存储在 USB 令牌上的数字证书为个人和组织提供了最强大的 PDF 签名形式。与用手指绘制或从扫描文件粘贴的签名图像不同，来自 USB 令牌的基于证书的签名以加密方式将您的验证身份绑定到文档，并使任何签名后篡改立即可检测到。 USB 令牌也称为硬件安全模块或 USB 形式的智能卡，将私钥保存在防篡改硬件中，永远不会将密钥暴露给计算机操作系统。设置和使用 USB 令牌来签署 PDF 文档需要初始配置，但配置完成后，签名过程就像插入令牌和输入 PIN 一样简单。
USB 令牌证书签名实际提供什么
USB 令牌的签名将三个不同的安全属性组合到一个操作中。首先，它提供身份验证，因为令牌上的证书是由证书颁发机构颁发的，该颁发机构在颁发证书之前会确认您的身份。其次，它提供文档完整性，因为签名包含签名时文档内容的加密哈希，签名后对文档的任何更改都会使签名无效。第三，它提供了不可否认性，因为创建签名的私钥从未离开过您控制的物理 USB 令牌。
这三个属性共同使 USB 令牌签名成为在承认高级电子签名的司法管辖区中具有法律约束力的电子文档的标准。许多政府采购系统、法院电子申请平台和受监管的行业门户网站特别要求来自硬件令牌的基于证书的签名，因为基于硬件的密钥存储满足存储在计算机硬盘驱动器上的基于软件的证书无法满足的安全要求。 USB 令牌的数字签名 在法律诉讼中具有证据价值，特别是因为硬件令牌提供了强有力的证据，表明只有拥有该令牌的人才能应用该签名。
获取证书并设置 USB 令牌
第一步是从受信任的证书颁发机构获取数字证书并将其加载到 USB 令牌上。 GlobalSign、DigiCert、Sectigo 等证书颁发机构和国家 eID 提供商专门为文档签名颁发证书。申请过程涉及身份验证，包括在线提交政府颁发的身份证明文件到亲自到登记机构出庭，具体取决于证书类别和司法管辖区。身份验证后，证书颁发机构会提供证书文件以及将其加载到 USB 令牌的说明。
USB 令牌本身必须是专为加密密钥存储而设计的设备。 YubiKey、SafeNet eToken 和 Gemalto 令牌是广泛使用的支持 PDF 签名证书的模型。在您的计算机上安装制造商提供的令牌驱动程序软件。当您插入令牌时，驱动程序会将证书提供给操作系统证书存储区，PDF 签名应用程序将在操作系统证书存储区中查找可用的签名证书。使用您可以记住但其他人无法猜到的强 PIN 码来保护令牌。经过可配置次数的错误 PIN 尝试（通常是五到十次）后，令牌会自行锁定以防止暴力攻击。
使用 USB 令牌签署 PDF
将 USB 令牌插入计算机上的 USB 端口。打开您需要在支持基于证书的数字签名的 PDF 应用程序中签名的 PDF，例如 Adobe Acrobat Pro、基于浏览器的 PDF 平台或政府提供的签名工具。导航至Sign PDF工具并选择数字签名选项，而不是添加电子签名图像。应用程序搜索系统证书存储并显示可用的签名证书。从您的 USB 令牌中选择证书。
应用程序会提示您在页面上应出现可见签名块的位置绘制或放置签名矩形。定位后，将出现一个对话框，要求输入令牌 PIN 码以授权签名操作。输入 PIN，令牌将在内部执行加密签名，将证书与文档内容的哈希值相结合。签名的 PDF 现在包含嵌入的签名块，其中包含您的姓名、签名日期和时间、证书颁发者名称以及任何 PDF 阅读器都可以验证的加密签名。在整个过程中，私钥从未离开过 USB 令牌。
配置签名外观和信息
PDF 页面上签名块的可见外观是可定制的。大多数签名应用程序允许您选择签名块中显示的信息：仅您的姓名、您的姓名和签名日期，或者您的姓名和自定义图形（例如公司徽标或您的手写签名图像）。配置外观以包含收件人验证签名所需的信息。仅显示名称的签名块提供的上下文少于显示名称、证书颁发者和签名时间戳的签名块。
配置签名以在签名后锁定文档。此选项通常是签名对话框中的复选框，可防止对文档内容、表单字段或注释进行任何进一步编辑。带有有效签名的锁定文档可以有力地保证内容自您签名以来没有被更改。如果文档需要多方签名，请配置签名字段以允许其他签名，而不是在您签名后锁定文档。 WukongPDF支持数字签名应用程序，包括基于证书的签名，具有可配置的签名外观和文档锁定选项。
作为收件人验证 USB 令牌签名
当您收到使用 USB 令牌证书签名的 PDF 时，PDF 查看器会在打开文档时自动验证签名。有效的签名会显示绿色复选标记、签名者姓名以及一条消息，表明文档自签名后尚未被修改。单击签名将打开一个详细的验证面板，显示从签名者证书到根证书颁发机构的证书链、签名时间以及所使用的签名算法。
如果签名显示无效或未经验证，请检查验证面板以了解具体原因。即使内容可能未更改，过期的证书也会产生警告。在签名日期之前被颁发机构吊销的证书表明存在严重问题，应进行调查。显示为未知的签名意味着 PDF 查看器不信任颁发签名者证书的证书颁发机构，这对于来自 Adobe 或浏览器证书存储中不受预先信任的国家 eID 系统的证书来说很常见。
管理多个令牌和证书
如果您为多个角色或组织签署文档，您可能拥有多个 USB 令牌，每个令牌都有不同的证书。使用关联的组织或角色对每个令牌进行物理标记，以便您为每个签名会话插入正确的令牌。在 PDF 签名应用程序中，证书选择对话框显示所有可用的证书。输入 PIN 之前，请检查颁发者名称和证书用途，以验证您选择的证书是否正确。
记录每个令牌证书的到期日期。文件签名证书通常在颁发后一到三年后到期。使用过期证书应用的签名在加密上可能仍然有效，但收件人会看到警告，并且某些文档验证系统会直接拒绝来自过期证书的签名。在到期日期之前通过颁发证书颁发机构续订证书，并将续订的证书加载到同一个 USB 令牌上以保持签名连续性。
USB 令牌识别问题故障排除
使用 USB 令牌进行 PDF 签名时最常见的问题是插入令牌后计算机无法识别该令牌。令牌驱动程序可能尚未启动，USB 端口可能未提供足够的电源，或者操作系统证书存储可能尚未刷新以包含令牌证书。取出令牌，等待几秒钟，然后重新牢固插入。打开设备附带的令牌管理应用程序，并确认令牌状态显示为已连接并且证书已列出。
在 Windows 上，可以通过从“运行”对话框运行 certmgr.msc 来打开证书管理器。在“个人”、“证书”下，令牌证书应在插入令牌时出现，并在移除令牌时消失。如果没有出现证书，则可能需要重新安装令牌驱动程序或中间件。从令牌制造商网站下载最新的驱动程序，因为过时的驱动程序是识别失败的最常见原因。
保留证书公钥的备份，这不会损害安全性，因为私钥保留在令牌上。即使令牌丢失，公钥备份也允许您验证证书的签名，并且它提供续订所需的证书详细信息。如果您在初始设置期间未保存公钥文件，则颁发证书的证书颁发机构可以提供公钥文件。
携带 USB 签名令牌旅行时，请将令牌随身携带，而不是放在可能会被托运或无人看管的笔记本电脑包中。物理令牌是您的数字签名的信任根。如果令牌丢失或被盗，请立即通过颁发证书的机构吊销证书。大多数证书颁发机构提供在线撤销门户或用于紧急撤销的电话号码。