Ein Nachweis für Dritte.

Ein Nachweis enthält alles, was man zum Nachrechnen braucht: die geprüfte Handlung mit ihren Parametern, den Zustand, von dem die Rechnung ausging, mit Herkunft und Erfassungszeit, die Regeln in der verwendeten Version, das Rechenmodell und seine Version, die Einstellungen der Rechnung wie Löser, dessen Version und Budget, und das Ergebnis: Nachweis, Gegenbeispiel oder unentschieden.

Damit derselbe Inhalt immer dieselben Bytes ergibt, wird er kanonisch geschrieben, nach dem JSON Canonicalization Scheme (RFC 8785): Schlüssel sortiert, Zahlen und Zeichenketten in einer festgelegten Darstellung, kein überflüssiger Leerraum.

Über die kanonischen Bytes rechnet KALKÜL SHA-256 nach FIPS 180-4. Der Prüfwert hat 256 Bit und ändert sich, wenn sich ein einziges Zeichen des Datensatzes ändert. Wer den Datensatz hat, rechnet ihn mit jedem Standardwerkzeug nach.

Für die Filmszene zu KALKÜL steht ein Beispieldatensatz in Textzeilen mit seinem SHA-256-Prüfwert im Quelltext; ein Test rechnet ihn mit node:crypto nach. Die kanonische Form nach RFC 8785 ist für den Betrieb vorgesehen.

Ein Prüfwert zeigt, dass sich nichts geändert hat, aber nicht, wer ihn erzeugt hat. Dafür signiert KALKÜL den Prüfwert mit Ed25519, einem Signaturverfahren auf der Edwards-Form der Kurve Curve25519 nach RFC 8032. Öffentliche Schlüssel haben 32 Byte, Signaturen 64 Byte, und das Verfahren ist deterministisch: Derselbe Schlüssel und dieselbe Nachricht ergeben immer dieselbe Signatur, ohne Zufall beim Signieren.

Der private Schlüssel liegt nach der Bauweise in einem Hardware-Sicherheitsmodul. Der öffentliche wird veröffentlicht und mit seinem Gültigkeitszeitraum geführt, sodass jeder mit ihm prüfen kann, dass ein Nachweis aus KALKÜL stammt, auch nach einem Wechsel des Schlüssels.

Eine Signatur sagt nicht, wann. Ein Zeitstempel nach RFC 3161 bestätigt durch einen unabhängigen Zeitstempeldienst (Time Stamping Authority), dass der Prüfwert zu einem bestimmten Zeitpunkt existierte. KALKÜL schickt dafür nur den Prüfwert der Signatur, nicht den Inhalt, und erhält ein signiertes Zeitstempeltoken zurück.

Qualifizierte elektronische Zeitstempel nach der eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014, Artikel 41 und 42) stammen von qualifizierten Vertrauensdiensteanbietern; für sie gilt die Vermutung, dass Datum und Uhrzeit richtig sind und die Daten seitdem unverändert. Vorgesehen ist ein solcher Dienst; welcher, entscheidet der Betreiber.

Eine Prüferin braucht fünf Dinge: den Datensatz, die Signatur, den öffentlichen Schlüssel von KALKÜL, das Zeitstempeltoken und das Zertifikat des Zeitstempeldienstes. Sie bildet die kanonische Form, rechnet SHA-256, prüft die Ed25519-Signatur über den Prüfwert und prüft, dass das Zeitstempeltoken über den Prüfwert der Signatur ausgestellt und gültig signiert ist; so bleibt die Signatur datiert, auch wenn der Schlüssel später kompromittiert wird. Für keinen dieser Schritte braucht sie Zugang zu KALKÜL.

Will sie das Ergebnis selbst bestätigen, rechnet sie die Prüfung neu: mit denselben Regeln, demselben Zustand und einem Löser ihrer Wahl. Ein Gegenbeispiel prüft sie durch Einsetzen, einen Nachweis über den beigelegten Beweis oder eine eigene Gegenrechnung.