Как обеспечивать долговременную сохранность PDF-документов, подписанных электронными подписями?04.03.2016
Любопытный обмен мнениями по вынесенной в заголовок теме прошёл на днях в социальной сети LinkedIn в группе, посвященной электронным подписям в Евросоюзе (Electronic / Digital Signature in the EU). Владелец шведской фирмы Comfact AB Андерс Торнквист (Anders Tornqvist) задал следующий вопрос: Кто-нибудь знает о каких-либо правилах, нормативных актах или спецификациях, касающихся долговременной архивации подписанных электронным образом PDF-документов? Мы ищем решение, которое выходило бы за рамки LTV (профиль усиленной электронной подписи для PDF-файлов PAdES, поддерживающий возможность её длительной повторной проверки - Long Term Validation, LTV – Н.Х.) и PDF-A. Перед нами стоит задача обеспечить надёжную сохранность документов в течении более 100 лет.Приведу два наиболее интересных ответа. Первый прислал специалист по электронным подписям фирмы Adobe Андрея Валле (Andrea Valle): Новое европейское законодательство по вопросам электронной идентификации и услуг в области доверия eIDAS (о нём см. http://rusrim.blogspot.ru/2014/09/blog-post_95.html ; прямая ссылка на документ - http://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32014R0910&from=EN - Н.Х.) среди одной из своих целей называет «долговременную сохранность электронных подписей и печатей»: «Данное законодательство должно обеспечить долговременную сохранность информации, с тем, чтобы обеспечить юридическую силу электронных подписей и электронных печатей в течение длительных периодов времени и гарантировать возможность их проверки вне зависимости от будущих изменений в технологиях» (см. п.61 преамбулы документа – Н.Х.). Я бы сказал, что использование PDF/A является необходимым предварительным условием при создании документов (будет ли иметь смысл электронная подпись под документом, который невозможно отобразить в точности так, как это предполагалось в момент подписания?), профили PAdES-LTV – одним из возможных подходов, а «сервисы по обеспечению долговременной сохранности» (Long Term Preservation Services) - альтернативой при выборе управляемого подхода. Для последнего варианта имеется ряд законов и стандартов на национальном уровне, а eIDAS включает положение (п.5 ст. 24) о том, что Еврокомиссия может, путем введения подзаконных актов, установить базовые стандарты для квалифицированных сервисов долговременной сохранности для квалифицированных электронных подписей. Европейский институт телекоммуникационных стандартов (European Telecommunications Standards Institute, ETSI) в настоящее время ведёт предварительную работу по определению охвата намечаемого исследования существующих стандартов и моделей. Возможно, в ходе такого исследования появятся результаты, на которые сможет ссылаться Еврокомиссия. Второй интересный ответ прислал директор по решениям британской фирмы Ascertia Род Крук (Rod Crook): Андерс, стандарты, которыми мы руководствовались при создании такого рода решения, используя наш архивный сервер ADSS LTANS (ADSS = Advanced Digital Signature Services т.е. сервисы усиленной электронной подписи; LTANS = Long-Term Archive and Notary Services т.е. «сервисы долговременной архивации и нотариата», см. также http://www.ascertia.com/products/adss-archive-server - Н.Х.) были проект стандарта IETF LTANS-сервисов (документы Целевой группы инженерной поддержки Интернета (Internet Engineering Task Force, IETF) по данному вопросу, ставшие затем спецификациями RFC, перечислены здесь: https://datatracker.ietf.org/wg/ltans/documents/ . Возможно, речь идёт об RFC 4810 Long-Term Archive Service Requirements, https://datatracker.ietf.org/doc/rfc4810/ - Н.Х.) и спецификации RFC 4998 ERS (от Evidence Record Syntax – синтаксис документального свидетельства, представляющего собой структуру, поддерживающую долговременную неотказуемость от факта существования данных. Документ доступен по адресу https://tools.ietf.org/html/rfc4998 - Н.Х.). Есть два подхода, которые работают: •Если Вы не собираетесь вообще как-либо изменять исходный объект - даже путем добавления подписи - тогда используйте подход LTANS / RFC 4998, позволяющий создать объект-свидетельство, который должен содержать метаданные, четко идентифицирующие, с каким документом или данными он взаимосвязан, а также другие сведения, по которым можно вести поиск.
Опубликовал: Александр Абрамов (info@spbit.ru) Тематики: Ключевые слова: ЭЦП
|
