| A LEGFONTOSABB RÖVIDEN Nem csupán képek: egy PDF-en szereplő aláírás vizuális ábrázolása jogilag jelentéktelen – a döntő fontosságú a háttérben lévő kriptográfiai tanúsítvány. Az ellenőrzés három pillére: Az érvényesítés során mindig ellenőrzik az aláíró személyazonosságát, a dokumentum hamisítatlanságát (integritását) és a tanúsítvány érvényességét. Az EUTL-tényező: A minősített elektronikus aláírás (QES) csak akkor ismerhető el 100%-ban bírósági szinten Európa-szerte, ha a bizalmi szolgáltató (TSP) szerepel az EU hivatalos bizalmi listáján (EUTL). Az amerikai versenyhátrány: Számos amerikai eszköz nem felel meg az európai ellenőrző eszközök (például az állami RTR-akkreditációs szolgálat) követelményeinek, mivel a tanúsítványláncokat nem rögzítik megfelelően. |
Bevezetés: Miért jelent a „ellenőrzés” a digitális folyamatok valódi alapját?
Számos vállalatnál a szerződések digitális aláírása már régóta bevett gyakorlat. Ugyanakkor, miközben hatalmas energiát fordítanak az aláírásokra, a B2B-üzleti élet mindennapjaiban egy alapvető kérdés gyakran megválaszolatlan marad: hogyan ellenőrzik azokat a dokumentumokat, amelyek aláírva kerülnek vissza a vállalatukhoz?
A vállalatok naponta cserélnek egymás között érzékeny szerződéseket – a HR-területen kötött munkaszerződésektől kezdve a beszállítói megállapodásokon át egészen a nagy volumenű pénzügyi tranzakciókig. Aki ebben az esetben arra támaszkodik, hogy egy beolvasott aláírás vagy egy egyszerű vizuális helyőrző kép egy PDF-ben jogilag érvényes, az hatalmas megfelelési és felelősségi kockázatot vállal magára. Csak a szisztematikus, kriptográfiai ellenőrzés adja meg Önnek azt a bíróság előtt is érvényes biztosítékot, hogy szerződő fele valóban az, akinek kiadja magát, és hogy a szerződés szövegét utólag nem manipulálták.
A technikai felépítés: Mi történik, amikor ellenőrzi a digitális aláírást?
Amikor egy digitális aláírást ellenőriz (például a sproof Validator, az Acrobat Reader, állami érvényesítő szolgáltatások – mint például az osztrák Rundfunk und Telekom Regulierungs-GmbH – vagy egy erre szakosodott szoftver segítségével), a háttérben egy háromlépcsős folyamat zajlik le:
1. A dokumentumok integritásának ellenőrzése (hash-értékek összehasonlítása)
Az aláírás során a fájl teljes tartalmát egy algoritmus segítségével egy egyedi digitális ujjlenyomatra – az úgynevezett hash-értékre – tömörítik. Az ellenőrző eszköz a fájl megnyitásakor újra kiszámítja ezt a hash-értéket. Ha az aktuális hash-érték pontosan megegyezik az aláíráskor titkosított értékkel, akkor biztos, hogy a dokumentumot az aláírás óta egyetlen karakterrel sem módosították.
| sproof Insight vs. az amerikai piacvezető: a sproof sign minden aláírást az aláírás pillanatában közvetlenül és jogilag érvényes módon kriptográfiailag rögzít a PDF-ben. Az olyan amerikai szolgáltatók, mint a DocuSign, a folyamat során gyakran csupán vizuális képekként helyezik el az aláírásokat a dokumentumon, és a végleges gyűjtőpecsétet csak a záró letöltéskor adják hozzá. Ez megnehezíti az ellenőrző eszközök számára, hogy utólag pontosan nyomon kövessék, mikor történt mely konkrét űrlapmező-módosítás. |
2. A digitális tanúsítvány érvényesítése (a személyazonosság)
Minden fejlett (FES) vagy minősített elektronikus aláírás (QES) elválaszthatatlanul összekapcsolódik egy digitális tanúsítvánnyal. Ez a tanúsítvány digitális személyi igazolványként működik. Az ellenőrző eszköz kinyeri a tanúsítvány metaadatait, hogy kiolvassa az aláíró nevét, a hitelesített e-mail-címet és a kiállítót (Trust Service Provider, röviden TSP).
3. Összehasonlítás az Európai Unió megbízható listájával (EUTL)
Az eIDAS-rendelet biztosítja a maximális bizonyítóerőt az európai térségben. A szigorúan szabályozott ágazatok alapértelmezés szerint megkövetelik a minősített elektronikus aláírást (QES), mivel jogilag csak ez egyenértékű 100%-ban a kézírásos aláírással. A QES ellenőrzése során a szoftver összehasonlítja a kiállító TSP-t az Európai Bizottság hivatalos megbízhatósági listájával (EUTL). Ha a szolgáltató nem szerepel a listán, az aláírás elveszíti QES-státuszát.
Miért minősítik egyes aláírásokat „érvénytelennek” az európai ellenőrző eszközök?
Gyakori jelenség az európai jogi osztályokon: egy amerikai szoftverrel aláírt szerződést feltöltenek az RTR (Ausztria) hivatalos ellenőrző szolgáltatására, ahol azt azonnal „érvénytelennek” vagy „technikailag nem ellenőrizhetőnek” minősítik.
Ennek megvan az oka: hiányzik az EUTL-akkreditáció. Számos globális hyperscaler saját tanúsítványláncokat használ a standard aláírásaihoz, amelyeket ugyan a kereskedelmi listák (például az Adobe Approved Trust List – AATL) „zöldnek” jelölnek, de nem felelnek meg az európai állami felügyeleti hatóságok szigorú szabályozási kritériumainak.
Lépésről lépésre: így ellenőrizheti a digitális aláírást a gyakorlatban
A vállalatok számára elsősorban három bevált módszer létezik az aláírások könyvvizsgálatnak megfelelő érvényesítésére:
- 1. módszer: Automatizált érvényesítés szoftver és API segítségével (nagyvállalatok számára) A nagy szervezetek nem tudják kézzel ellenőrizni a beérkező dokumentumokat. Ilyenkor olyan modulok kerülnek alkalmazásra, mint a sproof Validate. Egy REST-API segítségével a szerződéseket a dokumentum beérkezésekor automatikusan beolvassák, kriptográfiai ellenőrzésnek vetik alá, majd egy megváltoztathatatlan ellenőrzési nyomvonallal (audit trail) együtt archiválják a dokumentumkezelő rendszerben (DMS).
- 2. módszer: Érvényesítés közvetlenül a sproof sign platformon Ha a dokumentumokat a központi sproof sign irányítópulton kezeli, egy egyszerű kattintás is elegendő. Csak vigye az egeret a dokumentumszerkesztőben található aláírási kártyára. Az eszköz az átfedő ablakban azonnal megmutatja, hogy az aláírás érvényes-e, milyen biztonsági szabvány (EES, FES, QES) vonatkozik rá, és melyik bizalmi szolgáltató állította ki a tanúsítványt.
- 3. módszer: Kézi ellenőrzés az Adobe Acrobat Reader segítségével A világszerte elterjedt PAdES-szabványnak köszönhetően az LTV-kompatibilis (Long-Term Validation) aláírások offline módon is ellenőrizhetők az Adobe Readerben. Az Adobe ehhez a beágyazott hitelességi adatokat (CRL/OCSP) használja, hogy évtizedeken át igazolja az aláírás korábbi érvényességét.
Vessen véget a dokumentumkezelés terén fennálló jogbizonytalanságoknak!
Automatizálja az ellenőrzési folyamatait, és védje meg vállalatát a szabályszegésektől. A sproof sign és a sproof Validate segítségével egy 100%-ban európai megoldásra támaszkodhat – amelynek semmi köze az Egyesült Államokhoz, teljes mértékben megfelel az GDPR-nek, és ISO 27001 tanúsítvánnyal rendelkezik.
Vegyen fel velünk kapcsolatot egy kötelezettség nélküli bemutató időpont egyeztetéséhez vagy próbálja ki ingyen a sproof sign szolgáltatást
GYIK a témában
-
+–Was ist der Unterschied zwischen der visuellen Unterschrift und dem digitalen Zertifikat?Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist… többet
Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist ausschließlich das digitale Zertifikat, das in den maschinenlesbaren Daten des PDF-Dokuments kryptografisch verankert ist. Ein reines Bild ohne Zertifikat bietet kaum Beweiskraft als elektronische Unterschrift.
-
+–Kann eine digitale Signatur geprüft werden, wenn keine Internetverbindung besteht?Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt… többet
Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt beim Signieren in das PDF eingebettet.
-
+–Was bedeutet es, wenn ein Prüftool meldet: „Identität des Ausstellers unbekannt“?Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der… többet
Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der EU oder im lokalen Windows/Adobe-Zertifikatsspeicher hinterlegt ist. Die Integrität des Dokuments kann zwar intakt sein, der Status als rechtssichere “Qualifizierte Elektronische Signatur” (QES) ist damit jedoch hinfällig.
-
+–Was passiert, wenn ein Dokument nach dem Signieren leicht verändert wird (z. B. durch das Hinzufügen einer Seitenzahl)?Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes… többet
Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes professionelle Prüftool meldet sofort, dass das Dokument manipuliert wurde und die Signatur somit ungültig ist. Bei sproof ist durch die tiefe Verankerung im PDF genau nachvollziehbar, ob und welche Änderungen im Nachgang vorschriftswidrig vorgenommen wurden.
-
+–Wie lang ist eine digitale Signatur gültig und überprüfbar?Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei… többet
Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.
-
+–Kann man mehrere digitale Signaturen auf einem einzigen Dokument unabhängig voneinander prüfen?Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool… többet
Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.
-
+–Warum ist der Prüfbericht (Audit Trail) für Compliance-Manager:innen so wichtig?Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben… többet
Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.
