Конституционный аварийный выключатель
Поимённо названные люди могут остановить агента CIRIS. Эта власть заключена в оборудовании, а не в компании.
Крайняя мера остановки, HUMANITY_ACCORD, находится в руках поимённо названных людей, а не компании CIRIS, сети или самого агента. Ни одна сторона внутри федерации не может предоставить, отозвать или отменить это право. Оно срабатывает при живом кворуме два из трёх.
Каждый ключ кворума представляет собой гибрид двух связанных подписей. Половина Ed25519 привязана к сертифицированному по FIPS устройству YubiKey 5: она создаётся внутри устройства, не может быть извлечена и требует физического прикосновения для подписи. Половина ML-DSA-65, постквантовая подпись, это программный ключ, запечатанный на USB-накопитель под защитой того же YubiKey, поскольку ни один YubiKey пока не поставляется с постквантовым апплетом. Всего шесть ключей: три активны, три хранятся в резерве. Неудачная или неизвестная проверка отзыва считается отзывом, поэтому система отказывает в безопасную сторону.
Независимая проверка
Одна команда. Без оборудования, без сети, без доверия нам.
Наш проверочный стенд повторно запускает тот же самый производственный верификатор допускающего шлюза CIRISVerify по шести зафиксированным аттестациям ключей, сверяя их с закреплённой копией собственного публичного корня аттестации Yubico. Склонируйте репозиторий CIRISVerify и выполните: github.com/CIRISAI/CIRISVerify
cargo test -p ciris-verify-core --test accord_ceremony_custody -- --nocaptureУбедитесь, что закреплённый корень подлинный, получив его напрямую от Yubico: developers.yubico.com/PKI/yubico-ca-1.pem
Что это доказывает
Все шесть ключей кворума связаны цепочкой с настоящим корнем аттестации Yubico, а значит их половины подписи Ed25519 были созданы внутри подлинного, сертифицированного по FIPS оборудования YubiKey 5: их нельзя извлечь, для подписи требуется прикосновение, подделать их невозможно.
Чего это не доказывает
Половина ML-DSA-65 это программный ключ, запечатанный на USB-накопитель под защитой YubiKey, а не подтверждённый аппаратно. Этот стенд не проверяет запечатывание USB или живой кворум: они обеспечиваются отдельно. Мы предпочитаем, чтобы вы точно знали, что именно подтверждает эта проверка.
Измерено, а не заявлено
Постквантовая криптография работает в продакшене, и все цифры находятся в открытом доступе.
Постквантовое происхождение данных не даётся бесплатно, и мы не скрываем эту цену: гибридная подпись Ed25519 + ML-DSA-65 работает примерно в пятнадцать раз медленнее классической, около 550 микросекунд против 36 на событие. Сохранённый корпус восстанавливается в 97.6% испытаний при отключении пятой части держателей и в 72.7% при отключении трети. Цифры это медианы на одном ядре общего CI-раннера, пересчитываемые при каждом коммите.
Весь смысл в том, что вам не нужно верить предложению выше на слово. Вы можете сами запустить проверку.
Источники: CIRISVerify (аттестации хранения Ed25519 + ML-DSA-65, закреплённый корень Yubico), тестовый стенд CIRISServer (измеренная производительность), Yubico PKI (корень аттестации). Цифры зафиксированы на коммите 0b73486, 2026-06-24.