Er det behov for et digitalt fingeravtrykk i leveringskvitteringen?

[ogrinde]

Slik løsningen er nå kan avsender være trygg på at DigitalPostMelding er tilgjengeliggjort for innbygger etter mottak av LeveringsKvittering på bakgrunn av tillit mellom aktørene. Signaturen i leveringskvitteringen dekker en identifikator, noe som ikke vil være kryptografisk tilstrekkelig ovenfor en tredjepart ved en eventuell tvist.

Hvis leveringskvitteringen i tillegg inneholder et digitalt fingeravtrykk (hash) av den digitale posten, så vil avsender også kunne dokumentere hva som ble sendt inn i løsningen for sikker digital post.

[eoftedal]

Jeg er enig. Vi bør vel kunne sende tilbake det fingeravtrykket som var i den originale SDPMeldingen.

Edit: Vi bør sende DigestValue fra signaturen på signaturen på SBD. Analogt til måten det gjøres på i EBMS

[aberner]

Denne løsningen vil gi bedre knytning mellom det som blir sendt inn og kvitteringen.

Foreslått løsning:

• legg inn feltet: DigestValue fra i: http://begrep.difi.no/SikkerDigitalPost/utkast/meldinger/LeveringsKvittering

verdien av DigestValue skal være DigestValue verdien fra DigitalPostMelding:

  <ns9:digitalPost>
    <Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
      <SignedInfo>
        <CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
        <SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256"/>
        <Reference URI="">
          <Transforms>
            <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
          </Transforms>
          <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"/>
          <DigestValue>b6btefPSj+z7/DAJDvXmkCAoBXWapC2HpLys//DJ3ZY=</DigestValue>
        </Reference>
      </SignedInfo>