"Érvényes volt a tanúsítvány az aláírás pillanatában" - hát igen, csak mi volt az aláírás pillanata?
Ha mondjuk van egy PDF dokumentum, akkor a dokumentum létrehozási és utolsó módosítási dátumát gond nélkül át lehet írni bármire, az nem bizonyít semmit.
A PDF-be is bármit bele tudok írni. Tudok neked bármikor olyan PDF-et írni ebben a pillanatban, amiben az van benne, hogy 1992. január 9-én írták alá, vagy akár 2023. április 1-jén írták alá. És akkor mi van? Ez nem bizonyít semmit.
Ezért van az időbélyeg.
> évente egyszer az éves termést beteszed egy zipbe az előző éviek mellé, odateszel egy file listát a hashekkel (zip + előző évek ilyen listái), azt aláírod, letimestampeled az aktuálissal, aztán jövőre ugyanitt találkozunk.
Amit én használok, az csak max. 30 MB méretű fájlt enged aláírni, tehát ennél nagyobb ZIP-et visszadob. Konkrétan hogyan, milyen eszközzel írsz alá és időbélyegzel egy 3 GB méretű ZIP fájlt? És ez mennyibe kerül?
A ZIP-pel meg az a baj, hogy akkor az egész csak együtt érvényes. Ha van benne 3000 db dokumentum, és abból kell 1 db-ot elküldeni valakinek, akkor is az egész ZIP-et kell küldened, de hogyha a többiben bizalmas adatok vannak, akkor megsérted a GDPR-t. Azt nem lehet, hogy kicsomagolod a ZIP-et és bemutatsz belőle 1 db fájlt, mert nem fogja senki elhinni, hogy az az 1 fájl tényleg az aláírt ZIP-ből származik. És itt ezen a ponton a teljes ZIP használhatatlan a gyakorlatban, csak magadnak tudod bizonyítani a hitelességet, másnak nem.
De ez megint nem véd attól , hogyha csak 1 szolgáltatótól származó időbélyeg van a pakkon, és a szolgáltató magánkulcsa kompromittálódik és visszavonják az időbélyegző tanúsítványát, akkor mit csinálsz. Kéne rá archív időbélyegzőt is tenni.
Vannak itt dolgok amiken el tud csúszni a rendszer, rosszabb esetben csak akkor veszed észre, amikor a bírónak be kéne mutatni a hiteles dokumentumot, de nem tudod, mert spórolni akartál pár tízezer forintot évente az archiváláson.