und dein Verifizierer diesem automatisch vertraut, könnte jeder einen Schlüssel erstellen, eine Behauptung signieren und sie dadurch als verifiziert erscheinen lassen.
Bevor du dich auf einen Beleg verlässt, prüfe:
1. Wurden die Signatur und der Inhalt des Belegs erfolgreich verifiziert?
2. Stammt der Schlüssel aus einer Quelle, der du unabhängig vertraust?
3. Bezieht sich der Beleg auf das erwartete Deployment und die erwartete Zielgruppe?
4. Sind noch externe Prüfungen erforderlich?
Eine Offline-Verifizierung ist nützlich, weil sie Nachweise prüfen kann, ohne den Aussteller aufzurufen. Sie stellt jedoch nicht die Identität des Schlüssels für dich fest. Für manche Angaben, etwa eine ERC-1271-Autorisierung oder einen EVM-Anker, sind möglicherweise auch Prüfungen des Chain-Zustands erforderlich.
Insight und PriorSeal haben getrennte Nachweisbereiche und Vertrauensanker. Die Verknüpfung ihrer Datensätze macht nicht automatisch eines der Produkte zur maßgeblichen Instanz für das andere.
Ein grünes Ergebnis „gültig“ ist nur dann nützlich, wenn du weißt, was verifiziert wurde, mit welchem Schlüssel und was noch geprüft werden muss.
Woher bezieht dein Verifizierer seine Vertrauenseinstellungen?
#defi
Kannst du ihm vertrauen?
Frage zuerst, woher der Verifizierer seinen vertrauenswürdigen öffentlichen Schlüssel hat. Eine Signatur beweist, dass ein bestimmter Schlüssel den Beleg signiert hat. Für sich genommen sagt sie dir nicht, wem dieser Schlüssel gehört.
Wenn der Beleg seinen eigenen Schlüssel mitbringt und dein Verifizierer diesem automatisch vertraut, könnte jeder einen Schlüssel erstellen, eine Behauptung signieren und sie dadurch als verifiziert erscheinen lassen.
Bevor du dich auf einen Beleg verlässt, prüfe:
1. Wurden die Signatur und der Inhalt des Belegs erfolgreich verifiziert?
2. Stammt der Schlüssel aus einer Quelle, der du unabhängig vertraust?
3. Bezieht sich der Beleg auf das erwartete Deployment und die erwartete Zielgruppe?
4. Sind noch externe Prüfungen erforderlich?
Eine Offline-Verifizierung ist nützlich, weil sie Nachweise prüfen kann, ohne den Aussteller aufzurufen. Sie stellt jedoch nicht die Identität des Schlüssels für dich fest. Für manche Angaben, etwa eine ERC-1271-Autorisierung oder einen EVM-Anker, sind möglicherweise auch Prüfungen des Chain-Zustands erforderlich.
Insight und PriorSeal haben getrennte Nachweisbereiche und Vertrauensanker. Die Verknüpfung ihrer Datensätze macht nicht automatisch eines der Produkte zur maßgeblichen Instanz für das andere.
Ein grünes Ergebnis „gültig“ ist nur dann nützlich, wenn du weißt, was verifiziert wurde, mit welchem Schlüssel und was noch geprüft werden muss.
Woher bezieht dein Verifizierer seine Vertrauenseinstellungen?
#defi