O Janium Collect pode assinar o PDF que entra no fluxo de catalogação. A
assinatura é PKCS#7 e entrega-se como um ficheiro .p7s junto ao
documento, de modo que o PDF não se modifica e a assinatura comprova-se
com ferramentas padrão, sem o software da Janium.
O cálculo é este: obtém-se um hash SHA-256 do ficheiro e cifra-se com o certificado da instituição. Se há autoridade de selagem temporal (TSA), acrescenta-se um selo RFC 3161. Assinatura e selo ativam-se por instituição.
O que a assinatura prova
Se o PDF mudar depois de assinado, a verificação falha, e o certificado identifica a instituição que assinou. A data certa, por sua vez, depende do selo temporal: sem selo ficam a integridade e a origem, mas não a data.
O que a assinatura atesta é que o ficheiro não mudou depois de assinado; sobre a veracidade do conteúdo nada diz.
Quando se usa
Usa-se quando a digitalização tem de sustentar-se perante um terceiro: digitalização com valor probatório, contratos e atas, arquivos de organismos públicos. Uma fototeca de consulta costuma não precisar dela.
México: NOM-151 e LFEA
A NOM-151-SCFI-2016 pede hash, selo temporal de um prestador de serviços de certificação (PSC) acreditado e assinatura do responsável, para que o digitalizado tenha validade equivalente ao papel. O Collect gera hash SHA-256, assinatura e selo RFC 3161. O selo tem de o emitir um PSC acreditado pela Secretaría de Economía. Com uma TSA de testes não se cumpre a NOM-151.
A Lei de Assinatura Eletrónica Avançada (LFEA, 2012) cobre a assinatura na Administração Pública Federal, com certificado do SAT (e.firma) ou outra autoridade reconhecida. O Collect aceita esses certificados em PKCS#12.
União Europeia: eIDAS
O regulamento eIDAS (UE 910/2014) distingue assinatura simples, avançada e qualificada. O Collect produz uma assinatura eletrónica avançada (artigo 26): ligada ao signatário, identifica-o, cria-se com dados sob o seu controlo e deteta alterações posteriores. A assinatura qualificada (QES) pede um dispositivo qualificado, por exemplo um HSM, e um certificado de um prestador qualificado. Isso não o dá o módulo por si só.
Limites
O Collect assina o PDF quando o ficheiro se vai conservar ou publicar, e
não quando é um PDF temporário que depois se apaga. A assinatura fica no
.p7s em vez de se embutir no documento, e o conteúdo não se valida. Cada
operação fica num registo de auditoria.
O Collect entrega os elementos técnicos, e o valor jurídico avalia-o quem aplica a norma.
Para continuar a conversa
Se digitaliza documentos que têm de sustentar-se perante um terceiro, e quer ver como isto encaixa com o certificado e o quadro que se lhe aplicam, escreva-nos para info@janium.com.