Podpisy elektroniczne są rozpoznawane przez systemy teleinformatyczne, których zadaniem jest przedstawienie jednoznacznej informacji o uznaniu i wiarygodności podpisu elektronicznego. Automatycznie systemy są w stanie rozpoznawać jako ważne i prawidłowe podpisy, których certyfikaty są cały czas ważne lub podpisy, które zostały zakonserwowane.
Kiedy podpis jest ważny
Zgodnie z definicją prawną rozporządzenia eIDAS, kwalifikowany podpis elektroniczny jest ważny, jeżeli został złożony w okresie ważności certyfikatu kwalifikowanego. Taki podpis będzie nadal ważny po ustaniu ważności certyfikatu, ale systemy służące do weryfikacji nie będą w stanie tego potwierdzić. Z tego powodu będą zwracały wynik weryfikacji – „ważność podpisu nieokreślona”.
Certyfikat podpisu elektronicznego
Certyfikat podpisu elektronicznego wydawany przez dostawcę usługi zaufania podpisującemu zawiera jednoznacznie określone daty początku i końca ważności certyfikatu. Zazwyczaj jest to okres 2-3 lat, ale może on być także roczny, miesięczny lub nawet wydany na kilka godzin.
Unieważnienie certyfikatu
Poza określonym okresem ważności certyfikatu, dodatkowo każdy dostawca certyfikatów udostępnia możliwość unieważnienia certyfikatu, czyli skrócenia okresu jego ważności. Informacja o unieważnieniu jest publikowana na liście unieważnionych certyfikatów oraz dostępna on-line za pomocą usługi OCSP. Certyfikat unieważniony jest uznawany za nieważny od momentu opublikowania tego faktu przez dostawcę usługi zaufania.
Weryfikacja podpisu
Aplikacja służąca do weryfikacji kwalifikowanych podpisów elektronicznych weryfikuje każdy podpis elektroniczny na podstawie certyfikatu, którego wiarygodność jest sprawdzana za pomocą Zaufanych List Unii Europejskiej i sprawdza zgodność kryptograficzną. Dodatkowo sprawdzana jest ważność każdego certyfikatu w oparciu o daty zapisane w certyfikacie oraz na listach unieważnień. W przypadku, gdy mamy do czynienia z certyfikatem poza okresem ważności lub po unieważnieniu, aplikacja do weryfikacji podpisu elektronicznego nie potwierdzi jego ważności.
Data złożenia podpisu elektronicznego
Aplikacja do składania podpisu elektronicznego w momencie składania podpisu dołącza do niego datę i czas złożenia podpisu, natomiast ta data i czas pochodzą z komputera lub systemu teleinformatycznego, na którym składany jest podpis. Cały czas jeszcze najczęściej stosowanym sposobem składania podpisu elektronicznego jest użycie karty kryptograficznej przez podpisującego. Umożliwiało to manipulacje datą złożenia podpisu i to właśnie z tego powodu data ta nie stanowi dowodu złożenia podpisu w okresie ważności certyfikatu. Tej wady nie posiadają systemy zdalnego podpisu chmurowego takie jak Autenti. Systemy weryfikujące nie posiadają tej wady - w takich systemach podpisu po ustaniu ważności certyfikatu nie daje się złożyć. Niestety aplikacje do weryfikacji podpisu nie posiadają informacji, czy podpis został złożony za pomocą zdalnego podpisu chmurowego.
Znakowanie czasem
Podstawowym sposobem potwierdzenia, że podpis został złożony w okresie ważności certyfikatu jest użycie kwalifikowanego elektronicznego znacznika czasu, który stanowi niezależne potwierdzenie daty i czasu. Innymi słowy oznakowanie czasem podpisu elektronicznego, zrealizowane w okresie ważności certyfikatu tego podpisu elektronicznego, jest dowodem na to, że podpis złożono w okresie ważności certyfikatu. Znakowanie czasem jest pierwszym poziomem konserwacji podpisu, nazywanym w normach „-T„ od Time Stamping. Ten poziom jest wystarczający do udowodnienia ważności podpisu, o ile nie unieważniono w międzyczasie certyfikatu.
Zapewnienie konserwacji archiwalnej
W przyszłości może okazać się, że aplikacja weryfikująca nie będzie miała dostępu do historycznych informacji o unieważnieniu certyfikatów. Aby systemy weryfikujące nie miały problemu z weryfikacją podpisów, dołącza się do podpisu informacje o unieważnieniach certyfikatu. Te informacje dołączone do podpisu i jeszcze raz oznakowane czasem stanowią postać archiwalną podpisu elektronicznego, oznaczaną literą „-A”, lub w przypadku podpisów w formacie PADES literami „-LTA” od Long Time Archival.
Usługa konserwacji podpisu elektronicznego
Niezależnie od konserwacji podpisu elektronicznego w opisanej powyżej formie można skorzystać z usługi konserwacji podpisu, która dla każdego podpisu tworzy odpowiedni token i zapisuje go w swoich bazach danych. Token ten pozwala na odtworzenie w przyszłości informacji o ważności podpisu elektronicznego. W ten sposób działa dodatkowa konserwacja realizowana przez Acrobat Reader. Istnieją także usługi kwalifikowanej konserwacji podpisów elektronicznych, które tworzą takie tokeny i przechowują wieczyście w celu późniejszego przedstawienia dowodu.
Konserwacja w Autenti
Każdy dokument podpisywany i pieczętowany na platformie Autenti jest w momencie złożenia podpisu lub pieczęci znakowany kwalifikowanym elektronicznym znacznikiem czasu. Stanowi to - jak zostało opisane w powyższych paragrafach - pierwszy poziom konserwacji podpisu elektronicznego. Dokument, pod którym zostały zebrane wszystkie podpisy, jest konserwowany do postaci archiwalnej poprzez zebranie wszystkich informacji o unieważnieniach, dołączenie ich do podpisanego dokumentu i archiwalne znakowanie kwalifikowanym czasem. Ten archiwalny znacznik czasu zabezpiecza integralność wszystkich elementów i zabezpieczeń, pozwoli też na udowodnienie ważności podpisów i pieczęci w przyszłości.
Autor: Michał Tabor
