Praxisbeskrivning för valideringstjänsten

1. Leverantör

Tjänsten tillhandahålls av Edström Business AB, organisationsnummer 559101-7750. Kontakt: contact@tindom.se. Ansvarig för den här dokumentationen är Ludvig Edström.

2. Tjänstepolicy och valideringspolicy

• Tjänstepolicy: den här praxisbeskrivningen tillsammans med våra allmänna villkor. Vi använder inte ETSI:s identifierare för tjänstepolicyer (0.4.0.19441.1.1 och 0.4.0.19441.1.2). De förutsätter att alla normativa krav i ETSI TS 119 441 är uppfyllda, inklusive de organisatoriska kraven i ETSI EN 319 401, och det är de inte (se avsnitt 5).
• Valideringspolicy: "Tindom validation policy 1.0 (ETSI TS 119 172-4 aligned)" är den enda policy vi tillämpar. Den bygger på standardpolicyn i EU-kommissionens DSS 6.4 ("QES AES/QC AES TL based") med ett tillägg enligt ETSI TS 119 172-4, krav REQ-4.2-03 c) ii): spärrinformation för undertecknarens certifikat godtas bara om den är utfärdad efter signaturens bästa tidpunkt. Policyn finns publicerad i maskinläsbar form: tindom-validation-policy-1.0.xml. Användaren kan inte skicka in en egen policy.
• Vi har ännu ingen egen objektidentifierare (OID) för tjänstepolicyn eller valideringspolicyn.

3. Tjänstens delar

• Valideringsmotor: EU-kommissionens Digital Signature Service (DSS) 6.4, referensimplementationen av ETSI EN 319 102-1, med Tindoms konfiguration. Driftas hos Railway i region europe-west4 (Nederländerna). Motorn är inte öppen för allmänheten: varje anrop måste bära en delad nyckel.
• Applikation: webbplatsen och dess API driftas hos Vercel, med serverfunktioner i region arn1 (Stockholm).
• E-post: Lettermint (EU) för e-postpiloten och för att leverera rapporter.
• Databas: Supabase, region eu-west-1 (Irland). Den innehåller inga dokument.
• Betrodda listor: EU:s lista över betrodda listor (samtliga EU- och EES-länders listor), EU:s lista över tredjelandslistor som erkänns enligt eIDAS artikel 14 (i dag Ukraina och Moldavien), samt Schweiz och Storbritanniens nationella listor. De uppdateras automatiskt varje timme. Därtill Adobe Approved Trust List (AATL), som uppdateras manuellt när Adobe publicerar en ny version.
• Bara EU-ländernas betrodda listor avgör om en signatur eller ett sigill är kvalificerat (ETSI TS 119 615). Övriga källor visar bara att undertecknaren kedjar till ett erkänt regelverk, och det redovisar vi separat.

4. Valideringen

• Algoritm: ETSI EN 319 102-1 som den är implementerad i DSS 6.4. Alla tre valideringsprocesserna tillämpas: grundläggande validering, validering med tid och långtidsvalidering.
• Resultat: en status per signatur, TOTAL-PASSED, TOTAL-FAILED eller INDETERMINATE, med underindikation, samt en valideringsrapport. Vilka kontroller som faktiskt gjordes, och med vilket resultat, står i rapporten.
• Kvalificering: om en signatur är kvalificerad (QES), ett kvalificerat sigill, en avancerad signatur med kvalificerat certifikat eller en avancerad signatur avgörs enligt ETSI TS 119 615 mot EU-ländernas betrodda listor vid signaturens bästa tidpunkt.
• Hashberäkning: görs alltid av Tindom på servern, från hela dokumentet. Användaren kan inte skicka in en hash i stället för dokumentet.
• Samma indata ger samma resultat. Motorns konfiguration, policy och listkällor är versionshanterade. Ett resultat kan ändras när en betrodd lista eller ett certifikats spärrstatus ändras, eller när policyversionen byts.
• Utgångna eller föråldrade element (utgångna eller spärrade certifikat, algoritmer som passerat sin giltighetstid) hanteras enligt ETSI EN 319 102-1: en signatur kan godkännas om bevis på existens (tidsstämplar, inbäddad valideringsinformation) visar att den var giltig när den skapades.
• Bevis på existens hämtas bara ur signaturen: signatur-, dokument- och arkivtidsstämplar och inbäddad valideringsinformation. Användaren kan inte tillföra egna bevis.
• Format: PAdES (signerad PDF), XAdES, CAdES och JAdES, inbäddade, omslutande och fristående (originaldokumentet kan skickas med signaturen), samt ASiC-S- och ASiC-E-containrar. Baslinjeprofiler enligt ETSI EN 319 142-1, EN 319 132-1, EN 319 122-1 och TS 119 182-1. Signaturer som inte följer ett ETSI-format valideras ändå, och avvikelsen redovisas.
• Alternativ för användaren: användaren väljer dokument och, för fristående signaturer, originaldokumentet. Användaren kan inte välja certifikat, valideringspolicy eller tillitsankare, och inte begränsa valideringen till en viss signatur. Alla signaturer i dokumentet valideras.

5. Organisation och drift

Tindom drivs i dag av en person. ETSI EN 319 401 kräver bland annat betrodda roller med åtskilda ansvar, ett dokumenterat ledningssystem för informationssäkerhet, revision av ett ackrediterat organ för bedömning av överensstämmelse och en ansvarsförsäkring. Det är inte på plats. Det här är på plats:

• Dokument sparas aldrig. Ett dokument hålls i minnet under valideringen och kastas sedan. Bara dess SHA-256-hash sparas, tillsammans med resultatet.
• Personuppgifter: e-postadresser till den som begär en rapport (24 månader) och avsändaruppgifter för e-postpiloten (12 månader). Se integritetspolicyn.
• Åtkomst: produktionssystemen är bara åtkomliga för grundaren. Valideringsmotorn kräver en delad nyckel vid varje anrop.
• Bevakning: valideringsmotorn kontrolleras var tionde minut genom en riktig validering av ett känt testdokument. Ett fel öppnar automatiskt ett ärende och meddelar den som driver tjänsten.
• Förbindelser: all trafik går över HTTPS/TLS.
• Kryptografiska nycklar: Tindom har i dag inga signerings- eller sigillnycklar. När rapporterna börjar sigilleras kommer nyckeln att ligga i en kvalificerad anordning för skapande av sigill hos en kvalificerad betrodd tjänsteleverantör.
• Beroenden: tjänsten är beroende av EU-kommissionen (DSS och EU:s betrodda listor), operatörerna av EU- och EES-ländernas betrodda listor, Adobe (AATL), Railway, Vercel, Supabase och Lettermint. Deras tillgänglighet och praxis påverkar tjänsten, och vi styr dem inte. Spärrinformation från certifikatutfärdare kan publiceras med fördröjning.

Inte på plats ännu: riskanalys, informationssäkerhetspolicy, formell åtkomstpolicy, sårbarhetsskanning och penetrationstester, dokumenterad incidenthantering, kontinuitets- och avvecklingsplan samt revision. Den här beskrivningen är en självbedömning.

6. Valideringsrapporten

• Varje validering ger en valideringsrapport enligt ETSI TS 119 102-2 (XML), skapad av DSS. Den innehåller valideringsprocessen som användes, status och underindikation per signatur, de kontroller som utvärderades, undertecknaren, signerade attribut, tidsstämplarnas kvalificering och varifrån varje bevis på existens kommer. Rapporten kan laddas ned på webben och bifogas varje svar i e-postpiloten, oförändrad.
• Därtill en läsbar PDF-rapport och ett betyg enligt Document Trust Grade. Betyget är en separat bedömning ovanpå valideringen och ändrar inte ETSI-statusen.
• Inte på plats ännu: rapporten anger inte Tindom som validerare i fältet för validatorinformation, och den är inte signerad eller sigillerad. Båda kräver att Tindom skaffar ett kvalificerat elektroniskt sigill, vilket vi arbetar med.

7. Gränssnitt

• Webben: tindom.se/validera, med resultat på skärmen, nedladdningsbar ETSI-rapport och PDF-rapport via e-post.
• E-post: validate@tindom.se för organisationer i pilotprogrammet, med rapporten som svar.
• Ett maskinellt API enligt ETSI TS 119 442 är planerat men finns inte ännu.