Grenzen dieser Demo

Damissssst aus einer Vorführung keine falsche Sicherheit wird, benennen wir hier ausdrücklich, was das CNI-Labor leistet – und was es nicht belegt.

Die drei wichtigsten Einschränkungen

Prinzip-Beweis, kein Produktionssystem. Die Demo zeigt, dass das Verfahren funktioniert – sie ist keine gehärtete Infrastruktur.
Keine Netzwerk-Benchmarks. Gemessen wird ausschließlich die Rechenzeit für Signieren und Prüfen im Browser. Übertragungszeiten, Serverlast und Durchsatz sind nicht Teil der Messung.
Die Neuheit von CNI ist nicht geprüft. Wir behaupten nicht, dass dieses Verfahren neu oder schutzfähig ist. Eine Recherche zu Stand der Technik, Veröffentlichungen oder Patenten hat nicht stattgefunden.

Kryptografische Parameter nur beispielhaft

Verfahren: ECDSA-P256-SHA256 – eine verbreitete, aber hier willkürlich gewählte Festlegung.
Frischefenster: 120 Sekunden. In echten Anwendungen hängt dieser Wert von Uhrzeit-Genauigkeit und Einsatzzweck ab.
Kanonische Form: schlüsselsortiertes JSON. Produktionssysteme brauchen dafür eine verbindliche, versionierte Festlegung (z. B. JCS).
Keine Zertifikatskette, kein Vertrauensanker, keine Sperrlisten-Verteilung über mehrere Parteien.

Der private Schlüssel entsteht im Browser und lebt nur im Arbeitsspeicher der Sitzung. Nach einem Neuladen der Seite ist er weg und ein neuer wird erzeugt.
In der Realität signiert der Server – idealerweise in einem Hardware-Sicherheitsmodul. Dass hier der Browser signiert, dient nur der Anschaulichkeit.
Das Schlüsselverzeichnis dieser Demo ist offen: Jede Besucherin, jeder Besucher kann Schlüssel registrieren und widerrufen. Es gibt keine Anmeldung und keine Rollen.

Eine gültige Antwort belegt: dieser Schlüssel hat diese Aussage zu diesemZeitpunkt unterschrieben. Sie belegt nicht, dass der Aussteller die Wahrheit sagt.
Ob ein Aussteller überhaupt zuständig ist, regelt CNI nicht – das wäre Aufgabe einer übergeordneten Vertrauensstruktur.
Ein Angreifer, der eine Antwort gar nicht erst zustellt, wird durch Signaturen nicht entdeckt. Gegen Unterdrückung hilft nur, dass Antworten erwartet werden.

Läufe, Schlüssel, verbrauchte Nonces und Messergebnisse werden über die ABYNTIS-Daten-API auf einem EU-Server gespeichert. Es gibt keine Speicherung im Browser (kein localStorage, kein IndexedDB).
Das Protokoll ist für alle Besucher gleich sichtbar. Geben Sie in Pfadfeldern keine persönlichen Daten ein.
Schriften werden lokal aus dem System geladen, es werden keine externen Dienste eingebunden.