Digiallkirjastatud dokumentide säilivus: kas allkirjad kehtivad igavesti?

Digiallkirjastatud dokumentide kehtivus: kas allkirjad kehtivad igavesti? Digitaalselt allkirjastatud dokumendid, nagu paberil dokumendidki, vajavad õigetes tingimustes hoidmist.  Kuigi metoodikad erinevad, on digiallkirjastatud dokumentide puhul kõige olulisem nende kehtivusaeg. Järgnevalt saate lugeda kõige olulisemat kindlustamaks, et teie digiallkirjastatud dokumendid säilitavad oma kehtivuse pikaks ajaks. 

Miks on allkirja pikaajaline kehtivus oluline

Kuidas tagada digitaalselt allkirjastatud dokuemntide pikaajaline kehtivus? Kas allkiri muutub kehtetuks, kui allkirja sertifikaat aegub? Sellised küsimused tekivad, kuna tavaliselt on allkirja sertifikaatide kehtivusaeg lühem kui allkirjastatud dokumentide kehtivuse ja säilitamise vajaduse aeg. Seetõttu on oluline kindlustada allkirja kehtivus ka pärast allkirja sertifikaadi kehtivuse lõppu. Oletame, et olete allkirjastanud konfidentsiaalsus- ja vaikimiskokkuleppe ning peate seda säilitama oma ettevõtte dokumentide hulgas 10 aastat. Digiallkirja sertifikaat kehtib aga vaid 3 aastat, mistõttu kolme aasta möödudes võib sellele dokumendile lisatud allkirjade valideerimine olla mõnevõrra keeruline. Vaieldamatu (või nn ümberlükkamatu) fakt on, et allkiri kehtis eelneval ajal, kuid kuidas seda tõestada?

Siin on olulised kaks elementi: ajatempel ja allkirja sertifikaadi tühistamise andmed.

Ajatempleid kasutatakse allkirja loomise aja määramiseks, tagades seeläbi, et allkirja ja allkirjastatud dokumenti ei ole pärast seda ajahetke muudetud. Loe ajatempli kohta rohkem siit. 

Ehkki ajatempli lisamine on oluline, pole see ometigi piisav dokumendi ja sellele Lisatud allkirja valideerimiseks tulevikus. Pikemas perspektiivis peab allkiri kehtivuse tagamiseks sisaldama allkirja sertifikaadi tühistamise andmeid, mis tagab, et allkirjastamise ajal oli allkirja sertifikaat tõesti kehtiv. 

Kokkuvõtvalt – allkirjade pikaajalist säilitamist on vaja, et saaksime allkirjastatud dokumentide allkirjade kehtivust kontrollida ka peale sertifikaatide kehtivusaja lõppu. 

Allkirja turbetasemed ja nende tähendus

Mõistmaks, kuidas allkirja kehtivus töötab, peame süvenema formaatidesse ja allkirjade tasemetesse. 

Digitaalseid allkirju on erinevates formaatides: XAdES, PAdES ja CAdES. Need omakorda on jagatud kolme dokumendi formaadil põhinevasse gruppi. Digiallkiri võib olla erinevates formaatides ning kas rahvusvaheline või riigisiseseks kasutamiseks. Näiteks Eestis on kasutusel siseriiklik konteinerformaat BDoc, Lätis EDoc, Leedus ADoc, standardina üle kogu Euroopa on kasutusel ASiC ja PDF. Igal dokumendiformaadil on vastav allkirja formaat: ASiC, ADoc, BDoc ja EDoc kasutavad XAdES allkirju, PDF kasutab PAdES allkirju. 

Formaadi alusel jagatakse allkirjad turvalisuse klassidesse. Selgituseks jagame need kolmeks. 

  • Aste 3 (XAdES-B ja PAdES-B): baastaseme digiallkiri. Kõige lihtsam versioon digiallkirjast, mil puudub igasugune lisatud turvamõõde. Aste 3 allkirjad on kehtivad allkirja sertifikaadi kehtivuse aja või kuni sertifikaat tunnistatakse mingil põhjusel enne kehtivusaja lõppu kehtetuks. Sertifikaat võib kaotada kehtivuse, kui vahetate digiID vahendit (näiteks kui teie perenimi muutub), kui see kaob, turvakaalutlustel jne.
  • Aste 2 (XAdES-T ja PAdES-T): ajatempliga allkiri. Allkirjastamise ajaga ajatempel lisatakse dokumendile tõendamaks, et seda pole pärast allkirjastamist muudetud. Aste 2 taseme allkirjad on kehtivad kuni allkirja sertifikaadi kehtivuse lõpuni ning sertifikaadi varasem tühistamine ei oma mõju antud allkirjale. 
  • Aste 1 (XAdES-LT/XL ja PAdES-LT): pikaajaliste andmetega allkiri. Sertifikaadid ja nende tühistamisandmed on lisatud allkirjale viisil, mis võimaldab kehtivuse kinnituse saamist ka siis, kui sertifikaadi algne allikas pole saadaval. Aste 1 taseme allkirjad on kehtivad kuni nende räsifunktsioonide algoritm on turvaline. Selle info saamise ja jagamise eest vastutab Euroopa Liidu Küberturvalisuse Amet (ENISA). Mida algoritmi nõrgenemine tähendab? Allkirjastamisel kasutatud räsifunktsioonis nõrkuste ilmnemine on allkirja turvalisuse osas oluline. Nõrkused räsifunktsioonis võimaldavad võltsida kas allkirja ennast või muuta allkirjastatud dokumenti. Kas Sa teadsid, et praeguseni on teada kaks algoritmi, mida nüüd käsitletakse ebaturvalistena? Räsifunktsioon MD5 sai selle staatuse 2012.aastal ja SHA-1 aastal 2017.
  • Aste 1.1 (XAdES-LTA/A ja PAdES-LTA): pikaajaliste andmetega ja arhiveerimise ajatempliga allkiri. Perioodiliselt oma digiallkirjastatud dokumente ületembeldades kaitstakse dokumente algoritmi nõrgenemise ohu eest. Seega on astme 1.1 allkirjad peaaegu samad, mis astmel 1, kuid väga pikas ajaperioodis, mil iga algoritm paratamatult nõrgeneb, uuendatakse allkirja kehtivust kuni järgmise korrani, mil teatatakse kasutatud räsifunktsiooni nõrgenemisest. 

Turvalisus Dokobitiga

Olenevalt dokumendiformaadist, kasutab Dokobit vaikimisi erineva turvatasemega allkirju.

Allkirjastades PDF, ASiC, BDoc ja EDoc formaadis dokumente

Levinumate dokumendiformaatide – PDF, ASiC, BDoc ja EDoc – puhul on Dokobiti lahendustes turvalisuse aste 1. Dokumendi allkirjastamise hetkel on allkirja turvalisus aste 3 , meie tõstame selle automaatselt astmele 1 lisades nii ajatempli kui allkirja kehtivuskinnituse. 

See tähendab, et teie dokumentidel olevad allkirjad on kehtivad kuni ametlikult kinnitatakse, et allkirja räsifunktsioon ei ole enam turvaline. Ei ole täpset tähtaega, millal see juhtuda võib, me jälgime olukorda ning anname oma klientidele teada, kui muudatused on vajalikud. 

Kui see juhtub, mida peaksite tegema?

  • Kui kasutate meie dokumentide allkirjastamise portaali ja olete liitunud tasulise paketiga, ei pea te midagi tegema. Kui teavitatakse nõrkustega räsifunktsioonist, mis pole enam turvaline, hoolitseme selle eest, et teie allkirjastatud ja portaali salvestatud dokumendid oleksid varustatud astmega 1.1. 
  • Kui kasutate meie integreeritavaid allkirjastamise lahendusi, peate allkirjade turvalisuse astme tõstmise ise korraldama. Kui peate dokumenti pikka aega säilitama, saate ülesseada pikaajaliseks säilitamiseks ettevalmistamise funktsionaalsuse ning kasutada seda enne, kui räsifunktsioonis nõrkus ilmneb. 

On oluline märkida, et meie integreeritavate API lahenduste vastustes on lisatud info selle kohta, millist algoritmi allkirjas kasutati – kui selle teabe enda süsteemi salvestate, saate hõlpsalt leida vajadusel dokumente, mille kehtivust tuleb pikendada. See võimaldab teil endal jälgida krüptograafilisi riske või tugineda tegutsemisel meie poolt saadetud teavitusele.

Allkirjastades ADoc formaadis dokumente

Kui allkirjastate ADoc formaadis dokumente, on situatsioon pisut erinev.

  • Kui kasutate meie dokumentide allkirjastamise portaali ükskõik millise tasulise paketiga, on allkirja turvalisuse aste 2 teile garanteeritud. Kui allkirjastate dokumenti, on allkirjastamise hetkel turvalisuse aste 3, meie tõstame selle automaatselt astmele 2 lisades allkirjale ajatempli. Kuivõrd ADoc formaat töötab pisut erinevalt, toimub uuendamine aste 1 tasemele umbes 24 tundi pärast allkirjastamist. See 24 tundi on nn ooteperiood, mille vältel sertifikaati võib tühistada, kui seda siiski ei juhtu, tähendab see, et allkiri on kehtiv ja me saame allkirjale lisada tühistamisandmed, mis omakorda tõstab allkirja turvalisuse astmele 1. See tähendab, et nüüd on allkiri kehtiv kuni ajatempli sertifikaadi kehtivuse lõpuni, mis üldiselt on 4-5 aastat. Sellisel juhul on järgmine turvalisuse astme uuendamine vajalik mõni kuu enne ajatempli sertifikaadi kehtiv kuni kuupäeva või siis, kui räsifunktsiooni algoritm nõrgeneb. Hea uudis on, et teie ei pea selle kõige pärast muretsema, kuna portaalis hoolitseme nende asjade eest meie! 
  • Kui kasutate meie integreeritavaid allkirjastamise lahendusi, peate allkirja turvalisuse astme uuendamise osas ise tegutsema. Kui soovite dokumente säilitada pikaajaliselt, seadke üles pikaajalise säilitamise funktsioon integratsiooni käigus või enne ajatempli sertifikaadi kehtiv kuni kuupäeva või enne, kui räsifunktsiooni algoritm nõrgaks muutub.

On oluline märkida, et meie integreeritavate API lahenduste vastustes on lisatud info selle kohta, millist algoritmi allkirjas kasutati – kui selle teabe enda süsteemi salvestate, saate hõlpsalt leida vajadusel dokumente, mille kehtivust tuleb pikendada. See võimaldab teil endal jälgida krüptograafilisi riske või tugineda tegutsemisel meie poolt saadetud teavitusele.

Järgnevalt on kogu võrdlus esitatud tabelis:

See postitus on kättesaadav järgmistes keeltes: English Lithuanian Icelandic Latvian