Wynik walidacji jest użyteczny dopiero wtedy, gdy proces rozumie jego granice

Najpierw ustal politykę i punkt w czasie

Ten sam artefakt może być sprawdzany po złożeniu, przy odbiorze albo wiele lat później. Dostępność danych o statusie certyfikatu i usługi może się zmieniać. Wymaganie powinno wskazywać chwilę, wobec której oceniany jest podpis, oraz reguły używane do budowy wniosku.

Zamroź wersję walidatora, bibliotek, zaufanych list i konfiguracji. Nie po to, aby nigdy ich nie aktualizować, lecz aby wynik dało się odtworzyć. Po aktualizacji wykonaj regresję na stałym zestawie referencyjnym i zapisz różnice.

Macierz zaczyna się od integralności i zakresu

Przygotuj niezmieniony dokument, dokument z jednym zmienionym bajtem, podpis odłączony z właściwymi danymi, bez danych oraz z innym plikiem. Dla kontenera usuń element, zmień kolejność i dodaj plik poza zakresem. Oczekiwany raport ma pokazać, co dokładnie objęto i dlaczego integralność przeszła albo nie.

Widoczny wygląd nie jest źródłem prawdy. Dwa dokumenty mogą wyglądać tak samo, a mieć różne dane; plik może też zawierać treść niepokazaną w prostym podglądzie. Testuj razem warstwę prezentacji i kryptograficzny obiekt.

Certyfikat i usługa mają historię

Sprawdź przypadek aktywny, wygasły, unieważniony oraz taki, dla którego brakuje danych o statusie. Wynik powinien uwzględniać właściwy czas, a nie uznawać każdego wygasłego certyfikatu za dowód, że podpis od początku był błędny. Jednocześnie brak danych nie może zostać zamieniony w pozytywny wynik.

Kwalifikowany status ustala się dla dokładnej usługi i okresu na podstawie zaufanej listy. Przygotuj test zmiany statusu i archiwalnego wpisu. Nazwa firmy może występować w wielu usługach o innych rolach i stanach.

Zaufana lista jest źródłem, które także wymaga kontroli

System powinien weryfikować pochodzenie i aktualność listy, obsługiwać błąd pobrania oraz zachować informację o użytej wersji. Stara pamięć podręczna może być potrzebna w awarii, ale jej użycie musi być jawne. Brak połączenia nie powinien automatycznie zmieniać się w stwierdzenie, że usługa była zaufana.

Czas podpisu ma kilka możliwych źródeł

Data deklarowana przez aplikację nie jest tym samym co kwalifikowany elektroniczny znacznik czasu. eIDAS wiąże z kwalifikowanym znacznikiem domniemanie dokładności wskazanej daty i czasu oraz integralności danych, z którymi są powiązane. Test powinien oddzielnie ocenić znacznik, jego certyfikat, status i zakres.

Przygotuj podpis bez znacznika, z poprawnym znacznikiem, ze znacznikiem dla innych danych i z niepełnym materiałem walidacyjnym. Raport nie może udawać wiarygodnego czasu tylko dlatego, że w strukturze istnieje pole daty.

Wiele podpisów wymaga wielu wyników

Dokument może zawierać kilka podpisów, kontrasygnatę, pieczęć i znaczniki. Każdy składnik ma własny status. Ogólny komunikat powinien wskazywać, czy jeden błąd wpływa na cały proces, ale nie może usuwać szczegółów. Odbiorca musi zobaczyć, który podpis przeszedł i który wymaga wyjaśnienia.

Dodaj przypadek, w którym późniejszy podpis narusza wcześniejszy, oraz taki, w którym dozwolona zmiana nie obejmuje podpisanych danych. Oczekiwanie oprzyj na konkretnym formacie i polityce, nie intuicji z podglądu PDF.

Status techniczny prowadzi do kontrolowanej decyzji

Zdefiniuj co najmniej ścieżkę przyjęcia, odrzucenia technicznego i wyniku nieokreślonego. Ten ostatni trafia do osoby z dostępem do raportu i materiału, a nie do zwykłego użytkownika z poleceniem zgadywania. Decyzja powinna zapisać autora, podstawę, czas i powiązany artefakt.

Awaria źródła nie może wyglądać jak wynik podpisu

Lista zaufania, odpowiedź o unieważnieniu, serwer czasu albo usługa pośrednia mogą być chwilowo niedostępne. Walidator powinien rozróżnić odpowiedź źródła od braku odpowiedzi i zachować przyczynę. Ponowienie ma własny limit oraz czas, a po jego wyczerpaniu dokument trafia do jawnego stanu oczekiwania lub analizy. Nie należy przepisywać poprzedniego pozytywnego statusu na nowy dokument tylko dlatego, że sieć nie działa.

Przetestuj pracę na pamięci podręcznej: wiek danych, mechanizm integralności, warunek dopuszczenia i komunikat w raporcie. Dla procesu z terminem ustal, kto może zdecydować o dalszym kroku i jakie dane zachować do ponownej kontroli. Tryb awaryjny powinien ograniczać pewność wyniku, a nie wyłączać kontrolę.

Monitorowanie rozdziela błędy dokumentów od awarii infrastruktury. Nagły wzrost statusów nieokreślonych dla wielu spraw może wskazywać problem zależności, nie jednoczesną wadę wszystkich podpisów. Alarm powinien zawierać wersję usługi, zakres czasu i liczbę przypadków bez kopiowania poufnej treści.

Raport testowy zawiera wejście, oczekiwany status, rzeczywisty wynik, wersję narzędzia i różnicę. Dzięki temu aktualizacja walidatora może poprawić obsługę bez cichej zmiany znaczenia historycznych dokumentów.

Połącz macierz z pełnym testem integracji

Wróć do karty wymagania

Źródła:

• eIDAS — podpisy, walidacja, znaczniki czasu i zaufane listy.
• Komisja Europejska — dokumentacja DSS.
• Komisja Europejska — EU Trusted Lists.