Paki lahti
Tee failist koopia, muuda koopia laiendiks .zip ja paki lahti või käivita:
unzip -l leping.asice, et kirjed loetleda;unzip leping.asice -d leping, et need lahti pakkida.
Näed dokumente, faili mimetype ja kausta META-INF.
Kontrolli mimetype’i
Failis peab olema täpselt application/vnd.etsi.asic-e+zip, ilma reavahetuseta. Standardi järgi peab see olema arhiivi esimene kirje ja tihendamata, et tarkvara saaks konteineri ära tunda juba esimeste baitide järgi. Konteinerit uuesti kokku pakkivad tööriistad rikuvad seda reeglit sageli ja ranged valideerijad lükkavad sellise faili tagasi.
Loe allkirja XML-i
Ava META-INF/signatures0.xml. See on XAdES ehk lisaomadustega XML-allkiri. Olulisemad osad:
| Element | Tähendus |
|---|---|
ds:Reference + ds:DigestValue | Iga allkirjastatud faili nimi ja Base64-kujul räsi |
ds:SignatureValue | Allkiri ise |
ds:X509Certificate | Allkirjastaja sertifikaat Base64-kujul |
xades:SigningTime | Allkirjastaja arvuti teatatud aeg |
xades:ClaimedRole | Allkirjastaja sisestatud roll või resolutsioon |
xades:EncapsulatedTimeStamp | Usaldatud ajatempel allkirjale |
xades:EncapsulatedOCSPValue | Tõend, et sertifikaat kehtis |
Kontrolli räsi ise
Arvuta dokumendi SHA-256 ja kodeeri see Base64-kujule:
openssl dgst -sha256 -binary leping.pdf | openssl base64
Tulemus peab võrduma vastava viite DigestValue väärtusega. See on sama terviklikkuse kontroll, mille ASiCE Viewer teeb iga faili kohta automaatselt.
Mida käsitsi lugemine ei anna
Räside kattumine tõendab, et fail on muutmata. See ei tõenda, et allkirja väärtus on matemaatiliselt õige ega et sertifikaat pärineb usaldatud väljaandjalt ja ei olnud tühistatud. Selleks on vaja kanoniseerimist, avaliku võtmega kontrolli ja usaldusnimekirju ehk valideerimisteeke. Kihte selgitab ASiC-E allkirja kontrollimine, ülesehitust ASiC-E failivorming.
Korduma kippuvad küsimused
Kas võin faili pärast lahtipakkimist muuta ja uuesti kokku pakkida?
Võid, kuid räsi ei kattu enam ja kõik allkirjad muutuvad selle faili osas kehtetuks.
Miks erineb allkirjastamise aeg ajatemplist?
SigningTime pärineb allkirjastaja enda kellast. Ajatempli väljastab usaldatud teenus hetk hiljem ja just see on õiguslikult usaldusväärne aeg.