儲存在 USB 令牌上的數位憑證為個人和組織提供了最強大的 PDF 簽名形式。與用手指繪製或從掃描文件貼上的簽名圖像不同，來自 USB 令牌的基於證書的簽名以加密方式將您的驗證身份綁定到文檔，並使任何簽名後篡改立即可檢測到。 USB 令牌也稱為硬體安全模組或 USB 形式的智慧卡，將私鑰保存在防篡改硬體中，永遠不會將金鑰暴露給電腦作業系統。設定和使用 USB 令牌來簽署 PDF 文件需要初始配置，但配置完成後，簽名過程就像插入令牌和輸入 PIN 一樣簡單。
USB 令牌憑證簽章實際提供什麼
USB 令牌的簽章將三個不同的安全屬性組合到一個操作中。首先，它提供身份驗證，因為令牌上的證書是由證書頒發機構頒發的，該頒發機構在頒發證書之前會確認您的身份。其次，它提供文檔完整性，因為簽名包含簽名時文檔內容的加密哈希，簽名後對文檔的任何更改都會使簽名無效。第三，它提供了不可否認性，因為創建簽名的私鑰從未離開過您控制的實體 USB 令牌。
這三個屬性共同使 USB 令牌簽名成為在承認高級電子簽名的司法管轄區中具有法律約束力的電子文檔的標準。許多政府採購系統、法院電子申請平台和受監管的行業門戶網站特別要求來自硬體令牌的基於證書的簽名，因為基於硬體的密鑰存儲滿足存儲在計算機硬碟上的基於軟體的證書無法滿足的安全要求。 USB 代幣的數位簽章在法律訴訟中具有證據重要性，特別是因為硬體代幣提供了強有力的證據，表明只有擁有該代幣的人才能套用該簽章。
取得證書並設定 USB 令牌
第一步是從受信任的憑證授權單位取得數位憑證並將其載入到 USB 代幣上。 GlobalSign、DigiCert、Sectigo 等憑證授權單位和國家 eID 提供者專門為文件簽章頒發憑證。申請過程涉及身份驗證，包括在線提交政府頒發的身份證明文件到親自到登記機構出庭，具體取決於證書類別和司法管轄區。驗證後，憑證授權單位會提供憑證檔案以及將其載入到 USB 令牌的說明。
在此過程中，USB 令牌本身必須是專為加密金鑰儲存而設計的裝置。 YubiKey、SafeNet eToken 和 Gemalto 令牌是廣泛使用的支援 PDF 簽名憑證的模型。在您的電腦上安裝製造商提供的令牌驅動程式軟體。當您插入令牌時，驅動程式會將憑證提供給作業系統憑證儲存區，PDF 簽章應用程式會在作業系統憑證儲存區中尋找可用的簽章憑證。使用您可以記住但其他人無法猜到的強 PIN 碼來保護令牌。經過可配置次數的錯誤 PIN 嘗試（通常是五到十次）後，令牌會自行鎖定以防止暴力攻擊。
使用 USB 令牌簽署 PDF
將 USB 令牌插入電腦上的 USB 連接埠。開啟您需要在支援基於憑證的數位簽章的 PDF 應用程式中簽署的 PDF，例如 Adobe Acrobat Pro、基於瀏覽器的 PDF 平台或政府提供的簽章工具。導航至簽署 PDF 工具並選擇數位簽章選項，而不是新增電子簽名影像。應用程式搜尋系統憑證儲存並顯示可用的簽名憑證。從您的 USB 令牌中選擇憑證。
應用程式會提示您在頁面上應出現可見簽名區塊的位置繪製或放置簽名矩形。定位後，將出現一個對話框，要求輸入令牌 PIN 碼以授權簽章操作。輸入 PIN，令牌將在內部執行加密簽名，將證書與文件內容的雜湊值結合。已簽署的 PDF 現在包含嵌入的簽名區塊，其中包含您的姓名、簽名日期和時間、憑證授權單位名稱以及任何 PDF 閱讀器都可以驗證的加密簽名。在整個過程中，私鑰從未離開過 USB 令牌。
配置簽名外觀和訊息
PDF 頁面上簽名區塊的可見外觀是可自訂的。大多數簽名應用程式可讓您選擇簽名區塊中顯示的資訊：僅您的姓名、您的姓名和簽名日期，或您的姓名和自訂圖形（例如公司徽標或您的手寫簽名圖像）。配置外觀以包含收件者驗證簽名所需的資訊。僅顯示名稱的簽署區塊提供的上下文少於顯示名稱、憑證授權者和簽署時間戳記的簽署區塊。
配置簽名以在簽名後鎖定文件。此選項通常是簽名對話框中的複選框，可防止對文件內容、表單欄位或註釋進行任何進一步編輯。具有有效簽名的鎖定文件可以有力地保證內容自您簽名以來沒有被更改。如果文件需要多方簽名，請設定簽名欄位以允許其他簽名，而不是在您簽名後鎖定文件。 WukongPDF 支援數位簽名應用程序，包括基於憑證的簽名，具有可配置的簽名外觀和文件鎖定選項。
作為收件者驗證 USB 令牌簽名
當您收到使用 USB 令牌憑證簽署的 PDF 時，PDF 檢視器會在開啟文件時自動驗證簽名。有效的簽名會顯示綠色複選標記、簽署者姓名以及訊息，表示文件自簽名後尚未被修改。點擊簽名將開啟一個詳細的驗證面板，顯示從簽署者憑證到根憑證授權單位的憑證鏈、簽署時間以及所使用的簽署演算法。
如果簽名顯示無效或未經驗證，請檢查驗證面板以了解特定原因。即使內容可能未更改，過期的憑證也會產生警告。在簽名日期之前被頒發機構吊銷的證書表明存在嚴重問題，應進行調查。顯示為未知的簽章表示 PDF 檢視器不信任頒發簽署者憑證的憑證授權單位，這對於來自 Adobe 或瀏覽器憑證儲存中不受預先信任的國家 eID 系統的憑證來說很常見。
管理多個令牌和證書
如果您為多個角色或組織簽署文檔，您可能擁有多個 USB 令牌，每個令牌都有不同的憑證。使用關聯的組織或角色對每個令牌進行實體標記，以便您為每個簽署工作階段插入正確的令牌。在 PDF 簽章應用程式中，憑證選擇對話方塊顯示所有可用的憑證。輸入 PIN 之前，請檢查頒發者名稱和憑證用途，以驗證您選擇的憑證是否正確。
記錄每個令牌證書的到期日期。文件簽署證書通常在頒發後一到三年後到期。使用過期憑證應用的簽章在加密上可能仍然有效，但收件者會看到警告，並且某些文件驗證系統會直接拒絕來自過期憑證的簽章。在到期日期之前透過頒發證書頒發機構續訂證書，並將續訂的證書載入到同一個 USB 令牌上以保持簽名連續性。
USB 令牌識別問題故障排除
使用 USB 令牌進行 PDF 簽章時最常見的問題是插入令牌後電腦無法辨識該令牌。令牌驅動程式可能尚未啟動，USB 連接埠可能未提供足夠的電源，或者作業系統憑證儲存可能尚未刷新以包含令牌憑證。取出令牌，等待幾秒鐘，然後重新牢固插入。開啟裝置隨附的令牌管理應用程序，並確認令牌狀態顯示為已連線且憑證已列出。
在 Windows 上，可以從「執行」對話方塊執行 certmgr.msc 來開啟憑證管理員。在「個人」、「憑證」下，令牌憑證應在插入令牌時出現，並在移除令牌時消失。如果沒有出現證書，則可能需要重新安裝令牌驅動程式或中介軟體。從令牌製造商網站下載最新的驅動程序，因為過時的驅動程式是識別失敗的最常見原因。
保留憑證公鑰的備份，這不會損害安全性，因為私鑰保留在令牌上。即使令牌遺失，公鑰備份也允許您驗證憑證的簽名，並且它提供續訂所需的憑證詳細資訊。如果您在初始設定期間未儲存公鑰文件，則頒發憑證的憑證授權單位可以提供公鑰文件。
攜帶 USB 簽名令牌旅行時，請將令牌隨身攜帶，而不是放在可能會被托運或無人看管的筆記型電腦包中。實體令牌是您的數位簽章的信任根。如果令牌遺失或被盜，請立即透過頒發證書的機構吊銷證書。大多數證書頒發機構提供線上撤銷入口網站或用於緊急撤銷的電話號碼。