| НАЙ-ВАЖНОТО НАКРАТКО Не са просто изображения: визуалното изображение на подпис върху PDF файл няма правно значение – решаващо е криптографският сертификат, който стои зад него. Трите стълба на проверката: При валидирането винаги се проверяват самоличността на подписващото лице, неподправеността на документа (целостта) и валидността на сертификата. Факторът EUTL: Квалифицираният електронен подпис (QES) се признава на 100 % от съдилищата в цяла Европа само ако доставчикът на доверителни услуги (TSP) фигурира в официалния списък на доверените доставчици на ЕС (EUTL). Недостатъкът на САЩ в конкурентно отношение: Много американски инструменти не издържат проверките на европейските инструменти за проверка (като държавната акредитационна служба RTR), тъй като не осигуряват достатъчно стабилна верига от сертификати. |
Въведение: Защо „проверката“ е истинската основа на цифровите процеси
В много компании цифровото подписване на договори отдавна е станало стандартна практика. Но докато се инвестира огромно количество енергия в самото подписване, един фундаментален въпрос в ежедневието на B2B често остава без отговор: Как проверявате документите, които се връщат в компанията ви след подписване?
Компаниите обменят ежедневно чувствителни договори – от трудови договори в отдела по човешки ресурси, през споразумения с доставчици, до финансови транзакции с голям обем. Който разчита на това, че сканиран подпис или обикновена визуална картинка-заместител в PDF файл е юридически валиден, поема огромен риск, свързан с несъответствие с нормативните изисквания и отговорност. Само систематичната криптографска верификация ви дава юридически неоспорима сигурност, че вашият договорно партньор наистина е този, за когото се представя, и че текстът на договора не е бил манипулиран впоследствие.
Техническата анатомия: Какво се случва, когато проверявате цифров подпис?
Когато проверявате цифров подпис (например чрез sproof Validator, Acrobat Reader, държавни услуги за валидиране като Rundfunk und Telekom Regulierungs-GmbH в Австрия или специализиран софтуер), на заден план протича триетапен процес:
1. Проверка на целостта на документите (сравнение на хеш-сумите)
При подписването цялото съдържание на файла се компресира чрез алгоритъм до уникален цифров отпечатък – така наречената хеш-стойност. Инструментът за проверка изчислява отново тази хеш-стойност при отварянето на файла. Ако текущата хеш-стойност съвпада точно със стойността, криптирана в момента на подписването, става ясно: документът не е бил променен нито с един символ след подписването.
| sproof Insight срещу лидера на пазара в САЩ: sproof sign вгражда всеки подпис директно и с юридическа сила в PDF файла чрез криптографска технология в момента на подписването. Американските доставчици като DocuSign често поставят подписите по време на процеса само като визуални изображения върху документа и добавят окончателния колективен печат едва при окончателното изтегляне. Това затруднява проверяващите инструменти впоследствие да проследят точно кога е била направена конкретна промяна в полето на формуляра. |
2. Проверка на валидността на цифровия сертификат (идентичността)
Всеки усъвършенстван (FES) или квалифициран електронен подпис (QES) е неразривно свързан с цифров сертификат. Този сертификат служи като цифрова лична карта. Инструментът за проверка извлича метаданните на сертификата, за да прочете името на подписващия, проверения имейл адрес и издателя (доставчик на доверителни услуги, накратко TSP).
3. Съвпадение с Доверителния списък на Европейския съюз (EUTL)
Регламентът eIDAS осигурява максимална доказателствена сила в европейското пространство. Строго регулираните сектори изискват по подразбиране QES, тъй като само той е правно равностоен на ръчния подпис на 100 %. При проверка на QES софтуерът сравнява доставчика на услуги за електронни подписи (TSP) с официалния списък на доверените доставчици на Европейската комисия (EUTL). Ако доставчикът не е акредитиран в този списък, подписът губи статута си на QES.
Защо някои подписи се обявяват за „невалидни“ в европейските инструменти за проверка
Често срещано явление в европейските правни отдели: договор, подписан чрез американски софтуер, се качва в официалната система за проверка на RTR (Австрия) и незабавно се класифицира като „невалиден“ или „технически непроверим“.
Има причина за това: липса на EUTL акредитация. Много глобални хиперскалъри използват за своите стандартни подписи собствени вериги от сертификати, които макар и да са маркирани като „зелени“ в търговски списъци (като Adobe Approved Trust List – AATL), не отговарят на строгите регулаторни критерии на европейските държавни надзорни органи.
Стъпка по стъпка: Ето как се проверява цифров подпис на практика
За предприятията съществуват основно три изпитани начина за валидиране на подписи по начин, който отговаря на изискванията за одитна сигурност:
- Начин 1: Автоматизирана валидация чрез софтуер и API (за големи предприятия) Големите организации не могат да проверяват постъпващите документи ръчно. Тук се използват модули като sproof Validate. Чрез REST-API договорите се сканират автоматично при получаването им, проверяват се криптографски и се архивират във вашата система за управление на документи (DMS) с неизменяема одитна следа (протокол за проверка).
- Начин 2: Валидиране директно в платформата sproof sign Ако управлявате документи в централния си sproof sign Dashboard, достатъчно е едно просто кликване. Просто преместете курсора на мишката върху картата с подписа в редактора на документи. Инструментът веднага ще ви покаже в прозореца дали подписът е валиден, какъв стандарт за сигурност (EES, FES, QES) е приложен и кой доставчик на доверителни услуги е издал сертификата.
- Начин 3: Ръчна проверка чрез Adobe Acrobat Reader Благодарение на световния стандарт PAdES подписите с дългосрочна валидност (LTV – Long-Term Validation) могат да се проверяват и офлайн в Adobe Reader. За тази цел Adobe използва вградените данни за обновяване (CRL/OCSP), за да потвърди историческата валидност на подписа в продължение на десетилетия.
Сложете край на правната несигурност в управлението на документи
Автоматизирайте процесите си по проверка и предпазете компанията си от нарушения на нормативните изисквания. С sproof Sign и sproof Validate залагате на 100 % европейско решение – напълно независимо от САЩ, изцяло съобразено с Общия регламент за защита на данните (GDPR) и сертифицирано по ISO 27001.
Запишете се сега за безплатна демонстрация или тествайте sproof sign безплатно
Често задавани въпроси по темата
-
+–Was ist der Unterschied zwischen der visuellen Unterschrift und dem digitalen Zertifikat?Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist… повече
Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist ausschließlich das digitale Zertifikat, das in den maschinenlesbaren Daten des PDF-Dokuments kryptografisch verankert ist. Ein reines Bild ohne Zertifikat bietet kaum Beweiskraft als elektronische Unterschrift.
-
+–Kann eine digitale Signatur geprüft werden, wenn keine Internetverbindung besteht?Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt… повече
Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt beim Signieren in das PDF eingebettet.
-
+–Was bedeutet es, wenn ein Prüftool meldet: „Identität des Ausstellers unbekannt“?Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der… повече
Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der EU oder im lokalen Windows/Adobe-Zertifikatsspeicher hinterlegt ist. Die Integrität des Dokuments kann zwar intakt sein, der Status als rechtssichere “Qualifizierte Elektronische Signatur” (QES) ist damit jedoch hinfällig.
-
+–Was passiert, wenn ein Dokument nach dem Signieren leicht verändert wird (z. B. durch das Hinzufügen einer Seitenzahl)?Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes… повече
Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes professionelle Prüftool meldet sofort, dass das Dokument manipuliert wurde und die Signatur somit ungültig ist. Bei sproof ist durch die tiefe Verankerung im PDF genau nachvollziehbar, ob und welche Änderungen im Nachgang vorschriftswidrig vorgenommen wurden.
-
+–Wie lang ist eine digitale Signatur gültig und überprüfbar?Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei… повече
Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.
-
+–Kann man mehrere digitale Signaturen auf einem einzigen Dokument unabhängig voneinander prüfen?Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool… повече
Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.
-
+–Warum ist der Prüfbericht (Audit Trail) für Compliance-Manager:innen so wichtig?Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben… повече
Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.
