Zeitstempel prüfen (RFC 3161, mit FreeTSA)

Das Wichtigste in Kürze

Zeitgestempelt wird der Hash einer Datei, nie die Datei selbst.
OpenSSL und FreeTSA genügen, um einen Zeitstempel nach RFC 3161 zu erzeugen.
KYA prüft den Zeitstempel gegen den Anker, den Sie als PEM-Zertifikat hinterlegen.
Für Streitfälle eignet sich ein anerkannter Vertrauensdienst besser als ein frei zugänglicher Dienst.

Anfrage mit dem Hash erzeugen

Zeitgestempelt wird nicht die Datei selbst, sondern ihr Hash. OpenSSL erzeugt aus einer Datei, etwa einem Beleg, eine Anfrage im Format RFC 3161:

openssl ts -query -data beleg.json -sha256 -cert -out anfrage.tsq

Die Option -cert bittet die Zeitstempelstelle, ihr Zertifikat in die Antwort aufzunehmen. Die Datei verlässt Ihr Gerät nicht, nur der Hash.

Anfrage an FreeTSA senden

Senden Sie die Anfrage an die Zeitstempelstelle. FreeTSA ist ein frei zugänglicher Dienst, der sich für Tests eignet:

curl -s -H "Content-Type: application/timestamp-query" \
  --data-binary @anfrage.tsq https://freetsa.org/tsr -o antwort.tsr

Die Datei antwort.tsr enthält jetzt den signierten Zeitstempel mit dem Hash, dem Zeitpunkt und der Signatur der Zeitstempelstelle.

Stammzertifikat holen und lokal gegenprüfen

Laden Sie das Stammzertifikat von FreeTSA und prüfen Sie den Zeitstempel mit OpenSSL gegen die ursprüngliche Anfrage:

curl -s -O https://freetsa.org/files/cacert.pem
openssl ts -verify -in antwort.tsr -queryfile anfrage.tsq -CAfile cacert.pem

Meldet OpenSSL «Verification: OK», passen Zeitstempel, Hash und Zertifikatskette zusammen. Diese Gegenprüfung ist optional, zeigt aber, dass zwei unabhängige Werkzeuge zum selben Ergebnis kommen.

In KYA prüfen

Öffnen Sie die Prüfseite und laden Sie antwort.tsr über «Datei wählen». Öffnen Sie dann «Erweitert: Schlüssel, Statusliste, Zeitstempel-Anker» und fügen Sie den Inhalt von cacert.pem unter «Zeitstempel-Anker (PEM-Zertifikat)» ein. Klicken Sie auf «Prüfen».

Der Prüfschein zeigt im Prüfschritt zum Zeitpunkt, ob die Signatur der Zeitstempelstelle gültig ist und die Kette beim hinterlegten Anker endet. Ohne Anker weist KYA aus, dass der Zeitpunkt nicht verankert ist.

Ergebnis einordnen

Ein Zeitstempel belegt den Zeitpunkt für einen Hash. Ob dieser Hash zu Ihrer Datei gehört, zeigt der Vergleich mit dem Hash der Datei; in einem Nachweispaket prüft KYA diese Bindung selbst.

FreeTSA eignet sich für Tests und interne Zwecke. Für Streitfälle empfiehlt sich ein anerkannter Vertrauensdienst, dessen Zeitstempel als qualifizierter Zeitstempel gilt.

Häufige Fragen

Ist ein Zeitstempel von FreeTSA rechtlich qualifiziert?

Nein. FreeTSA ist ein frei zugänglicher Dienst ohne rechtliche Anerkennung als qualifizierter Vertrauensdienst. Technisch ist der Zeitstempel trotzdem nach RFC 3161 prüfbar.

Muss ich die Datei an FreeTSA senden?

Nein. Gesendet wird nur der Hash der Datei. Aus dem Hash lässt sich der Inhalt nicht zurückrechnen.

Warum braucht KYA den Zeitstempel-Anker?

Weil erst der Anker belegt, welcher Stelle der Zeitstempel zuzuordnen ist. Die Entscheidung, welchen Zeitstempelstellen vertraut wird, liegt bei der Prüfstelle.

Kann ich mehrere Dateien mit einem Zeitstempel sichern?

Ja. Berechnen Sie einen Hash über alle Dateien, etwa über eine Beleg-Kette oder ein Manifest, und lassen Sie diesen einen Hash zeitstempeln. Damit ist jede Datei gesichert, deren Hash im Manifest steht, und jede spätere Änderung fällt auf.

Wie lange ist ein Zeitstempel von FreeTSA prüfbar?

So lange das Stammzertifikat verfügbar ist. Bewahren Sie es zusammen mit dem Zeitstempel auf.

Quellen

RFC 3161: Time-Stamp Protocol: https://www.rfc-editor.org/rfc/rfc3161
FreeTSA: https://freetsa.org/
OpenSSL: openssl-ts: https://docs.openssl.org/master/man1/openssl-ts/