Добрый день

Занимаемся разработкой системы документооборота. ТЗ требует юридической значимости, подтверждения времени подписания, проверки сертификата подписанта на действительность. С проверкой OCSP и TSP подпись на стороне клиента выполняем.

Выясняется, что заказчик не приобретает лицензии на OCSP и TSP клиентские компоненты. Из соображений экономии. В других своих системах заказчик выполняет проверку действительности сертификата и установку штампа времени на серверной стороне. Т.е. клиент подписывает документ простой подписью, отдает документ серверному приложению и там происходит проверка действительности сертификата и простановка штампа времени. OCSP ответ и штамп времени добавляются к подписанному пользователем документу и судя по всему, еще сверху подписываются серверным сертификатом. Таким образом компоненты OCSP и TSP лицензированы только на серверную часть приложения. На клиентах только CSP и browser plugin.

Подскажите пожалуйста:
- Является ли такая реализация подписи документа легитимной юридически (УЦ заказчика аккредитован)?
- Можно реализовать такой подход в рамках одного из стандартов подписи CAdES?
- Какие использовать аргументы, что бы избежать такой "странной" реализации?

Спасибо.

Анатолий, огромное спасибо за комментарии!

Приступили к изучению вариантов делать на клиенте только CAdES-BES подпись, а затем на сервере системы IBM FIleNet усовершенствовать её до CADES X-Long Type 1.

Купить лицензии OCSP и TSP на клиентов нам не дают :-(