Was eine Attestierung belegt und was nicht

„Für die Enklave verschlüsselt“ ist eine Kurzformel für eine Kette von Prüfungen. Jedes Glied darin lohnt es zu kennen, denn jedes beruht auf etwas anderem: den Schlüsseln eines Prozessorherstellers, einem veröffentlichten Release, einem Header oder Code, den wir ausliefern. Diese Notiz geht die Kette der Reihe nach durch und markiert, wo sie endet.

Die Prüfung, Schritt für Schritt

Bevor der Arbeitsbereich eine Nachricht sendet, ruft Ihr Browser über unser Relay das Attestierungspaket der Enklave ab und prüft es mit dem Prüfer von Tinfoil, im Tab. Das Paket enthält einen Hardwarebericht, signiert mit Schlüsseln, die auf den Prozessorhersteller zurückgehen (AMD SEV-SNP beim Router), eine Messung des Codes, mit dem die Enklave gestartet wurde, und den öffentlichen Schlüssel, mit dem die Enklave entschlüsseln wird.

• Die Signatur des Berichts zeigt, dass er von echter Enklaven-Hardware stammt.
• Die Messung wird mit einem signierten, veröffentlichten Release des Router-Codes verglichen, sodass der Browser weiß, welcher Code läuft.
• Der Schlüssel im Bericht ist derjenige, für den Ihre Nachricht dann mit HPKE verschlüsselt wird, bevor sie den Tab verlässt.

Das Relay speichert dieses öffentliche Paket eine Minute lang zwischen. Da der Browser es prüft, kann der Weg über unseren Server es nicht schwächen: Ein verändertes Paket besteht die Prüfung nicht, und es wird nichts gesendet.

Was eine bestandene Prüfung zeigt

Dass eine Enklave unter dieser Adresse echte Hardware ist, auf der dieses veröffentlichte Release läuft, und dass sie den Schlüssel besitzt, für den Ihre Nachricht versiegelt wurde. Ihre Nachricht lässt sich nur in diesem Code öffnen, solange die Schutzmechanismen der Hardware halten. Unser Relay, unser Hoster und das Netz dazwischen sehen Geheimtext.

Wo sie endet

Die Enklave, die Ihr Browser prüft, ist der Modell-Router von Tinfoil. Sein veröffentlichter Code entschlüsselt Ihre Anfrage und gibt sie an die eigene Enklave des Modells weiter, über eine TLS-Verbindung, die an den attestierten Schlüssel dieser Enklave gebunden ist. Diesen Schritt kann Ihr Browser nicht selbst bestätigen; er beruht auf dem veröffentlichten Code des Routers.

Der Arbeitsbereich versucht durchaus, auch die Enklave des Modells zu prüfen, und vermerkt auf dem Beleg jeder Antwort, was er gefunden hat. Heute lässt sich diese Prüfung in einem Browser oft nicht abschließen. Der Browser-Prüfer von Tinfoil liest nur AMD-SEV-SNP-Berichte, und Kimi K3, GPT-OSS 120B, DeepSeek V4.1 Flash und die meisten Enklaven von Gemma 4 31B laufen auf Intel TDX, deshalb steht auf ihren Belegen, dass sie sich in einem Browser noch nicht prüfen lassen. Manche SEV-SNP-Enklaven, darunter die von GLM-5.3, melden eine Prozessorversion, die der Prüfer noch nicht akzeptiert, und erscheinen als nicht bestätigt. Beides heißt nicht, dass mit der Enklave etwas nicht stimmt; es heißt, dass der Browser nicht zeigen konnte, dass alles stimmt. Diese Befunde stammen vom 28. Oktober 2026.

Zwei Dinge, die eine Prüfung nicht abdecken kann

• Der prüfende Code kommt von uns. Würden wir einen Prüfer ausliefern, der lügt, würde die Prüfung bestanden. Deshalb vergleicht /verify den Code, den Ihr Browser geladen hat, mit dem veröffentlichten Manifest des Builds, und deshalb lässt sich der Build Byte für Byte wiederholen.
• Attestierung beruht auf den Signaturschlüsseln des Herstellers und darauf, dass die Enklaven-Hardware wie vorgesehen arbeitet. Über einen Fehler in einem von beiden kann sie nichts sagen.

Selbst prüfen

So funktioniert die Prüfung zeigt die ganze Kette. Selbst versiegeln führt den Versiegelungsschritt in Ihrem Browser aus, ohne etwas zu senden. Diese Seite prüfen berechnet die Hashes des Codes, den Sie geladen haben, und Versuchen Sie, es zu knacken veröffentlicht eine verschlüsselte Anfrage so, wie unser Relay sie sah.