ASICE fail: mis see on ning kuidas seda avada, allkirjastada ja kontrollida

ASiC-E tähendab Associated Signature Container Extended. See on üleeuroopaline konteinerformaat, mille on standardiseerinud Euroopa standardiorganisatsioon ETSI — mitte Eesti väljamõeldis. Tehniliselt on .asice fail ZIP-arhiiv kindla sisemise ülesehitusega: originaaldokumendid oma algses formaadis, mimetype-kirje ning META-INF kaust, kus asuvad XAdES-vormingus digitaalallkirjad koos sertifikaatide, ajatemplite ja kehtivusandmetega, mida on allkirjade kontrollimiseks vaja. Kuna tegu on ZIP-failiga, võib koopia ümber nimetada laiendiga .zip ja sisse vaadata — kuid nii näeb ainult sisu, kontrollitud ei saa sel viisil midagi.

Eestis sai ASiC-E vaikeformaadiks riikliku DigiDoc tarkvara kaudu, mistõttu on .asice laiend Eesti asjaajamises kõikjal. Kui keegi allkirjastab dokumendi ID-kaardi, Mobiil-ID või Smart-ID-ga riiklike tööriistade abil, on tulemuseks üldjuhul kvalifitseeritud digiallkiri (QES) .asice konteineris — eIDASe kõrgeim tase, mis on kogu EL-is omakäelise allkirjaga võrdne. Üks konteiner võib sisaldada mitut dokumenti ja koguda mitu allkirja, mis sobib hästi mitme osapoolega lepingutele.

BDOC on sama idee vanem Eesti profiil — riiklik spetsifikatsioon (BDOC 2.1), mis ehitati ASiC-E struktuurile enne tänaste vaikeseadete kinnistumist. BDOC failid on endiselt loetavad ja olemasolevad allkirjad kehtivad, kuid uuemad DigiDoc versioonid loovad vaikimisi ajatempliga .asice faile. Praktikas võib .bdoc-i võtta kui „eilset .asice-t": kontrollige seda samade tööriistadega, hoidke originaalfail puutumatuna ja andke uued allkirjad .asice formaadis.

Arvutis on standardvahend DigiDoc4 — Riigi Infosüsteemi Ameti (RIA) hallatav tasuta ametlik klient Windowsi, macOS-i ja Linuxi jaoks. Paigaldage programm, tehke konteineril topeltklõps ning näete sees olevaid dokumente ja iga allkirja staatust: kes allkirjastas, millal ja kas allkiri kehtib. DigiDoc4-ga saab ka ise allkirja lisada — ID-kaardi, Mobiil-ID või Smart-ID-ga — ja uuendatud konteineri salvestada.

Telefonis kasutage ametlikku RIA DigiDoc äppi (iOS ja Android). Kui avate e-kirja manuses oleva .asice faili äpis, näete selle sisu ja allkirjade kehtivust ning saate sealsamas ka ise Smart-ID või Mobiil-ID-ga allkirjastada. Äpp annab ka märku, kui mõni allkiri ei valideeru — nii teate seda enne, kui faili edasi saadate. See on praktiline lahendus allkirjastajale, kes saab lepingud kätte liikvel olles ega istu kaardilugeja kõrval.

Kui midagi paigaldada ei saa, on siiski variante. RIA haldab allkirjade valideerimisteenust (SiVa), millel põhinevad veebipõhised kontrollivahendid; olemas on ka EL-i avatud lähtekoodiga DSS-põhised valideerijad ning mitmed kommertsplatvormid avavad ASiC-E konteinereid otse brauseris. Ja meeles tasub pidada ZIP-nippi: faili koopia ümbernimetamine laiendiga .zip võimaldab dokumendid välja võtta ja läbi lugeda — hädapärast kasulik, kuid see ei ütle midagi selle kohta, kas allkirjad on ehtsad ja terved. Kontrollimiseks on alati vaja valideerijat.

Kolm Eesti laiendit, üks ajajoon. .ddoc on kõige vanem DigiDoc-i XML-formaat: uusi .ddoc faile enam luua ei saa, kuid vanu saab endiselt avada ja allkirju kontrollida. .bdoc tuli selle asemele ning on lugemiseks ja kontrollimiseks jätkuvalt korras. .asice on tänane vaikevalik ja õige formaat uutele allkirjadele, sest see järgib üleeuroopalist ETSI standardit ja liigub piiriüleselt kõige paremini. Kui vastaspoole tarkvara .bdoc faili vastu ei võta, lahendab sama dokumendi uuesti allkirjastamine .asice formaadis asja enamasti ära.

Ka naabritel on omad formaadid: Läti eDoc (.edoc) ja Leedu ADOC (.adoc) on nende riigisüsteemides kasutatavad allkirjakonteinerite profiilid. Eesmärk on sama, kuid iga Eesti tööriist ei pruugi neid avada — ja vastupidi. Balti-üleste lepingute puhul on pragmaatiline leppida konteinerformaat varakult kokku, kasutada platvormi, mis valideerib mõlema poole failid, või valida kõige laiema toega formaat.

Allkirjastatud PDF (PAdES) kannab allkirja PDF-i enda sees: üks fail, mis avaneb igas PDF-lugejas, ja allkirjapaneel näitab staatust. Konteiner võidab siis, kui on vaja allkirjastada mitu faili või muid formaate kui PDF — tabeleid, jooniseid, pilte — ühe tervikuna; PAdES võidab vaatamismugavuses väljaspool DigiDoc-i maailma. Mõlemad on eIDASe tunnustatud formaadid, seega sõltub valik vastaspoole tööriistadest, mitte õiguslikust tugevusest.

Täna allkirjastatud lepingut võib olla vaja tõendada viie või kümne aasta pärast, kui allkirjastaja sertifikaat on ammu aegunud. Just selleks on konteineri „lisapagas". Tänapäevane .asice allkiri LT-tasemel (long-term) sisaldab kvalifitseeritud ajatemplit ja allkirjastamise hetkel võetud sertifikaadi kehtivuskinnitust (OCSP), nii et valideerija saab ka hiljem kinnitada: sertifikaat kehtis allkirjastamise hetkel — isegi kui see on vahepeal aegunud või tühistatud. See ongi vahe „fail paistab allkirjastatud" ja „see digiallkiri on tõendatav ka aastate pärast" vahel.

Sellest järeldub kaks praktilist reeglit. Esiteks: ärge kunagi muutke allkirjastatud konteinerit — ärge pakkige seda uuesti, ärge avage-ja-salvestage arhiveerimisprogrammis, ärge „parandage" failinime konteineri sees. Iga baidi tasemel muudatus lõhub krüptograafilise seose ja allkirjad ei valideeru enam. Teiseks: hoidke konteinerit koos ümbritseva auditijäljega — kes kutsuti allkirjastama, milline versioon allkirjastati, millal iga osapool kinnitas. Konteiner tõendab allkirja; tõendusbaas selle ümber tõendab protsessi, ja just see kombinatsioon peab vastu, kui leping vaidlustatakse.

Väga pika säilitusaja jaoks määratlevad standardid ka arhiivitaseme (LTA), mis lisab aja jooksul täiendavaid ajatempleid, et tõendusahel püsiks tugev ka siis, kui krüptoalgoritmid vananevad. Enamik ettevõtteid ei halda seda käsitsi — praktiline järeldus on hoida allkirjastatud konteinereid muutmata kujul süsteemis, mis neid jälgib, mitte jagatud kaustas, kus heatahtlik kolleeg võib faili kogemata üle salvestada. Kui lepingut on aastate pärast vaja tõendada, tahate ühest kohast kätte saada originaalkonteineri, selle kehtivuse seisu ja protsessi kirjed.

eIDASe järgi on kvalifitseeritud digiallkirjal omakäelise allkirjaga võrdne õiguslik jõud igas EL-i liikmesriigis, sõltumata sellest, millises failiformaadis see saabub. Avaliku sektori jaoks läheb Euroopa Komisjoni rakendusotsus 2015/1506 kaugemale: see loetleb allkirjaformaadid — sealhulgas XAdES/ASiC ja PAdES —, mida asutused peavad teistest liikmesriikidest vastu võtma. Eraettevõtted võivad formaadi omavahel vabalt kokku leppida. Baltikumis on .asice faili saamine täiesti tavaline; mujal EL-is on PAdES-vormingus allkirjastatud PDF vastaspoole jaoks sageli sujuvam valik. Kui vahetate lepinguid regulaarselt Eesti, Läti või Leedu partneritega, tasub meeskonnas hoida vähemalt üht tööriista, mis avab kõik kohalikud konteinerid — see kaotab terve kategooria „ei saa teie manust avada" kirju.

Igapäevases lepingutöös on formaadiküsimus osa suuremast töövoost: kuidas dokument koostatakse, läbi räägitakse, õigel tasemel allkirjastatakse (SES, AES või QES) ja koos tõenditega arhiveeritakse. DokDesk lähenebki just sellest otsast: korduvkasutatavad mallid, läbirääkimised ühel reaalajas versioonil ning eIDASe kohane digiallkirjastamine Smart-ID ja Mobiil-ID-ga turvalise lingi kaudu, ilma et allkirjastaja peaks kontot looma — koos kohtukindla tõendusbaasiga ja nii, et andmed püsivad EL-is kooskõlas GDPR-iga. DokDesk teeb SES- ja AES-taseme digiallkirjastamist riiklike eID-dega ning on arhitektuurilt QES-valmis, kuid ei väljasta ise kvalifitseeritud allkirju. Kui protsess nõuab just QES-i .asice konteineris, jäävad võrdluspunktiks riiklikud DigiDoc tööriistad.