Nekem továbbra is az a megértésem hogy az aláíró kulcspár náluk van és egy sima remote aláírás történik.
Mégpedig valahogy igy (nem biztos hogy teljesen pontos, és nem tudom hogy a DÁP-ban ezt hogyan implementálták pontosan, de a remote aláírásnak kb. ez a logikája):
A dokumentumot feltöltöd az ő szerverükre, ők azt ellenőrzik hogy egyáltalán aláírható-e, csinálnak egy hash-t, ezt elvileg el kellene küldeniük neked és te ellenőrizheted hogy megegyezik-e a dokumentummal, ezt visszaküldöd egy engedéllyel együtt meg esetleg a készülék azonosítóval együtt (itt jön be a faktorosdi. Az engedélyt ellenőrzik (pl. TOTP kód) majd aktiválják a kulcsot a HSM-ben. A HSM segítségével megtörténik a hash aláírása a HSM-ben a privát kulccsal, ez visszakerül az aláíró modulba, beletákolják a PDF-ben amit kell (aláírás, cert vagy cert lánc, időbélyeg, kiskutyafüle), majd pedig szólnak hogy kész a dokumentum és le lehet tölteni.
[kiegészítés] természetesen a kérdésekben adtak választ a fenti esetre és azt mondják hogy ők nem tárolnak dokumentumot. Akkor viszont a következő a helyzet. A dokumentum nem kerül feltöltésre hanem helyileg képződik belőle egy hash. Ez kerül elküldésre az SSA/SAM-be az azonosítási adatokkal együtt. Az aláírás megtörténik, az aláírt hash visszaküldésre kerül a mobil eszközre (meg ami még kell). A mobil eszközön megtörténik a PDF-be az aláírás begyömöszölése, és már azt csinál vele a felhasználó amit akar.
Szerintem - de az az én tippem - a készülék regisztrációkor csinálnak egy-egy külön cert-et de ugyanaz a publikus kulcs kellene hogy benne legyen, de ez csak annyi, hogy amikor aláírsz egy doksit akkor láthatod hogy melyik készülékkel irtál alá.