PDF-файл с цифровой подписью — это не то же самое, что PDF-файл, на странице которого кто-то поставил свою подпись. Термин «с цифровой подписью» относится к конкретному техническому механизму, который использует криптографию для проверки личности подписывающего лица и целостности документа после подписания. Понимание различия важно, поскольку эти две вещи предлагают совершенно разные уровни правовой защиты.
Что на самом деле представляет собой цифровая подпись
Цифровая подпись в PDF-файле использует инфраструктуру открытых ключей (PKI) — криптографическую систему, которая объединяет закрытый ключ (имеющийся у подписывающего лица) с открытым ключом (доступным любому, кто хочет проверить подпись). Когда вы подписываете PDF-файл цифровой подписью, ваше программное обеспечение для подписи создает математический хэш содержимого документа и шифрует этот хеш с помощью вашего закрытого ключа. Этот зашифрованный хэш вместе с вашим цифровым сертификатом встроен в PDF-файл.
Когда кто-то открывает подписанный PDF-файл, его просмотрщик использует ваш открытый ключ для расшифровки хеша и сравнивает его со свежевычисленным хешем текущего документа. Если два хеша совпадают, документ не изменялся с момента подписания и подпись действительна. Если после подписания был изменен хотя бы один символ, хеши не будут совпадать, и средство просмотра отобразит предупреждение о недопустимой подписи. Именно обнаружение несанкционированного доступа принципиально отличает цифровую подпись от нарисованной или основанной на изображении подписи.
Цифровые сертификаты и центры сертификации
Чтобы цифровая подпись вызывала доверие у других, сертификат, используемый для подписи, должен быть выдан доверенным центром сертификации (CA) — организацией, которая проверила личность подписавшего перед выдачей сертификата. Когда получатель открывает PDF-файл с цифровой подписью, его программа просмотра проверяет, был ли сертификат выдан центром сертификации из списка доверенных. Если это так, средство просмотра отображает доверенную подпись; в противном случае отображается предупреждение о ненадежном или неизвестном сертификате.
К основным центрам сертификации относятся DigiCert, GlobalSign, Entrust и другие, аккредитованные в рамках таких программ, как одобренный Adobe Trust List (AATL) или Trusted Lists Европейского Союза (EUTL). Сертификатам этих центров сертификации автоматически доверяет Adobe Acrobat и большинство корпоративных программ просмотра PDF без какой-либо дополнительной настройки.
Самозаверяющие сертификаты, которые вы создаете самостоятельно без центра сертификации, по-прежнему обеспечивают обнаружение несанкционированного доступа, но не обеспечивают проверку личности. Получатель, открывающий PDF-файл, подписанный самозаверяющим сертификатом, увидит предупреждение о том, что сертификат не принадлежит доверенному органу, даже если сама подпись криптографически действительна.
Цифровые подписи против электронных подписей против заверенных подписей
Эти три термина часто используются как взаимозаменяемые, но относятся к существенно разным вещам. Вот как они сравниваются:
| Функция | Электронная подпись | Цифровая подпись | Сертифицированная подпись |
|---|---|---|---|
| Проверка личности | Ничего не требуется | Требуется сертификат PKI | Сертификат PKI + CA |
| Обнаружение несанкционированного доступа | Нет | Да | Да |
| Юридическое положение | Действует в большинстве контекстов | Сильный — юридически признанный | Сильнейший — допустимый судом |
| Аудиторский след | Ограничено/нет | Криптографическое доказательство | Полный контрольный журнал |
| Типовые инструменты | WukongPDF, Предварительный просмотр, Край | Adobe Acrobat, DocuSign | Adobe Acrobat Pro, корпоративный |
| Лучшее для | Повседневные договоры, формы | Деловые соглашения, HR | Юридические документы, регламентированные документы |
Повседневная работа с PDF Sign — рисование подписи в WukongPDF или предварительном просмотре — создает электронную подпись. Он действителен по закону для большинства целей, но не обеспечивает обнаружение несанкционированного доступа или криптографическую проверку личности. Цифровая подпись требует сертификата ЦС, обеспечивает обнаружение несанкционированного доступа и требуется для документов с высокими ставками.
Правовой статус PDF-файлов с цифровой подписью
Цифровые подписи юридически признаны во всех основных юрисдикциях. В Соединенных Штатах Закон ESIGN и UETA признают электронные и цифровые подписи юридически обязательными. Регламент Европейского Союза eIDAS (услуги электронной идентификации, аутентификации и доверия) обеспечивает наиболее подробную структуру, различающую простые электронные подписи, расширенные электронные подписи (AES) и квалифицированные электронные подписи (QES), причем QES имеет наивысшую юридическую силу и требует квалифицированного сертификата от аккредитованного поставщика.
Квалифицированная электронная подпись в рамках eIDAS имеет ту же юридическую силу, что и собственноручная подпись во всех государствах-членах ЕС. Это стандарт, используемый для важных документов в европейских регулируемых отраслях — финансовых услугах, здравоохранении, судебных разбирательствах и государственных документах.
Как проверить цифровую подпись в PDF-файле
Adobe Acrobat Reader (бесплатная версия) отображает действительность подписи при открытии PDF-файла с цифровой подписью. Зеленая галочка на панели подписи указывает на действительную подпись из доверенного сертификата. Желтый предупреждающий треугольник указывает на то, что подпись действительна, но сертификат не принадлежит доверенному центру сертификации. Красный крестик означает, что подпись недействительна: либо срок действия сертификата истек, либо он был отозван, либо документ был изменен после подписания.
Чтобы просмотреть полную информацию о подписи, щелкните подпись в документе, чтобы открыть панель «Свойства подписи». Здесь показаны сведения о сертификате подписывающего лица, время и дата подписания, а также цепочка доверия к корневому ЦС. Для документов, связанных с юридическими спорами, этот контрольный журнал является основным доказательством подлинности подписи.
Когда вам нужна цифровая подпись или простая подпись
Подписание большинства повседневных документов — трудовых договоров, условий контракта, форм согласия, договоров аренды — не требует криптографической цифровой подписи. Простая электронная подпись, добавленная с помощью инструмента PDF Sign, является юридически достаточной и намного проще для всех сторон. Получателю не требуется специальное программное обеспечение для проверки чего-либо; открывают документ, видят подпись, и этого достаточно.
Цифровые подписи становятся необходимыми, когда документ подпадает под действие нормативных требований, которые прямо требуют их, когда вам нужно доказательство того, что документ не был изменен после подписания, когда документ будет представлен в суд или государственный орган, требующий криптографической проверки, или когда стороны не доверяют друг другу настолько, чтобы полагаться на простую подпись без независимой проверки.