Verifique uma certificação TrueScreen

Uma certificação TrueScreen é um pacote que registra como um conteúdo digital foi adquirido e demonstra que nada mudou desde então. Contém um relatório XML selado, os arquivos certificados e um relatório legível em PDF ou JSON. O selo é um selo eletrônico qualificado nos termos do eIDAS e cobre um hash SHA-256 de cada arquivo certificado.

O pacote foi feito para ser conferido por qualquer pessoa, a qualquer momento, sem precisar pedir nada à TrueScreen. Hashes, selo e carimbo de tempo são escritos em formatos publicados, então a mesma verificação pode ser feita aqui, por um validador de terceiros ou por um perito nomeado pela justiça.

Esta página faz essa verificação localmente. Nada é enviado: os arquivos ficam no dispositivo e toda a verificação acontece no navegador.

Três verificações são executadas sobre o pacote, cada uma em relação a um padrão publicado. O selo do relatório é uma XML Signature em formato XAdES, verificada com RSA-SHA256 contra o certificado contido no próprio arquivo. O carimbo de tempo qualificado é um token RFC 3161, conferido para confirmar que cobre exatamente aquele selo. A integridade dos arquivos certificados é verificada recalculando um hash SHA-256 de cada arquivo e comparando-o com o hash declarado dentro do relatório selado. Quando as três coincidem, a cadeia que vai do XML selado ao relatório, e do relatório a cada arquivo certificado, está completa.

• Ele não valida o certificado de selagem contra as Listas de Confiança europeias e não verifica o estado de revogação. Essa etapa cabe a um validador eIDAS de terceiros, e a Comissão Europeia disponibiliza um.
• Ele não julga o conteúdo: estabelece que um arquivo é aquele que foi selado, não o que esse arquivo mostra.
• Funciona com o arquivo exatamente como foi baixado. Reabrir o XML e salvá-lo de novo muda a formatação, e uma cópia reformatada deixa de corresponder ao próprio selo, mesmo quando o selo é autêntico.

Sim. Não há conta, não há upload e não há cota. A página funciona inteiramente no navegador, no dispositivo de quem está verificando, e é também por isso que pode ser oferecida a qualquer pessoa que receba uma certificação.

Não. O pacote é lido no navegador com as APIs locais de arquivos e nunca é enviado a um servidor, nosso ou de terceiros. Uma certificação que cobre material confidencial pode ser verificada sem que ele seja divulgado.

Um pacote ZIP completo exatamente como foi baixado, o XML selado isolado ou os arquivos separados. Somente com o XML, a resposta se limita ao selo, ao signatário e ao carimbo de tempo qualificado, porque os arquivos certificados não estão ali para ter o hash calculado.

Significa que o selo é autêntico e pertence ao TrueScreen, mas esta cópia do XML foi reaberta e salva de novo, o que alterou a sua indentação. O selo não está comprometido. Uma validação formal exige o arquivo exatamente como ele foi baixado.

Sim, e é justamente esse o ponto. O selo é verificável com qualquer validador eIDAS, incluindo o publicado pela Comissão Europeia, e os hashes podem ser recalculados com qualquer ferramenta que implemente SHA-256. Esta página é uma conveniência, não a autoridade.

Prova de onde veio o conteúdo, quando foi adquirido e que não mudou desde então. Se o que ele mostra é decisivo, isso cabe a quem tem de avaliá-lo. O TrueScreen certifica a aquisição, não julga o conteúdo.

• Cadeia de custódia digital: os requisitos técnicos
• Carimbos de tempo eletrônicos qualificados e seu valor jurídico

• Regulamento (UE) 910/2014, eIDAS
• Validador DSS da Comissão Europeia
• W3C XML Signature Syntax and Processing
• ETSI EN 319 132, assinaturas digitais XAdES
• RFC 3161, Time-Stamp Protocol
• FIPS 180-4, Secure Hash Standard