¿Qué es un paquete de prueba legal de un documento?
Un paquete de prueba legal es un conjunto autónomo que reúne un documento y todo lo necesario para acreditar que es lo que dice ser: el documento en formato de archivo, su hash criptográfico, un sello de tiempo de confianza, una pista de auditoría de cada acción y un manifiesto que sella tanto los archivos individuales como el conjunto. Su finalidad es que un tercero pueda verificarlo sin acceso al sistema que lo produjo.
La prueba que un paquete debe superar
Hay una pregunta que decide si un conjunto es prueba o solo una carpeta: ¿puede verificarlo alguien que no confía en usted y no tiene acceso a sus sistemas?
Si la verificación exige iniciar sesión en su plataforma, o requiere la herramienta de su proveedor, lo que tiene no es prueba sino la afirmación de su proveedor. Ese es el modo de fallo contra el que hay que diseñar, porque solo se manifiesta en el momento en que el material se necesita, y eso suele ser años después y a menudo en pleno litigio.
Qué incluye
El documento, en formato de archivo. PDF/A es la norma ISO para la conservación a largo plazo; elimina funciones que podrían hacer que un archivo se represente de otro modo en lectores futuros. PDF/A-3 admite en concreto adjuntos arbitrarios, y eso es lo que permite que la prueba viaje en el mismo contenedor que el documento.
Un hash criptográfico del documento. Una huella de longitud fija, SHA-256 o SHA-384. Cualquier cambio en el archivo produce un valor completamente distinto. Esto es lo que hace detectable la manipulación, en lugar de solo prohibida.
Un sello de tiempo de confianza. Un token RFC 3161 que vincula ese hash a un momento atestiguado por un tercero. Sin él, toda fecha del paquete es una fecha que usted mismo produjo.
Una pista de auditoría. Cada acción sobre el documento: qué ocurrió, quién lo hizo, cuándo y desde dónde. Escrita solo por adición, con cada entrada encadenada al hash de la anterior, de modo que eliminar una entrada rompe la cadena en vez de dejar un hueco limpio.
Un manifiesto que sella el conjunto. Esta es la parte que la mayoría de los paquetes hace mal. Aplicar un hash a cada archivo por separado demuestra que cada archivo está íntegro, pero no que la colección esté completa. Alguien puede retirar un archivo incómodo y los hashes restantes seguirán cuadrando. Un manifiesto aplica hash a los archivos y también al conjunto, de forma que una omisión resulta tan detectable como una modificación.
El material de verificación. Cadenas de certificados y estado de revocación tal como estaban al emitirse el sello. Los certificados caducan, las autoridades cesan su actividad y los servicios de revocación acaban por no responder. Recójalo en el momento de la creación, porque después no se puede reconstruir.
Lo que demuestra
Un paquete de prueba demuestra que un contenido determinado existía en un momento determinado y no ha cambiado desde entonces, y que su manejo está documentado. Una copia de seguridad responde a «¿lo seguimos teniendo?». Un paquete de prueba responde a «¿podemos acreditar qué era?».
Dónde encaja SealDoc
SealDoc genera un paquete de prueba por documento, a petición: un archivo PDF/A-3B validado según ISO 19005-3, el token de sello de tiempo RFC 3161 que SealDoc solicita por defecto, una cadena de hashes SHA-384, un registro de cadena de custodia y un manifiesto que sella cada archivo y el conjunto. Se exporta como una única descarga y está diseñado para poder verificarse sin SealDoc.
Última revisión: