Подписанный PDF-файл поступает от делового партнера. На панели подписи отображается имя, дата и статус действия. Вам необходимо знать, подлинна ли эта подпись, изменялся ли документ с момента его подписания и можно ли доверять личности подписавшего. Программа чтения PDF-файлов отображает индикаторы: зеленую галочку, синюю ленту, значок предупреждения. Но эти индикаторы могут ввести в заблуждение, если вы не понимаете, что они проверяют, а что нет. Проверка цифровой подписи — это не просто проверка значка. Это понимание цепочки доверия, стоящей за этим.
Проверка цифровой подписи включает три проверки. Целостность документа: был ли документ изменен после подписания? Личность подписывающего лица: принадлежит ли сертификат лицу, которое утверждает, что подписало? Доверие сертификату: был ли сертификат выдан доверенным органом? Все три должны пройти проверку, чтобы подпись была полностью действительна. Зеленая галочка, подтверждающая целостность документа, но исходящая от ненадежного сертификата, является предупреждением, а не подтверждением.
Процесс проверки Sign PDF представляет собой техническую проверку, а не юридическую. Действительная подпись математически доказывает, что документ подписан конкретным закрытым ключом и что документ не изменился. Это не доказывает, что лицо, указанное в сертификате, действительно контролировало этот ключ или намеревалось его подписать.
Проверка целостности документа
Откройте подписанный PDF-файл в программе чтения, поддерживающей проверку подписи. Панель подписи показывает статус действительности. Действительная подпись означает, что содержимое документа не было изменено с момента применения подписи. Недействительная подпись означает, что документ был изменен после подписания. Изменение может быть как незначительным, например добавление комментария или заполнение поля формы, так и серьезным, например изменение условий контракта. Любое изменение делает подпись недействительной. Если подпись недействительна, не полагайтесь на документ, не понимая, что изменилось и одобрил ли подписавший изменение.
Проверка целостности Digital Signature является двоичной. Либо документ изменился, либо нет. Частичной валидности не существует. Документ, в котором указана действительная подпись на странице 1 и недействительная подпись на странице 2, был изменен. Считайте весь документ потенциально измененным.
Проверка личности подписывающего лица и доверия сертификата
Нажмите на подпись, чтобы просмотреть сведения о сертификате. В сертификате указывается имя подписывающего лица, выдавший центр сертификации и срок действия. Убедитесь, что имя подписывающего лица совпадает с именем человека, которого вы собираетесь подписать. Убедитесь, что сертификат был действителен на момент подписания. Сертификат, срок действия которого истек после даты подписи, подходит. Сертификат, срок действия которого истек до даты подписи, означает, что подпись была применена с использованием сертификата с истекшим сроком действия и может быть ненадежной. Проверьте центр сертификации. Сертификат признанного общедоступного центра сертификации обеспечивает более надежную проверку подлинности, чем самозаверяющий сертификат.
Цепочка доверия сертификатов PDF Security должна быть неповрежденной. Сертификат должен быть связан с корневым центром сертификации, которому доверяет ваш читатель. Если цепочка разорвана, подпись может отображаться как недействительная, даже если документ не изменился и подписавший является подлинным.
Что делать с недействительной или ненадежной подписью
Если подпись недействительна, обратитесь к подписавшему. Спросите, изменили ли они документ после подписания или могут ли они повторно подписать текущую версию. Не принимайте недействительно подписанный документ как действительный без подтверждения. Если подпись действительна, но на основе ненадежного сертификата, подпись доказывает, что кто-то, имеющий доступ к этому сертификату, подписался, но не доказывает независимо, кем является этот человек. Для внутренних документов этого обычно достаточно. Для внешних контрактов запросите подпись в сертификате, выданном признанным органом.
WukongPDF поддерживает цифровые подписи. Инструменты проверки Sign PDF в стандартных программах чтения PDF предоставляют описанные здесь возможности проверки.
Понимание долгосрочной проверки (LTV) полученных подписей
Подпись с включенным LTV включает всю информацию, необходимую для ее проверки после истечения срока действия сертификата подписывающего лица. Когда вы открываете подписанный документ с поддержкой LTV спустя годы после подписания, подпись все равно можно проверить, поскольку цепочка сертификатов, статус отзыва и временная метка встроены в документ.
Если вы получаете подписанный документ, который должен оставаться поддающимся проверке в течение многих лет, проверьте, включено ли LTV. Откройте свойства подписи и найдите индикаторы LTV или долгосрочной проверки. Если LTV не включен, подпись может стать непроверяемой после истечения срока действия сертификата. Статус Цифровая подпись LTV влияет на долгосрочный юридический вес документа.
Документирование проверки подписи для записей о соответствии
Для регламентированных документов задокументируйте проверку подписи. Запишите имя документа, имя подписывающего лица, дату проверки и результат проверки. Запись показывает, что вы проверили подпись и подтвердили ее подлинность, прежде чем полагаться на документ. Если впоследствии подпись будет оспорена, проверочная запись подтвердит вашу уверенность.
Проверочная запись PDF Security представляет собой простую запись контрольного журнала. Это занимает секунды и является доказательством должной осмотрительности.
Обработка нескольких подписей в одном документе
Договор, подписанный двумя сторонами, имеет две цифровые подписи. Каждый из них должен быть проверен независимо. Одна подпись может быть действительна, а другая недействительна. В документе, измененном после первой подписи, но до второй, первая подпись будет отображаться как недействительная, а вторая — как действительная. Понимание последовательности подписей и состояния документа при каждом событии подписания.
На панели подписей все подписи перечислены в хронологическом порядке. Рассмотрите каждый из них. Проверка Digital Signature для документов с несколькими подписями требует понимания графика подписания, а не только статуса действительности каждой подписи.
Отозванные сертификаты и списки отзыва сертификатов
Подпись, которая была действительна на момент применения, может стать недействительной, если сертификат подписавшего впоследствии будет отозван. Отзыв сертификата происходит, когда закрытый ключ скомпрометирован, владелец сертификата покидает организацию или центр сертификации обнаруживает, что сертификат был выдан неправильно. Проверьте статус отзыва сертификата с помощью списка отзыва сертификатов или онлайн-протокола статуса сертификата.
Подписи, которая отображается как действительная, но имеет отозванный сертификат, не следует доверять. Проверка PDF Security включает проверку статуса отзыва. Подпись с отозванным сертификатом не дает никаких гарантий независимо от показателя действительности.