Sellos de tiempo de la evidencia

Qué se publica

Cada paso de una notificación de cesión, y cada evento de un programa de compras, se escribe en un registro en el que cada entrada lleva la huella SHA-256 de la anterior. Una vez al día cada registro se sella con una huella raíz que depende de todas las entradas hasta ese momento, así que cambiar cualquier entrada pasada cambiaría todas las raíces posteriores.

Pasada la medianoche (UTC) publicamos la lista de las raíces selladas el día anterior y pedimos a dos autoridades públicas de sellado de tiempo, DigiCert y Sectigo, que firmen la huella de esa lista junto con la hora. La firma demuestra que la lista existía, como tarde, a esa hora. Se hace con la clave de la autoridad, no con la nuestra, así que nadie puede generarla después.

Días recientes

Datos en bruto (JSON): evidence-publications. Añada ?date=AAAA-MM-DD para un día, o ?root= seguido de una raíz para encontrar el día que la incluye.

Cómo comprueba un auditor un registro

1. Recalcule la raíz. A partir de los registros, con el verificador de la cadena que ponemos a su disposición: evidence_verify_chain() para notificaciones de cesión, corp_audit_verify_chain() para un programa de compras. Las fórmulas son públicas, así que cualquier herramienta SHA-256 da el mismo resultado.
2. Búsquela en la lista del día. Cada línea es cession|fecha|raíz o corp|id del sello|raíz, una por raíz, ordenadas.
3. Calcule la huella de la lista. El SHA-256 de la lista, byte a byte incluido el último salto de línea, debe coincidir con la huella publicada.
4. Compruebe cada sello de tiempo con OpenSSL 1.1.1 o posterior y el certificado de la autoridad:

   openssl ts -verify -digest <huella> -in day.tst -token_in -CAfile digicert.pem

   Archivos de certificado: digicert.pem y sectigo.pem. Compare sus huellas con su propio almacén de confianza antes de fiarse de ellos.

Qué demuestra un sello de tiempo, y qué no

Demuestra que la lista, y cada raíz que contiene, existía como tarde a la hora en que firmó la autoridad. No dice cuándo se calculó una raíz.

Los días sellados antes de que empezáramos a publicar se publicaron todos el primer día de publicación. Sus sellos de tiempo demuestran que esas raíces existían en esa fecha, no el día en que se sellaron. La lista muestra las dos fechas y marca esos días como publicados más tarde.

Son sellos de tiempo RFC 3161 estándar. No son sellos electrónicos de tiempo cualificados conforme al Reglamento eIDAS.

Qué contiene la lista

Solo huellas y los identificadores de los sellos: ni nombres de empresas, ni personas, ni importes. Preguntas: diogo@advanta.pt.