Verifica una certificazione TrueScreen

Una certificazione TrueScreen è un pacchetto che documenta come un contenuto digitale è stato acquisito e dimostra che da quel momento nulla è cambiato. Contiene un report XML sigillato, i file certificati e un report leggibile in PDF o JSON. Il sigillo è un sigillo elettronico qualificato ai sensi del regolamento eIDAS e copre l'hash SHA-256 di ogni file certificato.

Il pacchetto è costruito per essere controllato da chiunque, in qualsiasi momento, senza chiedere nulla a TrueScreen. Hash, sigillo e marca temporale sono scritti in formati pubblicati, quindi la stessa verifica può essere eseguita qui, da un validatore di terze parti oppure da un consulente tecnico nominato da un giudice.

Questa pagina esegue quel controllo in locale. Non viene caricato nulla: i file restano sul dispositivo e la verifica avviene per intero nel browser.

Sul pacchetto vengono eseguiti tre controlli, ciascuno rispetto a uno standard pubblicato. Il sigillo sul report è una XML Signature in forma XAdES, verificata con RSA-SHA256 rispetto al certificato contenuto nel file. La marca temporale qualificata è un token RFC 3161, controllato per confermare che copra esattamente quel sigillo. L'integrità dei file certificati viene verificata ricalcolando l'hash SHA-256 di ogni file e confrontandolo con l'hash dichiarato dentro il report sigillato. Quando i tre controlli concordano, la catena dall'XML sigillato al report, e dal report a ogni file certificato, è completa.

• Non valida il certificato di sigillo rispetto alle Trusted List europee e non ne controlla lo stato di revoca. Quel passaggio spetta a un validatore eIDAS di parte terza, e la Commissione Europea ne mette uno a disposizione.
• Non giudica il contenuto: accerta che un file sia quello che è stato sigillato, non che cosa quel file mostri.
• Lavora sul file esattamente come è stato scaricato. Riaprire l'XML e risalvarlo ne cambia la formattazione, e una copia riformattata non corrisponde più al proprio sigillo anche quando il sigillo è autentico.

Sì. Non serve un account, non c'è alcun caricamento e non ci sono limiti d'uso. La pagina lavora interamente nel browser, sul dispositivo di chi controlla, ed è anche il motivo per cui può essere offerta a chiunque riceva una certificazione.

No. Il pacchetto viene letto nel browser con le API locali e non viene mai inviato a un server, né nostro né di terzi. Una certificazione che riguarda materiale riservato può quindi essere controllata senza divulgarlo.

Un pacchetto ZIP completo così come è stato scaricato, il solo XML sigillato, oppure i file separati. Con il solo XML la risposta si limita al sigillo, al firmatario e alla marca temporale qualificata, perché i file certificati non ci sono e non se ne può ricalcolare l'hash.

Significa che il sigillo è autentico ed è di TrueScreen, ma questa copia dell'XML è stata riaperta e risalvata, e questo ne ha cambiato l'indentazione. Il sigillo non è compromesso. Per una validazione formale serve il file esattamente come è stato scaricato.

Sì, ed è il punto. Il sigillo è verificabile con qualsiasi validatore eIDAS, compreso quello pubblicato dalla Commissione Europea, e gli hash si ricalcolano con qualunque strumento che implementi SHA-256. Questa pagina è una comodità, non la fonte di autorità.

Dimostra da dove il contenuto proviene, quando è stato acquisito e che da allora non è cambiato. Se quanto mostra sia decisivo spetta a chi deve valutarlo. TrueScreen certifica l'acquisizione, non giudica il contenuto.

• Catena di custodia digitale: i requisiti tecnici
• Marca temporale qualificata: come funziona e che valore legale ha

• Regolamento (UE) 910/2014, eIDAS
• Validatore DSS della Commissione Europea
• W3C XML Signature Syntax and Processing
• ETSI EN 319 132, firme digitali XAdES
• RFC 3161, Time-Stamp Protocol
• FIPS 180-4, Secure Hash Standard