Verificar una certificación de TrueScreen

Una certificación de TrueScreen es un paquete que documenta cómo se adquirió un contenido digital y demuestra que desde entonces nada ha cambiado. Contiene un informe XML sellado, los archivos certificados y un informe legible en PDF o JSON. El sello es un sello electrónico cualificado conforme al reglamento eIDAS y cubre el hash SHA-256 de cada archivo certificado.

El paquete está pensado para que cualquiera pueda comprobarlo, en cualquier momento y sin pedir nada a TrueScreen. Los hashes, el sello y la marca de tiempo se escriben en formatos publicados, de modo que la misma verificación puede hacerse aquí, con un validador de terceros o a través de un perito designado por un tribunal.

Esta página ejecuta esa comprobación en local. No se sube nada: los archivos permanecen en el dispositivo y toda la verificación ocurre en el navegador.

Sobre el paquete se ejecutan tres comprobaciones, cada una contra un estándar publicado. El sello del informe es una XML Signature en forma XAdES, verificada con RSA-SHA256 contra el certificado que viaja dentro del archivo. La marca de tiempo cualificada es un token RFC 3161, comprobado para confirmar que cubre exactamente ese sello. La integridad de los archivos certificados se verifica recalculando un hash SHA-256 de cada archivo y comparándolo con el hash declarado dentro del informe sellado. Cuando las tres coinciden, la cadena que va del XML sellado al informe, y del informe a cada archivo certificado, está completa.

• No valida el certificado de sello frente a las listas de confianza europeas ni comprueba su estado de revocación. Ese paso corresponde a un validador eIDAS de terceros, y la Comisión Europea pone uno a disposición.
• No juzga el contenido: establece que un archivo es el que fue sellado, no lo que ese archivo muestra.
• Trabaja sobre el archivo tal y como se descargó. Reabrir el XML y volver a guardarlo cambia su formato, y una copia reformateada deja de coincidir con su propio sello aunque el sello sea auténtico.

Sí. No hace falta cuenta, no hay subida de archivos y no hay límites de uso. La página funciona por completo en el navegador, en el dispositivo de quien comprueba, y por eso puede ofrecerse a cualquiera que reciba una certificación.

No. El paquete se lee en el navegador con las API locales y nunca se envía a un servidor, ni nuestro ni de terceros. Una certificación sobre material confidencial puede comprobarse sin divulgarlo.

Un paquete ZIP completo tal como se descargó, el XML sellado por separado, o los archivos sueltos. Con el XML solo, la respuesta se limita al sello, al firmante y a la marca de tiempo cualificada, porque los archivos certificados no están y no se puede recalcular su hash.

Significa que el sello es auténtico y es de TrueScreen, pero esta copia del XML se reabrió y se volvió a guardar, y eso cambió su indentación. El sello no está comprometido. Para una validación formal hace falta el archivo exactamente como se descargó.

Sí, y ese es justamente el objetivo. El sello se verifica con cualquier validador eIDAS, incluido el publicado por la Comisión Europea, y los hashes se recalculan con cualquier herramienta que implemente SHA-256. Esta página es una comodidad, no la fuente de autoridad.

Demuestra de dónde procede el contenido, cuándo se adquirió y que desde entonces no ha cambiado. Si lo que muestra es decisivo corresponde valorarlo a quien deba hacerlo. TrueScreen certifica la adquisición, no juzga el contenido.

• Cadena de custodia digital de la prueba electrónica
• Sello electrónico y firma digital: en qué se diferencian

• Reglamento (UE) 910/2014, eIDAS
• Validador DSS de la Comisión Europea
• W3C XML Signature Syntax and Processing
• ETSI EN 319 132, firmas digitales XAdES
• RFC 3161, Time-Stamp Protocol
• FIPS 180-4, Secure Hash Standard