В разрабатываемом ПО нашей компании требуется автоматизированно осуществлять юридически значимую ЭЦП произвольных файлов. В подписи должен содержаться штамп времени подписания. Это время тоже должно иметь юридическую значимость. Ключевой момент - доказательство того, что файл существовал на момент подписания.

ПО разрабатывается на технологиях .NET. С точки зрения программного интерфейса требуется реализация двух методов: подписать файл, проверить подпись (узнать дату подписания).

Какие средства стоит использовать? Какие ключи/сертификаты следует использовать? Какое самое простое решение данной задачи?

Можно ли в данном случае использовать утилиту SingTool для подписи со штампом времени? Предполагается использование ГОСТ-алгоритмов КриптоПро CSP.

Нашел полезную тему по данному вопросу: http://www.cryptopro.ru/cryptopro/forum2/default.aspx?g=posts&t=1607.

Возник вопрос. Как я понимаю есть следующие варианты, как подписывать произвольный файл: используя CMS или XML-DSig.
Равнозначны ли эти варианты? То есть, не влияет ли выбор типа подписи на юридическую сторону вопроса?

Если варианты равнозначны, то, наверное, разумнее использовать XML-DSig, так как в этом случае проще реализовать включение штампа времени.

Общий вопрос: какой должен быть результат подписи со штампом времени? Файл, файл подписи (в случае detached) - этой пары достаточно, чтобы в дальнейшем подтвердить подлинность файла и время его подписания?

Отредактировано пользователем 7 мая 2010 г. 16:25:19(UTC)  | Причина: Не указана

XML-DSig подразумевает подпись документов в формате XML, поэтому для произвольного файла напрямую не применим. По крайней мере, придётся как-то уложить содержимое этого файла в XML.

На юридическую сторону вопроса формат подписи напрямую не влияет. При грамотном написании Положения об ЭЦП для Вашей системы документооборота влияние нивелируется полностью.

Насчёт простоты включения штампа времени не уверен. API работы с CMS умеет добавлять и кодировать неподписанные атрибуты, в случае с XMLDSIG Вам придётся ручками формировать и разбирать XML-узел со штампом времени.

Файла с исходными данными и файла с отделённой подписью достаточно для проверки ЭЦП при наличии доступа к необходимым конечным, промежуточным и корневым сертификатам, а также к CRL или OCSP-серверам. Если с сертификатом ключа подписи к моменту проверки происходит нечто плохое - компрометация или истечение срока действия, то необходимо подтвердить его действительность на момент подписания - понадобится старый CRL или OCSP-ответ.