Elektronické časové razítko: kdo ho vydává a co dokládá

Časové razítko spojuje elektronická data s konkrétním okamžikem a prokazuje, že data v daný okamžik existovala. Tak definuje elektronické časové razítko nařízení eIDAS v čl. 3 bodě 33 (konsolidované znění na EUR-Lex). Razítko tedy nedokládá, že dokument napsal určitý člověk, ani to, že jeho obsah je pravdivý – dokládá stáří dat. To je jeho celý přínos i jeho limit.

Co je časové razítko a jak se vydává

Techniku popisuje protokol RFC 3161, který roku 2001 vydala pracovní skupina IETF:

1. Kdo chce razítko, vypočte z dokumentu hash. Samotný dokument se nikam neposílá.
2. Hash pošle vydavateli razítek, anglicky Time Stamping Authority, zkratka TSA.
3. TSA hash opatří časem a potvrzení podepíše svým klíčem. Vznikne token, anglicky time-stamp token, s časem, otiskem dat, jedinečným číslem, označením politiky vydavatele a podpisem.
4. Žadatel si token ověří: zkontroluje podpis TSA a porovná hash z tokenu se svým dokumentem.

Protokol vydavateli nařizuje, aby razítkoval pouze hash dat, samotný otisk dál nijak nezkoumal (jen kontroluje jeho délku) a v tokenu neuvedl totožnost žadatele. Z razítka proto nikdo nezjistí, kdo o něj požádal ani co dokument obsahuje.

Jak časové razítko souvisí s elektronickým podpisem

Kvalifikovaný elektronický podpis je založen na certifikátu s omezenou dobou platnosti. Vyprší-li certifikát, je třeba rozlišit, zda byl podpis vytvořen ještě v době platnosti. RFC 3161 uvádí tento případ přímo: razítko prokáže, že podpis vznikl v období platnosti certifikátu, a umožní ověřit i podpis po pozdějším zneplatnění klíče. Stejná logika platí u termínů a lhůt – razítko dokládá, že dokument existoval před jejich uplynutím.

V souborech se razítko buď vkládá přímo do podepsané struktury, nebo se uchovává jako samostatný token; záleží na nástroji, který dokument podepsal. Pokud je podpis uložen samostatně, vysvětluje to stránka soubor P7S; u kontejneru pak stránka ASiC reader.

Kvalifikované časové razítko: požadavky a čeští vydavatelé

Definici kvalifikovaného elektronického časového razítka dává čl. 3 bod 34 eIDAS a jeho požadavky čl. 42. Razítko musí:

• spojovat datum a čas s daty tak, aby byla přiměřeně znemožněna nezjistitelná změna dat,
• být založeno na zdroji přesného času, který je spojen s koordinovaným světovým časem,
• být podepsáno zaručeným elektronickým podpisem nebo opatřeno zaručenou elektronickou pečetí kvalifikovaného poskytovatele služeb vytvářejících důvěru, případně označeno rovnocennou metodou.

Článek 41 k tomu připojuje právní účinky: kvalifikovanému razítku platí domněnka správnosti data a času, které udává, i integrity dat, s nimiž je spojuje (odst. 2), a kvalifikované razítko vydané v jednom členském státě se jako kvalifikované uznává ve všech ostatních (odst. 3). Naopak i prostému, nekvalifikovanému razítku nesmí být právní účinky a důkazní síla upírány jen proto, že kvalifikované není (odst. 1).

Seznam kvalifikovaných poskytovatelů a jimi poskytovaných kvalifikovaných služeb zveřejňuje Digitální a informační agentura. Položku „Vydávání kvalifikovaných elektronických časových razítek“ má v seznamu pět subjektů:

U posledního řádku seznam uvádí, že Správa státních služeb vytvářejících důvěru převzala k 1. 1. 2024 práva a povinnosti Správy základních registrů jako kvalifikovaného poskytovatele, a to v návaznosti na zákon č. 471/2022 Sb. Zákon č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce, pak vydavatelům ukládá uchovávat dokumenty související s vydáváním kvalifikovaných časových razítek po dobu 10 let (§ 3 odst. 1 písm. c)). Certifikační autorita PostSignum provozovaná Českou poštou nabízí i aplikaci PostSignum TSA klient, kterou lze přidělit časové razítko ke konkrétnímu souboru.

Kde potkáte razítka u datové schránky

Datová schránka s časovými razítky pracuje na několika místech:

• Podací razítko. Agentura podle § 20 odst. 1 písm. a) zákona č. 300/2008 Sb. připojí k odeslané zprávě data prokazující její existenci k okamžiku odeslání. Nápověda portálu tomuto záznamu říká podací časové razítko; zobrazit ho lze i u uložené zprávy a je součástí dat doručenky.
• Pečeť a razítka v souboru ZFO. Při stažení zprávy systém přidá pečeť správce s časovým razítkem. Nápověda rozlišuje úroveň CAdES podpisu – základní (T) a archivní (A) – a u uloženého souboru rozhoduje poslední razítko: údaj „Platnost do“ říká, do kdy musíte provést přerazítkování. Kdo termín zmešká, už soubor archivním razítkem nedoplní.
• Přerazítkování. Provede se na portálu dříve, než razítko vyprší; portál přidá archivní razítko ve formátu CAdES (standard popsaný v RFC 5126, implementovaný podle dokumentu ETSI TS 101 733) a nový soubor nese v názvu datum nové platnosti, třeba zprava_183156_platiDo_2028_06_30.zfo. Mezi dvěma operacemi musí uplynout doba daná politikou vydavatele razítek – u PostSignumu, jehož online razítko ISDS při stažení používá, je to 24 hodin. Postup i souvislosti s archivací má samostatná stránka o ověření datové zprávy. Aplikace Datovka expiraci razítek uložených zpráv kontroluje a přerazítkování umí také.

Co razítko nedokládá a jak je ověřit

Razítko je dokladem o čase, nikoli o obsahu nebo autorovi. Pokud potřebujete vědět, zda je podpis platný – tedy zda certifikát v okamžiku podpisu platil a nebyl zneplatněn –, samo razítko nestačí. Jak číst výsledky validátoru, rozebírá stránka ověření elektronického podpisu a obecné pojetí podpisu vysvětluje stránka co je elektronický podpis.

Panel o podpisu na této stránce z razítek přečte to, co soubor obsahuje: čas podpisu, vydavatele razítka, úroveň podpisu i data platnosti certifikátu. Provádí faktické kontroly – přepočet hash a podpisové hodnoty v prohlížeči, kontrolu razítka, expirace a slabých algoritmů. Vůči důvěryhodným seznamům ani registrům zneplatnění ale nic neověřuje a štítek „platný“ neukazuje nikdy; prosté PDF zobrazí tak, jak je, a podpisy uvnitř něj nečte. Pro právně relevantní posouzení použijte ověřovací nástroj Evropské komise DSS, případně kvalifikovanou službu ověřování platnosti – tu mají v Česku podle seznamu agentury DIA například Software602, SEFIRA nebo TECHNISERV IT.

Otevřete soubor a přečtěte si razítka nahoře

Soubor P7M, P7S, ASiC i ZFO vyberte v okně nahoře a panel o podpisu vám ukáže, jaké časové razítko k němu soubor připojuje a kdo ho vydal. Bezplatný účet zobrazí souhrn, náhled první strany a údaje o podepisujícím; kompletní dokument se stažením a tiskem je placený. Razítko ani obsah se nikam neposílají – soubor se čte ve vašem zařízení.