Дополнение РЭЦП до вышестоящего профиля

Дополнение РЭЦП до вышестоящего профиля происходит только в том случае, если проверка текущего профиля не дала отрицательного результата. Стоит ли в политике прописывать, что дополнение до вышестоящего профиля запрещается, если получен вердикт FAILED или вердикт INDETERMINATE со статусами отличными от REVOKED_NO_POE, TRY_LATER, REVOKED_CA_NO_POE, OUT_OF_BOUNDS_NO_POE, CRYPTO_CONSTRAINTS_FAILURE_NO_POE? Или корректнее дополнять до вышестоящего профиля при любом вердикте отличным от FAILED?

Проверку РЭЦП надо делать на текущий момент времени или можно делать на время задаваемое пользователем?

Сначала разберем положения Стандарта, которые касаются проверки подписи текущего уровня при переходе к следующему.

Выработка подписи профиля B-B

Если подписывается уже подписанный документ, то подписанту ДОЛЖНА быть предоставлена возможность проверки всех предыдущих подписей. Для этого ДОЛЖНА использоваться программа проверки подписи, описанная в 8.2. Если программа возвращает вердикт FAILED или INDETERMINATE, то подписанту ДОЛЖНО быть выдано предупреждение.

Соответствущая выдержка из ETSI EN 319 102-1:

When a document is selected for signing, any existing signature on or attached to the document should be validated. If the signature is validated, a warning shall be provided in case validation of an existing signature yields a TOTAL-FAILED or INDETERMINATE result.

Выработка подписи профиля B-T

Перед обращением к службе штампов времени входная РЭЦП профиля B-B МОЖЕТ предварительно проверяться. При отрицательном результате проверки процесс дополнения подписи ДОЛЖЕН быть прекращен.

ETSI:

The SVA can optionally validate the signature before requesting a time-stamp and in case of TOTAL-FAILED abort the process.

Выработка подписи профиля B-LT

Сначала проверяется входная подпись. Если проверка дала отрицательный результат, то дополнение подписи прекращается.

ETSI:

validate the Signature with Time in its current state, using the validation defined in clause 5.5;

Augmentation can be meaningful even for signatures where validation returns a TOTAL-FAILED status indication, since it allows ensuring the integrity and long-term availability of the material that can prove that the signature validation failed.

Выработка подписи профиля B-LTA

Сначала проверяется входная подпись. Если проверка дала отрицательный результат, то дополнение подписи прекращается.

ETSI:

Validate the signature in its current state, using the validation process defined in clause 5.5.

If the validation process returns TOTAL-FAILED, return this indication together with all information about the problem as provided by the validation process.

Обратим внимание, что при переходе к профилям B-B и B-T текущая подпись может проверяться, а при переходе к профилям B-LT и B-LTA --- должна проверяться.

Стоит ли в политике прописывать, что дополнение до вышестоящего профиля запрещается, если получен вердикт FAILED или вердикт INDETERMINATE со статусами отличными от REVOKED_NO_POE, TRY_LATER, REVOKED_CA_NO_POE, OUT_OF_BOUNDS_NO_POE, CRYPTO_CONSTRAINTS_FAILURE_NO_POE? Или корректнее дополнять до вышестоящего профиля при любом вердикте отличным от FAILED?

В Политике можно ужесточить правила проверки подписи при переходе к следующему профилю. Нет смысла дополнять подпись, если она заведомо не будет признана корректной. Это представляется разумным.

Проверку РЭЦП надо делать на текущий момент времени или можно делать на время задаваемое пользователем?

На текущий момент.

bcrypto / stb