пятница, 4 марта 2016 г.

Как обеспечивать долговременную сохранность PDF-документов, подписанных электронными подписями?


Любопытный обмен мнениями по вынесенной в заголовок теме прошёл на днях в социальной сети LinkedIn в группе, посвященной электронным подписям в Евросоюзе (Electronic / Digital Signature in the EU).

Владелец шведской фирмы Comfact AB Андерс Торнквист (Anders Tornqvist) задал следующий вопрос:
Кто-нибудь знает о каких-либо правилах, нормативных актах или спецификациях, касающихся долговременной архивации подписанных электронным образом PDF-документов? Мы ищем решение, которое выходило бы за рамки LTV (профиль усиленной электронной подписи для PDF-файлов PAdES, поддерживающий возможность её длительной повторной проверки - Long Term Validation, LTV – Н.Х.) и PDF-A. Перед нами стоит задача обеспечить надёжную сохранность документов в течении более 100 лет.
Приведу два наиболее интересных ответа. Первый прислал специалист по электронным подписям фирмы Adobe Андрея Валле (Andrea Valle):
Новое европейское законодательство по вопросам электронной идентификации и услуг в области доверия eIDAS (о нём см. http://rusrim.blogspot.ru/2014/09/blog-post_95.html ; прямая ссылка на документ - http://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32014R0910&from=EN  - Н.Х.) среди одной из своих целей называет «долговременную сохранность электронных подписей и печатей»: «Данное законодательство должно обеспечить долговременную сохранность информации, с тем, чтобы обеспечить юридическую силу электронных подписей и электронных печатей в течение длительных периодов времени и гарантировать возможность их проверки вне зависимости от будущих изменений в технологиях» (см. п.61 преамбулы документа – Н.Х.).

Я бы сказал, что использование PDF/A является необходимым предварительным условием при создании документов (будет ли иметь смысл электронная подпись под документом, который невозможно отобразить в точности так, как это предполагалось в момент подписания?), профили PAdES-LTV – одним из возможных подходов, а «сервисы по обеспечению долговременной сохранности» (Long Term Preservation Services) - альтернативой при выборе управляемого подхода.

Для последнего варианта имеется ряд законов и стандартов на национальном уровне, а eIDAS включает положение (п.5 ст. 24) о том, что Еврокомиссия может, путем введения подзаконных актов, установить базовые стандарты для квалифицированных сервисов долговременной сохранности для квалифицированных электронных подписей.

Европейский институт телекоммуникационных стандартов (European Telecommunications Standards Institute, ETSI) в настоящее время ведёт предварительную работу по определению охвата намечаемого исследования существующих стандартов и моделей. Возможно, в ходе такого исследования появятся результаты, на которые сможет ссылаться Еврокомиссия. 
Второй интересный ответ прислал директор по решениям британской фирмы Ascertia Род Крук (Rod Crook):
Андерс, стандарты, которыми мы руководствовались при создании такого рода решения, используя наш архивный сервер ADSS LTANS (ADSS = Advanced Digital Signature Services т.е. сервисы усиленной электронной подписи; LTANS = Long-Term Archive and Notary Services т.е. «сервисы долговременной архивации и нотариата», см. также  http://www.ascertia.com/products/adss-archive-server - Н.Х.) были проект стандарта IETF LTANS-сервисов (документы Целевой группы инженерной поддержки Интернета (Internet Engineering Task Force, IETF) по данному вопросу, ставшие затем спецификациями RFC, перечислены здесь: https://datatracker.ietf.org/wg/ltans/documents/ . Возможно, речь идёт об RFC 4810 Long-Term Archive Service Requirements, https://datatracker.ietf.org/doc/rfc4810/  - Н.Х.) и спецификации RFC 4998 ERS (от Evidence Record Syntax – синтаксис документального свидетельства, представляющего собой структуру, поддерживающую долговременную неотказуемость от факта существования данных. Документ доступен по адресу https://tools.ietf.org/html/rfc4998 - Н.Х.).

Есть два подхода, которые работают:
  • Когда вы подписываете документ или объект данных, Вы можете использовать разработанные ETSI форматы усиленных электронных подписей PAdES, XAdES и CAdES, и впоследствии всё время обновлять архивную отметку времени (иначе известную как отметка времени документа для PAdES LTV), или

  • Если Вы не собираетесь вообще как-либо изменять исходный объект - даже путем добавления подписи - тогда используйте подход LTANS / RFC 4998, позволяющий создать объект-свидетельство, который должен содержать метаданные, четко идентифицирующие, с каким документом или данными он взаимосвязан, а также другие сведения, по которым можно вести поиск.
Описанная в RFC 4998 ERS структура позволяет легко обновлять алгоритмы и увеличивать длину ключа на периодах времени, превышающих столетие. Наш продукт обеспечивает гибкость при принятии решения о том, как создавать ERS-объект. У нас есть опыт архивации на основе LTANS-сервисов в таких отраслях, как судопроизводство, здравоохранение, библиотечное дело и ряд других.
Источник: социальная сеть LinkedIn
https://www.linkedin.com/groups/3757006/3757006-6102836383007727616?trk=hp-feed-group-discussion

Комментариев нет:

Отправить комментарий