Подтвердить что ты не робот

Есть ли способ цифровой подписи документов, чтобы доказать, что они существовали в определенный момент времени

Мне любопытно, есть ли способ цифровой подписи документов (технически любой фрагмент данных), таких как контракты или фотографии, так что через 10 лет можно доказать, что они с этого времени не подделаны 9 лет спустя.

Например, я мог бы написать предсказание будущего и подписать его с помощью конвективных средств, чтобы доказать, что я его написал, а затем отметьте отметку времени, чтобы, когда это сбылось, я могу доказать, что я предсказал это.

Один из способов, о котором я думал, заключается в том, что может существовать авторитет с временными ограничениями. Вы отправляете им данные, они создают хэш данных + временную метку и шифруют хэш с помощью RSA, используя свой закрытый ключ. Таким образом, существует подписанный документ: data, timestamp, encrypted hash.

Через 10 лет я использую данные + предполагаемую метку времени и проверяю, совпадает ли она с зашифрованным хэшем, который я дешифрую с использованием открытого ключа RSA полномочий (которому я доверяю). Если это так, я знаю, что временная метка действительна.

Я вижу 2 проблемы с этим:

  • Необходим внешний орган.
  • Частный ключ авторизации должен быть секретным, потому что, если он обнаружит, все подписанные с ним документы становятся недействительными.

Можете ли вы придумать решение без (одной из) этих проблем?

4b9b3361

Ответ 1

Это называется timestamping. Наиболее широко используемый механизм определен в спецификации TSP (RFC 3161) и некоторых других. Альтернативный метод используется в MS Authenticode, но он не документирован и несовместим с TSP.

TSP используется как дополнительная функция в нескольких стандартах шифрования и цифровой подписи, таких как PDF, XAdES, CAdES, PAdES (AdES означает "Advanced encryption standard" ). Стандарты PDF, XAdES и PAdES применяются к определенным типам данных. CAdES - это универсальный формат (поскольку он может применяться для любых общих данных).

RFC 5544 предлагает способ применения TSP к любым общим данным без подписания этих данных.

Спецификация TSP сильно использует сертификаты PKI и X.509.

Услуги тайм-аута предоставляются службами сертификации в качестве дополнительной услуги. Существуют также независимые службы timestamping.

Вы можете запустить свою собственную службу timestamping, однако для timestamping требуется использование специального сертификата (его расширения использования ключа должны быть установлены определенным образом), поэтому обычные SSL или сертификаты подписи кода не будут работать.

Говоря о "авторитетах timestamping" - вы отправляете им хэш (рассчитывается во время подписания), и они подписывают этот хеш с помощью своего сертификата. Это их дело держать защищенный секретный ключ, и они обычно взимают плату за него.

Идея о сторонних полномочиях заключается в том, что она сертифицирует время. Если вы подписываете данные, вы можете поместить любое время в подпись, и нет способа проверить, исправлено ли это или вы его подделали. Только доверенный сторонний орган может быть доказательством правильности отметки времени.

Ответ 2

Да, есть коммерческие сервисы, которые надежно записывали документы или программное обеспечение.

Здесь есть статья в Wikipedia, объясняющая это. Google быстро обнаружил одну из таких сервисов (я не являюсь аффилированным лицом), я уверен, что их гораздо больше. Раньше был и свободный, но все это вопрос доверия (то есть, будут ли суды доверять "кому-то в Интернете" против VeriSign).

Ответ 3

Вот сервис timestamping, который работает с 1995 года.

http://www.itconsult.co.uk/stamper/stampinf.htm

Вы отправляете свои данные (или хэш ваших данных) по электронной почте и возвращаете подпись своих данных плюс отметку времени с серийным номером. Отдельные подписи (но не сами данные) публикуются публично, и каждый может архивировать их для себя, так что если бы операторы сайта пытались повлиять на запись метки времени, люди знали бы. Поэтому в принципе вам не нужно доверять самому сервису.

Ответ 5

В прошлые времена я бы сказал 'lookup PublicTimeStamp.org', но у него было несколько шашечное прошлое. Кажется, что он работает, но веб-сайт работает только с трудом. Если вы добрались до http://PublicTimeStamp.org/ptb, вы найдете последние значения (сегодня). Но другие части системы не видны.

Ответ 6

RFC3161 - это не единственный способ надежной метки времени.

Текущая область исследований заключается в разработке схем, в которых вам нужно меньше доверять сторонним органам, выпускающим отметки времени. С метками времени на основе RFC3161 вы более или менее нуждаетесь, чтобы полностью доверять полномочиям. В этой презентации представлен обзор альтернатив, большинство из которых основаны на схемах ссылок. Идея довольно привлекательна, поскольку временные метки будут подвергаться общественному контролю и не будут задействованы какие-либо секретные ключи, которые могут быть пропущены, тем самым обеспечивая по своей сути лучшую безопасность, чем сегодня стандартные метки времени RFC 3161.

Ответ 7

Отъезд easytimestamping.com. Временные метки (на основе RFC3161) выдаются аттестованным аттестационным органом, аккредитованным в Европейском союзе, так что в большинстве стран ЕС отметка времени имеет гарантированную юридическую силу.

Личный секретный ключ должен быть секретным, потому что, если он обнаружен, все подписанные с ним документы становятся недействительными.

Квалифицированные ЦС сертифицированы, чтобы соответствовать (по крайней мере) стандартом ETSI TS 102 023, который налагает различные меры физической и программной безопасности для обеспечения защиты закрытого ключа.

PS: Я присоединен к easytimestamping.com

Ответ 8

Я думаю, это зависит от ваших элементов управления. Внешняя власть будет работать, но это то же самое, что сертифицировать ее внутренне, технически. Это зависит только от того, кому вы доверяете. Вы пытаетесь помешать пользователям создавать ложно удостоверяющие документы или ваши разработчики?

Ответ 9

В тот же день люди не открывали неотвеченные отправленные документы, отправленные через сертифицированную почту, и называли ее "авторским правом бедных". Я думаю, вы можете сделать то же самое с любым крупным, уважаемым сайтом электронной почты. Отправьте себе копию документа через Gmail или Hotmail или что-то еще, и сохраните копию в своей учетной записи. Дата/метка времени в письме должны поступать от поставщика услуг (а не с вашего компьютера), так что это было бы довольно убедительным доказательством Я полагаю.

Ответ 10

Пока вы не ищете что-то, что длится очень долго:

Зашифровать документ и отправить его в одну из двоичных групп Usenet. Любой может проверить заголовки и посмотреть, когда он был получен, вы можете расшифровать файл (или предоставить ключ в зависимости от случая) и доказать, что это действительно данные, о которых идет речь.

Поскольку вы не контролируете файл после того, как выложили игры, как только выявление проработанного предсказания невозможно.

Ответ 11

Может использоваться стандартная служба метки RFC 3161, она является стандартом и должна давать достаточные доказательства того, что определенный документ существовал в определенное время. Лучшей идеей было бы изменить документ в PDF, а затем подписать цифровую подпись и отметьте его в PDF-документе, каждый может четко видеть временную метку и другие свойства подписи или метки времени. Проверьте tecxoft tsa, вы также можете протестировать цифровые подписи pdf здесь.