Pieczęć elektroniczna nie jest niewidocznym podpisem człowieka
Podpis i pieczęć mogą chronić integralność, lecz odpowiadają na inne pytania. Projekt musi rozdzielić osobę, podmiot, uprawnienie i decyzję.
W systemie oba mechanizmy mogą wykorzystywać certyfikaty, funkcje kryptograficzne i podobne formaty. To podobieństwo techniczne nie usuwa różnicy roli. eIDAS definiuje podpis elektroniczny jako dane używane przez osobę podpisującą do podpisania, a pieczęć jako dane tworzone przez osobę prawną w celu zapewnienia pochodzenia i integralności innych danych.
Zacznij od pytania, kto składa oświadczenie
Jeżeli człowiek ma zatwierdzić treść w określonej roli, wymaganie dotyczy jego czynności i właściwego rodzaju podpisu. Jeśli system ma automatycznie oznaczyć dokument jako pochodzący od podmiotu oraz chronić integralność, pieczęć może być właściwym elementem architektury. Nie należy jednak wyciągać wniosku o zgodzie konkretnej osoby wyłącznie z obecności pieczęci.
Jedna sprawa może potrzebować obu mechanizmów. Osoba podpisuje oświadczenie, a system później pieczętuje pakiet lub potwierdzenie. Diagram powinien pokazać kolejność i zakres, aby pieczęć nie objęła innej wersji niż podpisana.
Podmiot tworzący pieczęć potrzebuje kontrolowanego uprawnienia
Automatyzacja nie oznacza braku odpowiedzialności. Określ, która funkcja może zlecić pieczętowanie, dla jakich typów dokumentów, w jakim środowisku i po spełnieniu których warunków. Rozdziel administrację certyfikatem, konfigurację reguły i zatwierdzanie treści.
Każde użycie powinno mieć identyfikator zadania, źródło dokumentu, regułę, wersję, czas i wynik. Log nie musi przechowywać pełnej treści, ale ma pozwolić ustalić, dlaczego mechanizm został uruchomiony. Konto serwisowe z nieograniczoną możliwością pieczętowania tworzy ryzyko masowego oznaczania błędnych danych.
Awaria reguły może być ważniejsza niż awaria kryptografii
Pieczęć może być technicznie poprawna na dokumencie wygenerowanym z niewłaściwej sprawy. Test obejmuje więc nie tylko integralność, ale także warunki biznesowe, źródło, wersję szablonu i dane. Mechanizm kryptograficzny nie wykryje sam, że automat wybrał błędnego odbiorcę.
Komunikat dla odbiorcy ma nazywać właściwy dowód
Interfejs nie powinien wyświetlać „podpisano przez firmę”, jeśli artefakt jest pieczęcią. Pokaż podmiot tworzący pieczęć, status walidacji, czas i zakres w sposób nieprowadzący do wniosku o osobistym zatwierdzeniu. Podobnie podpis osoby działającej dla organizacji nie jest automatycznie pieczęcią tej organizacji.
W materiałach dla użytkownika rozdziel pytania: kto złożył podpis, z jakim podmiotem jest związany, czy miał umocowanie, od jakiej osoby prawnej pochodzą dane i czy ich integralność została zachowana. Nie wszystkie odpowiedzi pochodzą z jednego certyfikatu.
Kwalifikowany status dotyczy dokładnej usługi i certyfikatu
eIDAS wiąże określone domniemania z kwalifikowanymi pieczęciami, a kwalifikowany podpis osoby ma skutek równoważny podpisowi własnoręcznemu. Nie należy mieszać tych konsekwencji. Sprawdź zaufaną listę, typ usługi, status i okres, a następnie wynik walidacji konkretnego artefaktu.
Nazwa „certyfikat kwalifikowany” bez wskazania przeznaczenia jest za mało precyzyjna dla wymagania. Certyfikat podpisu i certyfikat pieczęci powinny być ewidencjonowane osobno, z właścicielem, terminami, procedurą odnowienia i reakcją na unieważnienie.
Testy negatywne badają granice ról
Spróbuj uruchomić pieczęć z niedozwolonego procesu, dla innego typu dokumentu, po wycofaniu uprawnienia i po zmianie treści. Sprawdź, czy zwykły użytkownik może ominąć zatwierdzenie przez bezpośrednie wywołanie interfejsu. Przetestuj także utratę odpowiedzi: powtórzenie nie powinno tworzyć niekontrolowanej serii artefaktów.
Dla podpisu sprawdź świadomą autoryzację osoby, przypisanie do właściwego dokumentu i anulowanie. Dla pieczęci — regułę, tożsamość systemu i separację obowiązków. Wspólny raport może je zestawić, lecz musi zachować osobne statusy.
Zmiana certyfikatu nie może zatrzymać historii
Odnowienie, zmiana dostawcy lub unieważnienie wymaga aktualizacji konfiguracji i testu. Historyczne dokumenty zachowują powiązanie z artefaktem użytym w ich czasie; nie należy przepisywać ich na nowy certyfikat. Archiwum musi umieć pokazać dawny status i materiał walidacyjny zgodnie z przyjętą polityką.
Odnowienie wymaga okresu nakładania i testu regresji
Przed końcem ważności przygotuj nowy certyfikat, uprawnienia i konfigurację, ale nie przełączaj ich bez kontroli. Próbka powinna potwierdzić właściwy typ artefaktu, dane podmiotu, łańcuch zaufania, format i raport odbiorcy. Ustal dokładny moment przełączenia oraz systemowe źródło czasu, aby później można było wskazać, dlaczego dany dokument użył starego albo nowego certyfikatu.
Okres nakładania nie oznacza, że oba certyfikaty mogą pieczętować dowolne dane. Reguły dostępu i logi nadal obowiązują, a po zakończeniu przejścia stare poświadczenie jest wycofywane zgodnie z planem. Awaria nowej konfiguracji nie powinna prowadzić do niejawnego powrotu bez alarmu i zapisanej decyzji.
Po zmianie sprawdź reprezentatywne formaty oraz integracje i zachowaj wynik. Historyczna walidacja musi nadal korzystać z danych odpowiednich dla chwili powstania artefaktu, nie tylko z obecnie aktywnego certyfikatu.
Dwa narzędzia, jeden proces
Podpis i pieczęć są więc dwoma narzędziami w jednym procesie, nie dwiema nazwami tego samego przycisku. Dobra architektura przypisuje każdemu podmiot, cel, uprawnienie, zakres, walidację i jasny komunikat dla odbiorcy.
Sprawdź role w macierzy odbioru
Źródła:
- eIDAS — definicje oraz skutki podpisów i pieczęci elektronicznych.
- Komisja Europejska — EU Trusted Lists.