VCP / VSO · 公告 · 2026年10月26日

VSO发布VCP RTA验证器固定版本与外部评审步骤

VSO已固定VCP RTA评审目标，并在开发方CI中从新公开克隆到最终报告核对，完整执行了公开步骤。每个环境均通过固定的809项回归测试和单独的15项历史证据测试。40个事件的证据总体结果仍为INDETERMINATE（无法判定）。辅助格式仍未采纳，独立第三方复现尚未成立。

实现扩展未采纳；独立复现尚未成立

辅助记录格式属于实现扩展，并非VCP/VAP正式采纳的格式。本次检查点不是新发布版本、认证或外部独立实现。公开步骤及开发方CI成功不代表独立复现、完全符合规范或生产适用性成立。

10月26日补充：选定CI原始记录与外部评审接收指引

已将完成的开发方CI中的六份原始JSON保存到Git：每个Python环境各有执行完成记录、最终评估及原始产物清单三份。它们是逐字节相同的副本，并非新运行。完整JUnit XML、40事件的详细重放及Shell日志未收录。选定副本不再仅依赖Actions产物的30天保留期，但Git可用性不等于不可修改或永久保存的保证。未保存文件的哈希无法恢复原始字节。

选定CI原始记录与保存范围

接收指引区分RTA检查点（目标cc695fe、指南a839d7a）与VAP的OS隔离模拟门控套件（套件b1af0dc、目标c8ccf97）。同意运行一项不代表同意替换为另一项。合作意愿、收到报告、技术结果一致、独立性及公开许可分别确认；失败、未完成、环境差异和协助内容均须记录。结果、原始日志、姓名、所属组织及具体署名的公开许可分别处理。

GitHub Issue会公开投稿账号、正文和附件。非公开技术报告请先联系standards@veritaschain.org协商提交方式，不附带秘密信息。填写模板、关闭Issue或开发方CI成功均不能确立独立复现。实验扩展仍未采纳，独立第三方复现尚未成立。

评审目标与提交指引

10月26日补充：开发方CI完成公开步骤的全流程

PR #16新增的工作流已在Ubuntu 24.04上的Python 3.11及3.13.5两个CI任务中完成。它不替换或修改已发布的Shell步骤，依次执行新的公开克隆、创建虚拟环境、安装依赖、核对29个输入哈希、固定的809项回归和15项历史测试、40个事件的重放，以及已保存报告的最终核对。

整个步骤应正常完成，而证据重放必须返回INDETERMINATE及退出码2。报告缺失、环境准备失败，或只有Shell退出码0而未完成必要核对，均不算成功。启动器的13项合成保护测试单独计数，不属于固定的809＋15项。在另一工作流中重复这些固定测试，不增加新的独立测试用例覆盖。

该自动化仍由同一开发方维护。两个环境中的运行是开发方的步骤核验，并非两个独立评估方。独立第三方复现尚未成立，辅助格式仍未采纳。执行目标仍为cc695fe，固定指南仍为a839d7a，自动化本身是另一版本。范围及保留报告说明分别记录这些版本与初次克隆时的版本。

原始Actions完整产物保留30天。选定JSON原始副本现也保存在Git中，见上文；这不是完整日志归档或完全锁定的环境。本次补充介绍已公开记录，不是新的验证器运行、独立评估、认证或证据全面合格。

验证器的更新

各项检查区分VALID、INVALID和INDETERMINATE，缺失材料不会掩盖另一项可确定的不一致。修复涵盖Ed25519密钥与签名、Merkle证明结构、时间戳策略输入、输入上限，以及防止报告覆盖证据、密钥或已有报告。测试运行器也会拒绝未登记的测试模块、数量不一致及格式错误的JUnit报告。

普通验证与附加验证相互分开

普通CLI使用调用者明确信任的密钥检查签名，不认证批次元数据或验证外部锚定。另一个需主动选择的命令使用调用者指定的密钥、CA证书与TSA策略，检查已签名的辅助记录及离线RFC 3161时间戳。事后取得的辅助时间戳不能证明原始日志或锚定时间。合成TSA测试也不等同于真实TSA互操作结果。

历史40个事件的复核范围

数据包含20个SIG与20个EXE事件。明确选择公开参考密钥后，哈希、签名及旧式Merkle比较与参考材料一致。但该过程使用旧实现特有的编码及奇数节点复制，并非JCS或严格RFC 6962合规。首个PrevHash边界、批次元数据认证和原始外部锚定仍未验证，密钥所有者身份也未确立。预期总体结果为INDETERMINATE，重放命令退出码为2。

开发方记录的测试，与证据完整验证分开

先前PR #14的参考CI记录，与本次新增的步骤执行CI分开
评审目标	cc695fe · 13个回归模块
回归测试	每个记录的Python环境809项
单独的历史证据测试	每个记录的Python环境15项
记录的环境	Ubuntu 24.04；Python 3.11.17 / 3.13.5；OpenSSL 3.0.13
CI测试结果	失败、错误、跳过均为0
历史证据总体结果	INDETERMINATE — 仍有未验证项目

固定目标，记录失败和环境差异

检出目标为cc695fe。PR #14参考CI执行的是临时合并0314e01，其Git树与目标一致，但提交ID不同。后续文档版本a839d7a提供步骤、含29个输入文件哈希的JSON及未填写的报告模板。报告应记录实际执行者、关系、支持、环境差异、失败与未完成事项。执行承诺与结果、姓名、组织名称的公开许可分别处理。

记录限制与既有版本

完整CI产物保留30天。六份选定JSON原始记录现也存于Git，其余产物字节未在该目录归档，清单本身无法恢复它们。依赖和环境仍未完全锁定。本次网站更新核对公开记录与CI状态，并非重新运行验证器。现行规范、已有实现、已签名证据、固定分发物及K3均未改变。此前VAP套件（b1af0dc，目标c8ccf97）仍是独立的固定实验。