Sprawa podpisu

E-faktura: jak ją w końcu podpisać? Formatów podpisu dokumntów jest wiele. Najprostszy to taki jaki daje komponent MS Windows CAPICOM - powstaje plik wynikowy, binarny zakodowany jako bin64 ciąg znaków z wbudownym skrótem (attached) lub skrótem przechowywanym w oddzielnym pliku (detached). Pierwszy skutkuje dużym plikiem wynikowym (prawie 3 razy większym od pierwotnego dokumentu) który jest samoweryfikowalny, drugi jest mały (2-3 KB), ale do weryfikacji MUSI byc dostepny dokument orginalny. Jest to tzw. format naturalny, bardzo prymitywny i nie niesący zbyt wiele informacji. CAPICOM pozwala na rozszerzenie w postaci dodania do niego komentarzy.

Inne formaty są bardziej skomplikowane (nie za bardzo, opierają się o format XML) ale przez to bardziej inteligentne.

Jednym z takich formatów jest standard XMLDSIG (XML Signature autorstwa IETF W3C XML-Signature Working Group). Dyrektywa Unii Europejskiem ("Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures" [EU-DIR-ESIG) rozszerzyła ten format do obecnej postaci XAdES (Advanced Electronic Signature). Zamiarem tej specyfikacji jest zapewnienie weryfikacji dokumentu w przypadku sporu między podpisującym dokument a odbiorcą lub weryfikatorem, czyli wsparcie dla naturalnego dażenia EU do biurokracji i produkcji dokumentów.

Format podstawowy:

Formaty rozszerzalne (opcjonalnie stosowane):

XAdES jest promowany przez Unię Europejską oraz MSWiA. Podstawowe odnośniki:

1. http://www.w3.org/TR/XAdES/
2. http://pl.wikipedia.org/wiki/XAdES

Dyskusja na temat formatu podpisanego dokumentu (http://prawo.vagla.pl/node/6868). Ustawa dopuszcza trzy formaty "Rozporządzenie Rady Ministrów z 7 sierpnia 2002 r. w sprawie określenia warunków technicznych i organizacyjnych dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne dopuszcza trzy różne formaty podpisu elektronicznego. Są to: format CMS, format oparty o XML oraz format PKCS7. Wymienione formaty nie są ze sobą kompatybilne - każdy z nich ma inną strukturę i jest inaczej kodowany. Oznacza to, iż podpis elektroniczny złożony w jednym formacie nie jest możliwy do odczytania przez oprogramowanie obsługujące inny format." Centra certyfikacyjne widząc powagę sytuacji stara się ujednolicić te formaty - "powołany został nieformalny zespół roboczy, którego zadaniem będzie zaadaptowanie międzynarodowej normy XAdES (ETSI TS 101 903) do potrzeb polskich standardów podpisu elektronicznego."
Dalej "Zmiana treści rozporządzenia z dnia 7 sierpnia 2002 r. polegająca na dopuszczeniu jednego standardu podpisu elektronicznego ostatecznie wyeliminuje groźbę stosowania przez centra certyfikacji różnych niekompatybilnych formatów. Takim jednym formatem mógłby być wskazany powyżej format XAdES. Standard XAdES jest międzynarodowym standardem podpisu elektronicznego przeznaczonym dla dokumentów XML oraz przystosowanym do podpisu weryfikowanego certyfikatami kwalifikowanymi."

Wyciąg z ustawy:

§ 49 ust. 2 pkt 3-5:

§ 49. 2. W siedzibie ministerstwa obsługującego ministra właściwego do spraw gospodarki są udostępniane następujące międzynarodowe normy, standardy, zalecenia, raporty i specyfikacje techniczne:

3) specyfikacja techniczna ETSI TS 101 733 - Electronic Signature Format, wydana przez European Telecommunications Standards Institute;
4) specyfikacja techniczna ETSI TS 101 903 - XML Advanced Electronic Signatures (XAdES), wydana przez European Telecommunications Standards Institute;
5) dokument PKCS#7 Cryptographic Message Syntax Standard, wydany przez RSA Security;

Dopuszczalne formaty

Z powyższego zapisu wynika, że w Polsce do zapisywania podpisu kwalifikowanego są dopuszczone trzy formaty podpisu:

Format	Norma
XAdES	ETSI TS 101 903
CMS (Cryptographic Message Syntax)	ETSI TS 101 733
PKCS#7	PKCS#7

Jak widać wyraźnie sprawą podpisu interesuje się MSWiA co z MF lub MG?

Ważne linki:

1. http://echelon.pl/podpis/podpis-elektroniczny/2008/projekt-nowelizacji-ustawy-o-podpisie-elektronicznym.html
2. A jednak można ujednolicić: "Parę miesięcy temu łza mi się w oku zakręciła, kiedy austriackim programem trustDesk bez problemu otwarłem plik z rozszerzeniem P7M (PKCS#7) wygenerowany przez inny austriacki program (A-Trust). Ale moje zdumienie nie miało granic, kiedy taki podobny plik P7M znalazłem na stronie włoskiej agencji CNIPA i... obydwa programy też go otwarły."
3. Kłopoty z kartą opartą o Javę - http://echelon.pl/podpis/podpis-elektroniczny/2008/klopoty-z-karta-certum.html. Implementacja standardu RSA - http://www.rsa.com/rsalabs/node.asp?id=2133