Come timestamp un documento senza firma elettronica sotto eIDAS

La normale implementazione dei timestamp eIDAS è specificata in EN 319 422 , che a sua volta si basa su RFC 3161 .

Secondo RFC 3161 una richiesta di timestamp richiede solo un valore hash dei dati per essere timbrato, quindi nel tuo caso puoi semplicemente inviare l'hash del documento.

Iniziamo con la divulgazione completa:

Lavoro come sviluppatore di software per Disig a.s. - Trust Service Provider dalla Slovacchia - e userò i nostri prodotti e servizi per dimostrare la tecnologia che descriverò in questo post. Ho scritto diversi prodotti lato server e lato client per il time-stamping nel corso degli anni, quindi la mia percezione della legislazione / standard / realtà potrebbe essere parziale. Sei stato avvisato:)

Rispondiamo alla tua domanda:

What is the preferred way to timestamp a document under eIDAS without an electronic signature?

IMO il modo migliore è utilizzare il servizio di timestamp qualificato basato su RFC 3161 e archiviare il tempo ricevuto- timbro token in contenitore ASiC-S .

Diamo un'occhiata alla legislazione correlata:

Regolamento (UE) n. 910/2014 anche noto come eIDAS non definisce i dettagli tecnici ma dice:

1. Nell'articolo 27, paragrafo 5, la Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme per le firme elettroniche avanzate .
2. Nell'articolo 37, paragrafo 5, la Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme per i sigilli elettronici avanzati .
3. Nell'articolo 41, paragrafo 2, la Commissione può, mediante atti di esecuzione, stabilire numeri di riferimento per il collegamento di data e ora ai dati e per fonti di tempo precise (IMO si riferisce a data / ora ).

Non sono a conoscenza di alcun atto di esecuzione che riguardi direttamente il terzo articolo 41, paragrafo 2, ma i primi due - articolo 27, paragrafo 5 e articolo 37, paragrafo 5 - sono coperti da Decisione di esecuzione della Commissione (UE) 2015/1506 dell'8 settembre 2015 che IMO copre indirettamente anche la terza perché fa riferimento ai seguenti standard tecnici:

• Profilo di base XAdES definito da ETSI TS 103 171 v.2.1.1
• Profilo di riferimento CAdES definito da ETSI TS 103 173 v.2.2.1
• Profilo di base PAdES definito da ETSI TS 103 172 v.2.2.2
• Profilo di riferimento del contenitore firme associate definito da ETSI TS 103 174 v.2.2. 1

I primi tre sono legati alla firma ma il quarto definisce anche i tipi di container ASiC-S e ASiC-E che possono memorizzare RFC 3161 token con timestamp insieme al documento con data e ora.

Diamo un'occhiata all'esempio pratico:

Nel primo passaggio sto usando l'applicazione open source TimeStampClient al timestamp file di testo semplice hello.txt con eIDAS conforme servizio di timestamp qualificato :

TimeStampClientproducecontainerTSTASiC-Selosalvacome hello.txt.asics . Se modifichi l'estensione .asics con l'estensione .zip puoi aprire questo contenitore ed esplorare il suo contenuto in quasi tutti i sistemi operativi ragionevolmente aggiornati. Tieni presente che il file timestamp.tst memorizzato nella cartella META-INF è un token timestamp non elaborato ricevuto dal servizio di timestamp e puoi estrarlo e utilizzarlo direttamente quando necessario (ad esempio quando lo desideri o lo convalida nell'applicazione che non supporta ASiC-S TST).

Nel secondo passaggio utilizzo il servizio di convalida zep.disig.sk per verificare la validità del timestamp:

ComepuoivederequestoserviziosupportaASiC-STSTeverificacorrettamentelavaliditàdeltimestamp.

Nelterzopassaggioutilizzoilserviziodiconvalida Demo DSS per verificare la validità del timestamp:

Come puoi vedere questo servizio supporta i contenitori ASiC-S ma non riesce a rilevare il timestamp. Suppongo che non supporti ancora ASiC-S TST.