Wat is een juridisch bewijspakket bij een document?
Een juridisch bewijspakket is één op zichzelf staand pakket met een document plus alles wat nodig is om aan te tonen dat het is wat het beweert te zijn: het document in een archiefformaat, een cryptografische hash ervan, een betrouwbare tijdstempel, een audittrail van elke handeling, en een manifest dat zowel de losse bestanden als de hele set verzegelt. Het doel is dat een derde het kan verifiëren zonder toegang tot het systeem dat het maakte.
De toets die een bewijspakket moet doorstaan
Er is één vraag die bepaalt of een pakket bewijs is of gewoon een map: kan iemand die jou niet vertrouwt, en die geen toegang heeft tot je systemen, het verifiëren?
Vereist verificatie dat je inlogt op je platform, of dat je het gereedschap van je leverancier gebruikt, dan heb je geen bewijs maar een bewering van je leverancier. Dat is de faalvorm waar je tegen ontwerpt, want hij komt pas aan het licht op het moment dat het materiaal nodig is, en dat is meestal jaren later en vaak tijdens een geschil.
Wat erin gaat
Het document, in een archiefformaat. PDF/A is de ISO-norm voor langetermijnbewaring; het verwijdert functies die ervoor kunnen zorgen dat een bestand er in toekomstige lezers anders uitziet. PDF/A-3 staat specifiek willekeurige bijlagen toe, en dat is wat het bewijs in dezelfde container laat meereizen als het document.
Een cryptografische hash van het document. Een vingerafdruk van vaste lengte, SHA-256 of SHA-384. Elke wijziging in het bestand levert een volstrekt andere waarde op. Dit is wat manipulatie detecteerbaar maakt in plaats van alleen verboden.
Een betrouwbare tijdstempel. Een RFC 3161-token dat die hash koppelt aan een moment dat een derde partij bevestigt. Zonder dat is elke datum in het pakket een datum die je zelf hebt geproduceerd.
Een audittrail. Elke handeling op het document: wat er gebeurde, wie het deed, wanneer en vanaf waar. Append-only weggeschreven, waarbij elke regel gekoppeld is aan de hash van de vorige, zodat een regel verwijderen de keten breekt in plaats van een net gat achter te laten.
Een manifest dat de set verzegelt. Dit is het onderdeel dat de meeste pakketten fout doen. Elk bestand apart hashen bewijst dat elk bestand intact is, maar niet dat de verzameling compleet is. Iemand kan een onwelgevallig bestand verwijderen en de overgebleven hashes kloppen nog steeds. Een manifest hasht zowel de losse bestanden als de set, zodat een weglating net zo detecteerbaar is als een bewerking.
Het verificatiemateriaal. Certificaatketens en intrekkingsstatus zoals ze waren toen de tijdstempel werd afgegeven. Certificaten verlopen, autoriteiten stoppen ermee, en intrekkingsdiensten antwoorden op enig moment niet meer. Verzamel dit bij het aanmaken, want later is het niet te reconstrueren.
Wat het bewijst
Een bewijspakket bewijst dat een bepaalde inhoud op een bepaald moment bestond en sindsdien niet is veranderd, en dat de omgang ermee verantwoord is. Een back-up beantwoordt “hebben we het nog”. Een bewijspakket beantwoordt “kunnen we aantonen wat het was”.
Waar SealDoc past
SealDoc maakt per document een bewijspakket, op aanvraag: een PDF/A-3B-bestand gevalideerd tegen ISO 19005-3, het RFC 3161-tijdstempeltoken dat SealDoc standaard aanvraagt, een SHA-384 hashketen, een chain-of-custody-registratie, en een manifest dat zowel elk bestand als de hele set verzegelt. Het exporteert als één download en is ontworpen om verifieerbaar te zijn zonder SealDoc.
Laatst gecontroleerd: