Elsas Security Intelligence

elsas-verify

独立验证由 elsas.it 发布的每日安全情报报告——离线验证，无需信任我们的服务器，也无需访问我们的密钥。

elsas.it 提供经过签名的安全情报，通过 MCP 提供服务，并通过 x402 按调用付费（Base 上的 USDC——无需账户，钱包就是你的身份）。有两种形式：

• 原子工具（高频、单次费用不足一美分）：is_exploited（此 CVE 是否在 CISA-KEV 中？$0.001）、check_cve（CVSS + KEV + EPSS，$0.01）、check_package（针对单个 package@version 的 OSV 判定，$0.002）、search_cves（$0.01）、scan_dependencies（扫描整个锁定文件中的 OSV 漏洞，按漏洞付费；无漏洞时免费）。
• 高级摘要：get_today — 每日精选、交叉验证的报告（$0.10）。

每个响应都带有 Ed25519 签名（SSHSIG，命名空间 elsas-report）——因此你可以在无需信任我们的服务器，也无需我们的密钥的情况下，证明它真实且未经篡改。这正是我们的差异化之处：未签名的 CVE API 要求你信任它们；我们让你自行验证。这个仓库包含离线完成验证所需的一切。

不要信任我们——亲自验证。

---

30 秒内完成验证

要求：openssh-client（ssh-keygen）和 python3——任何 Linux/macOS 系统上都有。无需安装，验证本身无需联网。

git clone https://github.com/romans-repos/elsas-verify.git
cd elsas-verify
./verify-report.sh examples/sample-report.json allowed_signers

预期输出：

VALID: authentic & untampered
  Signer:  [email protected]
  Hash:    sha256:…
Good "elsas-report" signature for [email protected] with ED25519 key SHA256:gLVNll72kb8Iyni2vNMR6oHGqVh0Ynz+lBMhbS+cSa4

验证实时报告

# Fetch the current public sample + its detached signature
curl -s https://elsas.it/sample                          > report.json
curl -s https://elsas.it/.well-known/report.json.sig     > report.json.sig
# Verify against the pinned key in this repo
./verify-report.sh report.json allowed_signers

你也可以使用标准 OpenSSH 手动验证：

ssh-keygen -Y verify \
  -f allowed_signers \
  -I [email protected] \
  -n elsas-report \
  -s report.json.sig < report.json

验证原子工具判定

原子工具会返回一个 JSON 判定，其中嵌有 _signature 区块（signed_payload = 精确的签名字节；signature = 装甲格式的 SSHSIG）。可离线验证——通过 shell，或使用适用于你所用语言的即插即用库：

# shell (ssh-keygen + python3 stdlib)
./verify-verdict.sh examples/sample-verdict.json allowed_signers

// Node — zero dependencies (built-in crypto). npm i @elsas/verify
import { verifyVerdict } from '@elsas/verify';
const { ok, reason } = verifyVerdict(verdict);   // pinned elsas key, offline
if (!ok) throw new Error(`unverified elsas verdict: ${reason}`);

# Python — pip install elsas-verify  (only dep: cryptography)
from elsas_verify import verify_verdict
ok, info = verify_verdict(verdict)
assert ok, info["reason"]

每个验证器都会独立执行两项检查：（1）判定正文与签名字节相符（篡改可检测）；（2）SSHSIG 通过固定的 elsas 密钥验证（任何其他密钥的签名都会被拒绝）。验证无需联网。

信任模型

• 签名通过 ssh-keygen -Y sign 使用 SSHSIG (Ed25519)。验证离线且零信任：你持有载荷，并在本地进行验证。
• 信任根是 allowed_signers——我们的公钥，其身份固定为 [email protected]。替换为不同密钥的签名者文件会被 -I 标志拒绝。
• 请通过实时副本独立确认固定的密钥：

  curl -s https://elsas.it/.well-known/allowed_signers
  

  密钥指纹：SHA256:gLVNll72kb8Iyni2vNMR6oHGqVh0Ynz+lBMhbS+cSa4
• 每份报告还包含 _integrity.content_hash（对规范化 JSON 计算的 sha256），用于检测篡改——详见 SIGNATURE-VERIFY.md。

此处包含的内容

文件	用途
verify-report.sh	无依赖的报告验证器（ssh-keygen + python3 标准库）
verify-verdict.sh	无依赖的原子判定验证器
packages/node/	@elsas/verify — 零依赖 Node 库 + CLI
packages/python/	elsas-verify — Python 库 + CLI（pip install）
allowed_signers	我们的签名公钥——信任根
schemas/report-v4.json	报告载荷的 JSON schema
examples/sample-report.json（+ .sig）	一份真实的已签名报告，可用于验证
examples/sample-verdict.json	一份真实的已签名原子工具判定，可用于验证
SIGNATURE-VERIFY.md	完整的验证步骤和信任详情

此处不包含的内容

本仓库仅提供验证功能。内容策划流水线、评分提示词、相关性分类体系、基础设施以及任何运行配置均有意不予公开——验证报告不需要这些内容，它们对第三方也没有用处。可验证性不要求披露制作过程；它只要求结果可以检查。本仓库提供的正是这一点。

许可证

此代码库中的工具根据 MIT License 发布。 报告负载本身的许可条款包含在报告中 （_integrity._license_coverage）。

---

服务：https://elsas.it · 文档：https://elsas.it/docs · 示例：https://elsas.it/sample