1. kiht: terviklikkus
Igas allkirjas on iga allkirjastatud faili räsi. Räsid arvutatakse uuesti ja neid võrreldakse. Kui need kattuvad, on failid bait-baidilt need, mis allkirjastati. Nii tulevad välja muudetud dokumendid ja puuduvad lisad.
2. kiht: allkirja väärtus
Räsid asuvad plokis, mille allkirjastaja privaatvõti on allkirjastanud. Allkirja väärtuse kontrollimine sertifikaadis oleva avaliku võtmega tõendab, et just selle võtme omanik lõi täpselt selle ploki. XML-allkirjade puhul nõuab see kanoniseerimist ehk XML-i ranget normaliseerimist enne räsimist.
3. kiht: sertifikaadi usaldus
Sertifikaat ütleb: „see võti kuulub sellele inimesele“. See väide on nii hea, kui hea on selle väljaandja. Kontroll liigub allkirjastaja sertifikaadist üles kuni EL-i usaldusnimekirjades oleva juurini ja kontrollib iga lüli.
4. kiht: tühistamine ja aeg
Sertifikaadi saab peatada või tühistada, näiteks kui kaart kaob. Valideerija vajab tõendit, et sertifikaat kehtis allkirjastamise hetkel: väljaandja OCSP vastust, mis on seotud usaldatud ajatempliga.
Kes mida kontrollib
| Kiht | ASiCE Viewer (veeb) | ASiC-E Vieweri rakendus | DigiDoc4 |
|---|---|---|---|
| 1. Failide terviklikkus | Jah | Jah | Jah |
| 2. Allkirja väärtus | Ei | PKCS#7/CAdES jah, XAdES ei | Jah |
| 3. Sertifikaadi usaldusahel | Ei | Ei | Jah |
| 4. Tühistamine ja aeg | Näitab andmeid, hinnangut ei anna | Näitab andmeid, hinnangut ei anna | Jah |
Mõlemad ASiCE Vieweri tööriistad näitavad ka seda, kas sertifikaadi kehtivusaeg kattis allkirjastamise hetke. See on kasulik kontroll, kuid ei asenda 3. ja 4. kihti.
Kuidas seda praktikas kasutada
- Igapäevane lugemine: 1. kiht koos allkirjastaja andmetega vastab küsimusele „kas see on dokument, mille nad allkirjastasid?“. ASiCE Viewer teeb seda sekunditega.
- Tagajärgedega otsused: kontrolli faili DigiDoc4-s või kvalifitseeritud valideerimisteenuses ja hoia aruanne alles.
Miks kihtidest ausalt rääkida
Tööriist, mis näitab rohelist linnukest pärast ainult 1. kihi kontrolli, annab vale kindlustunde. Tööriist, mis ütleb, mida ta kontrollis, laseb sul otsustada, kas sellest piisab. Samm-sammuline juhend on artiklis kuidas kontrollida ASiC-E allkirja; Androidi rakendus loetleb oma kontrollid samamoodi.
Korduma kippuvad küsimused
Kas „terviklikkus korras“ tähendab, et allkiri kehtib?
See tähendab, et failid vastavad allkirjas olevatele räsidele. Õiguslik kehtivus nõuab lisaks allkirja väärtuse, sertifikaadiahela ja tühistusseisundi kontrolli.
Miks ei saa brauserivaatur teha kõiki nelja kihti?
Viimased kihid nõuavad EL-i usaldusnimekirju ja suhtlust sertifitseerimisasutuste teenustega, mida ainult kohapeal töötaval lehel ei ole.