Czym jest prawny pakiet dowodowy dokumentu?
Prawny pakiet dowodowy to samodzielny zestaw zawierający dokument oraz wszystko, co potrzebne, by wykazać, że jest tym, za co się podaje: dokument w formacie archiwalnym, jego skrót kryptograficzny, zaufany znacznik czasu, ścieżkę audytu każdej czynności oraz manifest pieczętujący zarówno poszczególne pliki, jak i cały zestaw. Celem jest, by strona trzecia mogła go zweryfikować bez dostępu do systemu, który go wytworzył.
Próba, którą pakiet dowodowy musi przejść
Jedno pytanie rozstrzyga, czy zestaw jest dowodem, czy tylko folderem: czy ktoś, kto ci nie ufa i nie ma dostępu do twoich systemów, może go zweryfikować?
Jeżeli weryfikacja wymaga zalogowania się na twoją platformę albo narzędzi twojego dostawcy, to nie masz dowodu, lecz twierdzenie dostawcy. To właśnie ten tryb awarii, pod który się projektuje, ponieważ ujawnia się dopiero w chwili, gdy materiał jest potrzebny, a to zwykle lata później i często w trakcie sporu.
Co wchodzi w skład
Dokument w formacie archiwalnym. PDF/A to norma ISO dla przechowywania długoterminowego; usuwa funkcje, które mogłyby sprawić, że plik wyświetli się inaczej w przyszłych czytnikach. PDF/A-3 dopuszcza w szczególności dowolne załączniki, co pozwala dowodowi podróżować w tym samym kontenerze co dokument.
Skrót kryptograficzny dokumentu. Odcisk o stałej długości, SHA-256 lub SHA-384. Każda zmiana w pliku daje zupełnie inną wartość. To właśnie czyni manipulację wykrywalną, a nie tylko zakazaną.
Zaufany znacznik czasu. Token RFC 3161 wiążący ten skrót z momentem poświadczonym przez stronę trzecią. Bez niego każda data w pakiecie jest datą, którą sam wytworzyłeś.
Ścieżka audytu. Każda czynność na dokumencie: co się stało, kto to zrobił, kiedy i skąd. Zapisywana wyłącznie przez dopisywanie, gdzie każdy wpis jest powiązany ze skrótem poprzedniego, tak by usunięcie wpisu łamało łańcuch, zamiast zostawiać czystą lukę.
Manifest pieczętujący zestaw. To część, którą większość pakietów robi źle. Wyliczenie skrótu dla każdego pliku osobno dowodzi, że każdy plik jest nienaruszony, ale nie że zbiór jest kompletny. Ktoś może usunąć niewygodny plik, a pozostałe skróty nadal będą się zgadzać. Manifest wylicza skrót zarówno dla plików, jak i dla całego zestawu, więc pominięcie jest tak samo wykrywalne jak zmiana.
Materiał weryfikacyjny. Łańcuchy certyfikatów i status unieważnienia w postaci z chwili wystawienia znacznika. Certyfikaty wygasają, urzędy kończą działalność, a usługi unieważnień kiedyś przestają odpowiadać. Zbierz to przy tworzeniu, bo później nie da się tego odtworzyć.
Czego dowodzi
Pakiet dowodowy dowodzi, że określona treść istniała w określonym momencie i od tego czasu się nie zmieniła oraz że postępowanie z nią jest udokumentowane. Kopia zapasowa odpowiada na pytanie „czy nadal to mamy”. Pakiet dowodowy odpowiada na pytanie „czy potrafimy wykazać, czym to było”.
Gdzie mieści się SealDoc
SealDoc tworzy pakiet dowodowy dla każdego dokumentu na żądanie: plik PDF/A-3B zwalidowany względem ISO 19005-3, token znacznika czasu RFC 3161, którego SealDoc domyślnie żąda, łańcuch skrótów SHA-384, zapis łańcucha nadzoru oraz manifest pieczętujący każdy plik i cały zestaw. Eksportuje się jako jedno pobranie i jest zaprojektowany tak, by dało się go zweryfikować bez SealDoc.
Ostatnio sprawdzono: