Skrzynka podawcza bez HSM

Analizując przepisy rozporządzenia z dnia 29 września 2005 r. w sprawie warunków organizacyjno-technicznych doręczania dokumentów elektronicznych podmiotom publicznym (rozporządzenie o HSM) można dojść do wniosku, że Urzędowe Poświadczenie Odbioru (UPO) nie musi być podpisane. Zgodnie z definicją w rozporządzeniu UPO to dane elektroniczne dołączone do dokumentu elektronicznego doręczonego podmiotowi publicznemu lub połączone z tym dokumentem w taki sposób, że jakakolwiek późniejsza zmiana dokonana w tym dokumencie jest rozpoznawalna. Wymóg ten można zrealizować na przykład poprzez umieszczenie w UPO odpowiedniego znacznika czasu, obejmującego zarówno "treść" UPO, jak i przyjmowany dokument.

Sam pomysł ograniczenia się do znakowania czasem jest dość ciekawy. Należy zauważyć, że nigdzie w omawianym rozporządzeniu nie pojawia się wymóg podpisania UPO. Warunkiem wystarczającym jest zapewnienie integralności dokumentu wejściowego i połączenia tego dokumentu z UPO - rozporządzenie nie zawiera nic na temat bezpieczeństwa samego poświadczenia. Oczywiście z technicznego punktu widzenia złożenie podpisu pod UPO powinno być wymagane - w przeciwnym przypadku powstaje bowiem znaczne pole do nadużyć.

Praktyczna implementacja tego scenariusza powinna wysyłać skrót z dokumentu do usługi znacznika czasu (wykorzystującej moduł HSM), a następnie uzyskaną odpowiedź umieszczać w UPO. Ten scenariusz nie umożliwia jednak zapewnienia integralności UPO. Inne, bardziej przemyślane podejście, może opierać się na umieszczeniu w UPO samego skrótu z dokumentu i wysłanie UPO do znakowania czasem. Ten drugi wariant byłby bardziej bezpieczny ze względu na zapewnienie integralności całego UPO, a nie tylko dokumentu wejściowego.

Przedstawiona propozycja - wraz z założeniem, że urządzenie HSM może być wykorzystywane w outsourcingu - pozwala na bardzo proste zaimplementowanie usługi skrzynki podawczej. Wiele centrów certyfikacji do świadczenia usługi kwalifikowanego znacznika czasu wykorzystuje bowiem takie moduły HSM. Wystarczy zatem skorzystać z tej usługi, by wystawiać zgodne z przepisami poświadczenia odbioru.

Uwaga: jak zauważono w komentarzach, sam opisany mechanizm nie daje pewności, że tak wygenerowane UPO będzie zgodne z przepisami. Przedstawiony pomysł może jednak stanowić ciekawy punkt wyjścia do dalszych rozważań.