Eigenständiger Smartphone-Browsertest für einen neuen Test-Passkey.
Künstlicher Research-Auftrag SYNTHETIC_ONYX_S2C2B_PILOT, Budget 0, keine Daten und keine Ausführung.
Umgebung wird geprüft.
DEVICE_CEREMONY_NOT_TESTED
LOCAL_CRYPTO_CHECK_NOT_TESTED
OWNER_ADMISSION_NOT_TESTED
Noch keine Registrierung oder Bestätigung.
Diese Quelldatei wird hier weder bereitgestellt noch mit einem echten Passkey ausgeführt.
Vor einem späteren, separat genehmigten Pilot ist APPROVED_ORIGIN im Quelltext auf den exakt genehmigten HTTPS-Origin zu pinnen und erneut zu reviewen. Leer bedeutet gesperrt. Nach Quelländerungen sind auch die CSP-Skripthashes neu zu berechnen; der statische Test prüft ihre Übereinstimmung.
Die RP-ID ist ausschließlich dessen exakter Hostname. Kein Origin aus URL-Parametern oder Formulareingaben.
Erforderlich: vertrauenswürdiges HTTPS-Zertifikat, eigenständiger Test-Hostname ohne produktive Passkeys, oberste Browserseite, WebAuthn, Web Crypto und ein ES256-/UV-fähiger Authenticator. Kein file://, HTTP, localhost oder eingebetteter In-App-/Iframe-Betrieb. Der begrenzte CBOR-Parser akzeptiert definite Längen und einfache Extension-Maps; andere Formate scheitern geschlossen. iOS/Safari und Android/Chrome sowie Passwortmanager und Browser-Versionen sind erst im später genehmigten Pilot zu prüfen.
DEVICE_CEREMONY_PASS bedeutet: Registrierung und Bestätigung sind vom Browser zurückgekehrt und ihre Kontext-/UP-/UV-Prüfungen bestanden.
LOCAL_CRYPTO_CHECK_PASS bedeutet zusätzlich: Die ES256-Signatur über die unveränderten Authenticator-Daten und den SHA-256-Hash der empfangenen Client-Daten stimmt mit dem öffentlichen Schlüssel dieser Testregistrierung überein.
Lokale JavaScript-Verifikation ist keine unabhängige Server- oder Worker-Zulassung.
Die Registrierung nutzt attestation: 'none'; Hardwareherkunft und Owner-Identität sind nicht attestiert.
UV beweist keine informierte Freigabe eines Research-Auftrags. Manipulierbares Seiten-JavaScript ist keine unabhängige Vertrauensinstanz.
BE (backup eligible), BS (backup state), UP, UV und Signaturzähler werden für beide Antworten angezeigt. Gültige Backup-Flags und Nullzähler sind zulässig; nicht steigende Zähler werden als Beobachtung markiert und beweisen allein keinen Klon. Der Pilot implementiert keine dauerhafte Replay-Sperre oder produktive Counter-Policy.
Der Testcode sendet keine Netzwerkanfragen, Telemetrie oder Analytics und speichert keine privaten Schlüssel. Nur öffentlicher Schlüssel, Credential-ID und Beobachtungen bleiben bis Reset/Neuladen im Seitenspeicher; es gibt keinen Export oder Upload. Das Betriebssystem bzw. der gewählte Passkey-Provider kann Test-Passkeys dauerhaft speichern oder synchronisieren; sein Verhalten liegt außerhalb dieser Seite und ist keine Netzwerkanfrage des Testcodes. Reset entfernt den Passkey dort nicht. Später kann er in der Passkey-Verwaltung anhand des Test-Origin und des Namens „ONYX Test …“ gelöscht werden.
Hosting-Grenze: Der spätere Host muss HTTPS, vertrauenswürdige unveränderte Bytes, keine injizierten Skripte/Analytics,
keinen kontrollierenden Service Worker sowie die HTTP-Header Content-Security-Policy: frame-ancestors 'none' und eine restriktive WebAuthn-Permissions-Policy sicherstellen.
Eine Meta-CSP kann frame-ancestors nicht erzwingen. Der initiale Dokumentabruf und Provider-Synchronisation sind keine Offline-Garantie.
Rücknahme: Draft ungemergt schließen; nach separat genehmigter Integration nur die zwei hinzugefügten Dateien durch separat genehmigten Revert zurücknehmen. Keine Task-Aktivierung, kein Worker, keine Marktdaten, kein Folgeauftrag.