AsOf / RFC 3161 · LTV

Datumsnachweis (LTV)

Jede archivierte Version hat einen unabhängigen, langzeitprüfbaren Nachweis des Datums, an dem sie existierte. Jeder kann ihn mit OpenSSL prüfen, ohne AsOf vertrauen zu müssen.

So funktioniert es

  1. Nach dem täglichen Lauf schreibt AsOf ein Manifest: für jedes Dokument Quelle, URL, SHA-256 des extrahierten Texts und der Originaldatei sowie das Datum, an dem wir diese Version zuerst gesehen haben. Eine Merkle-Wurzel fasst alles zusammen.
  2. Der SHA-256 des Manifests geht an zwei unabhängige RFC-3161-Zeitstempeldienste, FreeTSA und DigiCert. Jeder liefert ein signiertes Token mit der Uhrzeit.
  3. LTV: Neben jedem Token speichert AsOf die Zertifikatskette des Dienstes und die zu diesem Zeitpunkt gültigen Sperrlisten (CRL), damit das Token auch nach Ablauf der Zertifikate oder nach Einstellung des Dienstes prüfbar bleibt.
  4. Jedes neue Manifest enthält die Hashes des vorherigen Manifests und seiner Tokens. Die Nachweise bilden eine Kette: Jeder Tag stempelt alles Vorherige erneut.

Tägliche Nachweise

DatumDokumenteManifest-SHA-256ZeitstempelDateien
24. Okt. 202691fedf12070cb7fe2fd92e10b88e8f493169d645e906a36a3f7d054bed5e4061dc
FreeTSA Oct 24 20:18:43 2026 GMT
✓ mit OpenSSL geprüft · LTV: 4
DigiCert Oct 24 20:18:45 2026 GMT
✓ mit OpenSSL geprüft · LTV: 4
manifest.json
freetsa.tsr
digicert.tsr
proof.json

Selbst prüfen

Manifest und Token eines Tages herunterladen, dann ausführen:

curl -O https://asof.pro/data/proofs/2026-10-24/manifest.json
curl -O https://asof.pro/data/proofs/2026-10-24/freetsa.tsr
curl -O https://asof.pro/data/proofs/2026-10-24/freetsa-ca.pem
openssl ts -reply -in freetsa.tsr -text
openssl ts -verify -in freetsa.tsr -data manifest.json -CAfile freetsa-ca.pem
# → Verification: OK

# DigiCert: the root is in the system store
curl -O https://asof.pro/data/proofs/2026-10-24/digicert.tsr
openssl ts -verify -in digicert.tsr -data manifest.json -CAfile /etc/ssl/cert.pem

Ein Dokument prüfen

Jeder Pass nennt den SHA-256 jeder Quelle und verlinkt den Nachweis, der genau diese Version abdeckt. Finden Sie denselben Hash im Manifest dieses Tages: Dann zeigt das Token, dass diese Version spätestens zum gestempelten Zeitpunkt existierte.

Was es belegt und was nicht

Ein Token belegt, dass ein Manifest mit genau diesen Fingerabdrücken zum gestempelten Zeitpunkt existierte. Es sagt nicht, dass die Dokumente zutreffen, und ersetzt nicht die Unterlagen des Emittenten. FreeTSA und DigiCert sind öffentliche RFC-3161-Dienste, keine qualifizierten Vertrauensdienste nach eIDAS; ein qualifizierter Zeitstempel kann später hinzukommen. Vollständige Dokumente bleiben im privaten Archiv; veröffentlicht werden nur Fingerabdrücke.