Debo diseñar un sistema en el que los auditores puedan presentarse en algún momento en el futuro, examinar datos históricos y asegurarse de que los datos no han cambiado desde que se almacenaron. Tengo una especificación que me indica la marca de tiempo y la firma de los datos cuando los almaceno, pero me imagino que si quiero cambiar los datos en el futuro, siempre puedo regenerar la firma con los datos modificados y la marca de tiempo original. Dado que la firma se genera con mi certificado, ¿no hay nada que me detenga?

Cualquier solución, me parece, debe requerir que mis firmas estén marcadas con la marca de tiempo y refrendadas por un tercero. De esa manera, un futuro auditor tiene la palabra de un tercero de que el hash que protege un conjunto de datos realmente es tan antiguo como afirma.

¿Las normas como XAdES satisfacen este requisito? ¿Puede la autoridad de certificación que emite la fecha de mi certificado y refrendar mis firmas? ¿Hay otros servicios en línea que hacen esto?