תיק הראיות של ניירת: מה יש בו ואיך בודקים אותו

מה נבדק

• טביעת האצבע של כל פנייה: בתוך ה-PDF מצורף הקובץ evidence.json עם המחרוזת הקנונית של כל פנייה (שולח, נמען, נושא והנוסח). ה-SHA-256 שלה מחושב מחדש ומושווה לערך שרשום בתיק. שינוי של תו אחד בנוסח משנה את הערך.
• חותמת הזמן (RFC 3161): קובץ timestamp-N.tsr מצורף לכל פנייה שקיבלה חותמת. בודקים שהחותמת מכסה בדיוק את טביעת האצבע של הפנייה, שהיא אושרה, ומה הזמן שבה.
• הטקסט שבעמודים: טביעת האצבע שמופיעה בעמודי ה-PDF צריכה להיות זהה לזו שב-evidence.json.
• הקובץ כולו (לא חובה): SHA-256 של קובץ ה-PDF עצמו, להשוואה עם הערך שנרשם בתיק בדף "התיקים שלי" כשהתיק הופק. קובץ שהשתנה אחרי ההפקה לא יתאים.

מה יש בתיק ראיות

• הנוסח המלא כפי שנשלח, ו-SHA-256 שלו.
• הנמען (כתובת רשמית מאומתת או כתובת שהעסק פרסם), העותק (CC) לשולח, Message-ID של ספק המייל וזמן השליחה בשעון ישראל וב-UTC.
• בשליחה מה-Gmail או מה-Outlook של השולח: מזהה העותק בתיקיית הדואר היוצא.
• חותמת זמן RFC 3161 על טביעת האצבע בלבד (רק 32 בייטים יוצאים לשרת החותמות, לא התוכן).
• הבסיס החוקי של הפנייה כפי שהוצג לשולח לפני האישור, עם המקור (למשל חוק הגנת הצרכן, סעיפים 13ד, 14ה ו-14ט להודעת ביטול), והמועד שבחוק לתשובה.
• יומן התיק: שליחה, אישור קבלה, תשובה, פנייה חוזרת.

מה התיק לא מוכיח

התיק מוכיח מה נשלח, למי ומתי, ושהתוכן לא השתנה מאז. הוא לא מוכיח שהנמען קרא את ההודעה, ולא מחליף את הכללים של הגוף שאליו פניתם. ניירת הכינה ושלחה לפי בקשת השולח ואינה צד לפנייה. אם יש מחלוקת משמעותית, כדאי להתייעץ.

אימות מלא של חותמת הזמן

החותמת ניתנת כברירת מחדל על ידי FreeTSA. לאימות קריפטוגרפי מלא מחלצים את timestamp-N.tsr מה-PDF ומריצים: openssl ts -verify -digest <טביעת האצבע> -in timestamp-1.tsr -CAfile cacert.pem -untrusted tsa.crt עם התעודות מאתר FreeTSA.