Advanta / Bewijs

Tijdstempels van het bewijs

Elke dag publiceren we de vingerafdrukken die onze bewijslogboeken verzegelen, en twee onafhankelijke tijdstempelautoriteiten ondertekenen ze met het tijdstip. Iedereen kan ze controleren zonder ons iets te vragen.

Elke dag om 01:10 UTC gepubliceerd

Wat er wordt gepubliceerd

Elke stap van een cessiemelding, en elke gebeurtenis van een afnemersprogramma, wordt vastgelegd in een logboek waarin elke regel de SHA-256-vingerafdruk van de vorige draagt. Eén keer per dag wordt elk logboek verzegeld met een wortelvingerafdruk die afhangt van alle regels tot dan toe, dus wie een eerdere regel wijzigt, wijzigt elke latere wortel.

Na middernacht (UTC) publiceren we de lijst van de wortels die voor de vorige dag zijn verzegeld en vragen we twee openbare tijdstempelautoriteiten, DigiCert en Sectigo, de vingerafdruk van die lijst samen met het tijdstip te ondertekenen. De handtekening toont dat de lijst uiterlijk op dat tijdstip bestond. Ze wordt gezet met de sleutel van de autoriteit, niet met de onze, dus niemand kan ze achteraf maken.

Recente dagen

De recente dagen worden geladen.

Ruwe gegevens (JSON): evidence-publications. Voeg ?date=JJJJ-MM-DD toe voor één dag, of ?root= gevolgd door een wortel om de dag te vinden die hem vermeldt.

Hoe een auditor een registratie controleert

  1. Bereken de wortel opnieuw. Uit de registraties, met de ketencontrole die we beschikbaar stellen: evidence_verify_chain() voor cessiemeldingen, corp_audit_verify_chain() voor een afnemersprogramma. De formules zijn openbaar, dus elk SHA-256-hulpmiddel geeft hetzelfde resultaat.
  2. Zoek hem in de lijst van die dag. Elke regel is cession|datum|wortel of corp|zegel-id|wortel, één per wortel, gesorteerd.
  3. Bereken de vingerafdruk van de lijst. De SHA-256 van de lijst, byte voor byte inclusief de laatste regeleinde, moet gelijk zijn aan de gepubliceerde vingerafdruk.
  4. Controleer elk tijdstempel met OpenSSL 1.1.1 of nieuwer en het certificaat van de autoriteit:
    openssl ts -verify -digest <vingerafdruk> -in day.tst -token_in -CAfile digicert.pem
    Certificaatbestanden: digicert.pem en sectigo.pem. Vergelijk hun vingerafdrukken met uw eigen vertrouwensarchief voordat u erop vertrouwt.

Wat een tijdstempel bewijst, en wat niet

Het bewijst dat de lijst, en elke wortel erin, uiterlijk bestond op het tijdstip waarop de autoriteit ondertekende. Het zegt niet wanneer een wortel is berekend.

Dagen die verzegeld zijn voordat we begonnen te publiceren, zijn allemaal op de eerste publicatiedag gepubliceerd. Hun tijdstempels bewijzen dat die wortels op die datum bestonden, niet op de dag waarop ze zijn verzegeld. De lijst toont beide datums en markeert die dagen als later gepubliceerd.

Dit zijn gewone RFC 3161-tijdstempels. Het zijn geen gekwalificeerde elektronische tijdstempels in de zin van de eIDAS-verordening.

Wat de lijst bevat

Alleen vingerafdrukken en de kenmerken van de zegels: geen bedrijfsnamen, geen personen, geen bedragen. Vragen: diogo@advanta.pt.