CNI · Cryptographic Negative Indication
Eine 404-Antwort, die man nachrechnen kann
Normalerweise muss man einem Server glauben, wenn er sagt: „Diese Adresse gibt es nicht.“ Eine signierte 404-Antwort dreht das um: Der Server unterschreibt seine Aussage digital. Wer die Antwort erhält, kann selbst nachrechnen, dass sie vom richtigen Absender stammt, unverändert ist und frisch erzeugt wurde.
Was in der Antwort steht
- Pfad – die Adresse, über die eine Aussage getroffen wird.
- Statuscode 404 – die Aussage selbst: „nicht vorhanden“.
- Zeitstempel – wann die Aussage gilt. Sie ist in dieser Demo 120 Sekunden frisch.
- Nonce – ein Einmalwert. Jede Antwort wird genau einmal angenommen.
- Schlüssel-ID – welcher Schlüssel unterschrieben hat.
- Signatur – ECDSA über der Kurve P-256 mit SHA-256, berechnet über der kanonischen Form der Nutzlast.
Was Sie im Labor ausprobieren
- 1. Signieren & Prüfen – eine echte Antwort im Browser erzeugen und serverseitig prüfen lassen.
- 2. Manipulationstest – ein Zeichen im JSON ändern. Die Prüfung fällt durch.
- 3. Replay-Versuch – eine bereits angenommene Antwort erneut einspielen. Nonce und Zeitstempel verraten es.
- 4. Widerrufener Schlüssel – den Schlüssel zurückziehen. Rechnerisch stimmt die Signatur weiterhin, vertrauenswürdig ist sie nicht mehr.
Jeder Fall endet mit genau einer von drei Markierungen: gültig, ungültig oder nicht ausreichend überprüfbar – jeweils mit kurzer Begründung.
Wie die Demo aufgebaut ist
Signieren im Browser
Das Schlüsselpaar entsteht per WebCrypto in Ihrem Browser. Der private Schlüssel bleibt dort und wird nirgends gespeichert – nach einem Neuladen der Seite wird ein neuer erzeugt.
Prüfen auf dem Server
Nur der öffentliche Schlüssel wird registriert. Die Prüfung läuft serverseitig, denn Schlüsselstatus und die Liste verbrauchter Nonces müssen für alle gleich gelten.
Protokoll auf dem EU-Server
Läufe, Schlüssel und Messungen liegen in der ABYNTIS-Daten-API in der EU. Im Browser wird nichts dauerhaft abgelegt.