Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03412.jsonl.gz/1905

[09-02-2016] Wie sollen elektronisch signierte Dokumente ins Archiv übernommen werden?
Das zugrundeliegende Problem ist, dass die Gültigkeit einer elektronischen Signatur nach 3 oder 5 Jahren abläuft. Der Hauptgrund dafür ist, dass die Chain of Trust zwischen Zertifizierungsstelle und Dokument nicht beliebig lange aufrechterhalten werden kann. Daraus folgt, dass nach 3 oder 5 Jahren eine Nachsignierung notwendig wird. Im Archiv ist das aus organisatorischen und Kostengründen nicht praktikabel.
Als informelle Best Practice empfiehlt die KOST, die Signatur bei der Übernahme ins Archiv (Ingest) zu prüfen und das Ergebnis in den Metadaten festzuhalten. Die Garantie für die Authentizität des Dokuments basiert anschliessend auf dem Status des Archivs als Trusted Repository; Signaturen auf individuellen Dokumenten werden im Archiv nicht mehr aktualisiert. Gewünscht wären dafür die Metadaten "ist signiert" und "Signatur gültig zum Stichtag" im AIP, als optionale Zusatzinformationen noch die Credentials des Signierers (Name, Schlüssel, gültig bis, etc.).
Es gibt verschiedene Möglichkeiten, dies umzusetzen:
In den Fällen 3 und 4 bestünde auch die Möglichkeit, die Credentials des Signierers zu übernehmen, dann wäre es später und auch nach Ablauf der Signatur immer noch möglich, die Authentizität des Dokumentes mit dem Hashwert in der Signatur zu prüfen. Auch liesse sich die Identität des Signierers später einfacher ermitteln.