Pod každým elektronickým podpisom leží jedna nepríjemná skutočnosť: certifikát, ktorým vznikol, vyprší. Zvyčajne do roka či dvoch. Dvadsaťročný nájom podpísaný dnes prežije vlastný podpisový certifikát mnohonásobne.
Ak sa s tým nič neurobí, otvorenie súboru v roku 2032 vám dá „platnosť podpisu neznáma": nie preto, že by niečo bolo zle, ale preto, že dôkazy potrebné na kontrolu zostarli. Práve zvládnutie tohto oddeľuje skutočnú podpisovú platformu od nástroja, ktorý nakreslí obrázok podpisu na stranu.
Problém konkrétne
Aby čítačka podpis overila, musí odpovedať na tri otázky: čí certifikát ho vyrobil, bol ten certifikát v tom čase platný a zmenil sa odvtedy súbor. Na tú prostrednú bežne odpovedá otázkou na certifikačnú autoritu: čo funguje presne dovtedy, kým certifikát nevyprší, kým autorita kontrolu nezruší, alebo oboje.
Odpoveď sa preto musí zachytiť v čase podpisu a niesť priamo v súbore, nie dohľadávať neskôr.
Čo swipesign do súboru vkladá
- Štandard
- PAdES B-LTA (ETSI EN 319 142)
- Zdroj časovej pečiatky
- Kvalifikovaná autorita časových pečiatok, aktuálne A-Trust
- Použité
- Po každom podpise a ešte raz, keď podpíše posledný podpisujúci
- Funguje v
- Adobe Readeri a v každej čítačke, ktorá pozná PAdES
- Reťazec certifikátov: každý certifikát od podpisujúceho až po koreňový, takže čítačka nikdy nemusí žiadny sťahovať.
- Dôkaz o nezrušení: dôkaz zachytený vo chvíli podpisu, že certifikát nebol zrušený. Práve táto časť neskôr prestane fungovať, ak si ju neuložíte.
- Kvalifikovaná časová pečiatka po každom podpise: nezávislý doklad od dôveryhodnej autority o tom, kedy presne každý podpis vznikol, aby otázka „bol vtedy platný" mala odpoveď, ktorá nezávisí od dneška.
- Archívna časová pečiatka, položená na hotový dokument, keď podpíšu všetci. Zapečatí všetko vyššie vrátane skorších pečiatok a práve ona dvíha súbor na najvyššiu archívnu úroveň.
Prečo je posledný krok až na konci
Každý podpis dostane vlastnú kvalifikovanú časovú pečiatku hneď v okamihu, keď vznikne. Archívna časová pečiatka pribudne na konci ešte raz, cez hotový dokument. Tento posledný krok nezávisí od poskytovateľa: či vaši podpisujúci použili ID Austria, baltské Smart-ID alebo kombináciu pol tucta rôznych služieb, hotový dokument je nakoniec zapečatený rovnako.
Čo to znamená v praxi
Otvorte dokončený dokument zo swipesign v Adobe Readeri o desať rokov, offline, s dávno vypršaným podpisovým certifikátom, a mal by sa stále overiť: pretože všetko potrebné na kontrolu je v súbore. Pozrite si Kontrola podpisu v Adobe Readeri.
Uložiť si súbor je stále na vás
Podpis navrhnutý na desaťročia je vám nanič, ak je dokument preč. swipesign maže dokončené dokumenty po 14 dňoch: stiahnite si vlastnú kópiu a založte ju. Pozrite si Ako dlho uchovávame vaše dokumenty.
Musím pre to niečo urobiť?
Nie. Použije sa to na každý dokončený proces podpisu. Niet čo nastavovať a niet čo dokupovať.
Platí to aj pre zaručené podpisy, nielen pre kvalifikované?
Pečatenie aj časové pečiatky sa na dokument použijú tak či tak. Medzi AES a QES sa líši sila totožnosti za podpisom, nie to, ako dobre je súbor uchovaný. Pozrite si AES vs QES.
Čo ak swipesign o pätnásť rokov nebude existovať?
Presne preto dôkazy žijú vnútri PDF, a nie na našich serveroch. Na overenie treba súbor a čítačku, ktorá spĺňa štandardy: nie nás a nie internetové pripojenie.