Sono uno sviluppatore di Public-Key Infrastructure (PKI), sviluppiamo sicuramente software per tale caso d'uso, quindi posso parlare al lato software della tua domanda. Rispettare la normativa europea è più importante su come si scrivono le politiche aziendali (e su come le si impone).
In un caso d'uso come questo, raccomandiamo che gli utenti abbiano 3 coppie di chiavi (coppie di chiavi pubbliche / private):
-
Un Encryption keypair per mantenere riservati i documenti,
-
A Signing keypair, in genere per le operazioni di accesso utente (chiamata autenticazione) come le email di firma, stabilendo connessione SSL / TLS o VPN, ecc.
-
A Nonrepudiation keypair per la firma di documenti legalmente vincolanti.
Mentre è tecnicamente possibile avere una singola coppia di chiavi RSA per tutti e tre i lavori, raccomandiamo tre chiavi diverse perché di solito ci sono politiche diverse su come ciascuna di esse viene gestita. Come accennato in questa risposta , le chiavi di non rifiuto di solito hanno le politiche più severe per ciò che sei e non sono autorizzati a fare con loro. Queste politiche definiscono cosa significa per una chiave essere "sotto il solo controllo del firmatario". Ad esempio:
- Le chiavi di non ripudio dovrebbero mai essere sottoposte a backup su un server.
- Le chiavi di non disconoscimento dovrebbero solo essere usate quando l'essere umano a cui appartiene è seduto alla tastiera (cioè nessun login automatico come farebbe una chiave VPN)
- La politica aziendale dovrebbe imporre che mai condividere la password per la chiave di non ripudio con chiunque altro.
- Se due persone ottengono l'accesso alla stessa chiave di non ripudio, la politica aziendale dovrebbe imporre che la chiave venga distrutta e una nuova emessa alla persona giusta.
- ecc ...
A quanto ho capito, ogni governo regionale ha un elenco di politiche di gestione delle chiavi simile a quanto sopra che devi seguire affinché le tue firme digitali siano considerate legalmente vincolanti. Queste politiche sono più utili per gli amministratori dei computer che per i newtorks piuttosto che per i fornitori di software.
Non sono un esperto di giurisprudenza, ma la mia ipotesi è che per il tuo scenario di "caricamento del documento", avresti bisogno che i caricamenti siano firmati da singoli umani piuttosto che da una chiave condivisa a livello aziendale. vale a dire "Questo documento è stato caricato da John Smith e, nel verificare il suo certificato di firma, possiamo verificare che sia un caricatore di documenti autorizzato per questa azienda".