Kdy a jak ověřovat s ústupky?
Ve výchozím stavu ověřuje aplikace AnEP podpisy a pečeti striktně podle standardů, tedy stejně, jak by je měl ověřit kterýkoli jiný validátor (ověřující podle standardů). Někdy ale přísné ověření skončí neznámým stavem platnosti jen kvůli formální vadě, typicky u starších dokumentů. Pak může pomoci ověření s ústupky: s tolerancí k určité odchylce od standardů.
1. Kdy ústupky zvážit
Ústupek nezapínejte naslepo. Začněte záložkou Analýza a v ní blokem Zjištěné důvody a doporučení (viz tip Ověření nedopadlo dobře? Jak číst důvody a doporučení). Pokud ústupek může pomoci, aplikace to tam zpravidla uvede. Aplikace nabízí čtyři ústupky, které ukazuje i obrázek výše:
- Využij i revokační informace, vydané po expiraci certifikátu: údaj o stavu certifikátu, který vznikl až po skončení jeho platnosti.
- Využij i revokační informace od již expirovaného vydavatele: údaj od vydavatele, jehož vlastní certifikát mezitím vypršel.
- Ignorovat zastaralost algoritmu SHA1: pro starší podpisy a certifikáty s algoritmem SHA-1, který se dnes považuje za zastaralý.
- Ověřovat i podpisy ve formátu PDF-NOT-ETSI: pro podpisy v PDF podle starší specifikace Adobe, typicky z doby před nařízením eIDAS.
2. Jak ústupky zapnout
Jsou dvě cesty:
- Všechny naráz: v Nastavení zrušte zaškrtnutí volby „Ověřování podpisů a pečetí dle standardů“.
- Jednotlivě: v Nastavení klikněte na „Pokročilé nastavení…“ a v části „Uvolnění validační politiky DSS“ zaškrtněte jen ten ústupek, který potřebujete.
Doporučujeme druhou cestu a jen ten ústupek, který radí zjištěný důvod. Pak přesně víte, z čeho výsledek vychází.
Nastavení uložte a dokument ověřte znovu. Nemusíte ho vkládat znovu, stačí tlačítko ↺ v rohu vstupního pole, které vrátí naposledy ověřovaný soubor.
3. Ústupky platí jen na jedno ověření
Po dokončeném ověření se nastavení samo vrátí do přísného režimu. Další dokument se tak neposoudí mírněji jen proto, že jste ústupek kdysi zapnuli a zapomněli na něj. Když chcete ověřit s ústupkem znovu, musíte ho znovu zapnout.
4. Jak poznat, že výsledek stojí na ústupku
- V záložce Rozšířený přehled je u verdiktu dovětek „(díky tolerantnímu ověřování)“ a odkaz Podrobnosti.
- V záložce Analýza blok Průběh ověřování vysvětlí, který ústupek o výsledku rozhodl a proč.
- Stejný výčet se dostane i do protokolu o ověření.
Aplikace přitom uvádí jen ty ústupky, bez kterých by výsledek opravdu nevznikl. Zkouší totiž ověření i bez nich. Ústupek, který byl zapnutý, ale na výsledek neměl vliv, se nevypíše.
Co ústupek znamená a co ne
Platnost dosažená s ústupkem není platnost podle standardů. Ústupek dokument neopravuje, jen říká, jak by dopadl, kdybychom jednu konkrétní vadu pominuli. Jiné validátory, třeba CzechPOINT nebo podatelny úřadů, stejný ústupek udělat nemusí a dojdou k jinému závěru. Upozorní na to i záložka Digitální kontinuita.
Pro úplnost: volba „Ověřování časových razítek podle standardů“ ústupkem není. Když ji vypnete, posuzují se časová razítka naopak přísněji, podle doby platnosti certifikátů jejich vydavatelů. Tak je posuzuje například CzechPOINT.