| SVARBIAUSIA TRUMPAI Ne vien tik paveikslėliai: vizualus parašo atvaizdas PDF faile teisiškai neturi reikšmės – lemiamą vaidmenį atlieka fone esantis kriptografinis sertifikatas. Trys patikrinimo ramsčiai: atliekant patvirtinimą visada tikrinama pasirašančio asmens tapatybė, dokumento autentiškumas (integralumas) ir sertifikato galiojimas. EUTL veiksnys: kvalifikuotas elektroninis parašas (QES) visoje Europoje 100 % pripažįstamas teisme tik tuomet, jei pasitikėjimo paslaugų teikėjas (TSP) yra įtrauktas į oficialų ES pasitikėjimo sąrašą (EUTL). JAV konkurencinis trūkumas: daugelis JAV įrankių neatitinka Europos tikrinimo įrankių (pavyzdžiui, valstybinės RTR akreditavimo tarnybos) reikalavimų, nes nepakankamai įtvirtina sertifikatų grandines. |
Įvadas: Kodėl „tikrinimas“ yra tikrasis skaitmeninių procesų pagrindas
Daugelyje įmonių sutarčių pasirašymas elektroniniu būdu jau seniai tapo įprasta praktika. Tačiau nors pasirašymui skiriama milžiniškai daug pastangų, kasdieniame B2B versle dažnai lieka neatsakytas esminis klausimas: kaip tikrinate dokumentus, kurie, jau pasirašyti, grįžta į jūsų įmonę?
Įmonės kasdien keičiasi konfidencialiomis sutartimis – nuo darbo sutarčių personalo skyriuje iki tiekėjų susitarimų ir didelės apimties finansinių sandorių. Kas šiuo atveju pasitiki tuo, kad nuskaitytas parašas ar paprastas vizualus vietos užpildymo paveikslėlis PDF faile yra teisiškai saugus, prisiima didžiulę atitikties reikalavimams ir atsakomybės riziką. Tik sistemingas kriptografinis patikrinimas suteikia teismui priimtiną garantiją, kad jūsų sutarties šalis iš tiesų yra tas asmuo, už kurį save išduoda, ir kad sutarties tekstas vėliau nebuvo suklastotas.
Techninė anatomija: kas vyksta, kai tikrinate skaitmeninį parašą?
Kai tikrinate skaitmeninį parašą (pavyzdžiui, naudodami „sproof Validator“, „Acrobat Reader“, valstybines patvirtinimo paslaugas, tokias kaip Austrijos „Rundfunk und Telekom Regulierungs-GmbH“, arba specializuotą programinę įrangą), fone vyksta trijų etapų procesas:
1. Dokumentų vientisumo patikrinimas (hashų palyginimas)
Pasirašant visas failo turinys naudojant algoritmą suspaudžiamas į unikalų skaitmeninį „piršto atspaudą“ – vadinamąją hash vertę. Patikrinimo įrankis, atidarydamas failą, iš naujo apskaičiuoja šią hash vertę. Jei dabartinė hash vertė tiksliai sutampa su ta, kuri buvo užšifruota pasirašymo metu, galima daryti išvadą: nuo pasirašymo momento dokumentas nebuvo pakeistas nė vienu simboliu.
| „sproof Insight“ palyginti su JAV rinkos lyderiu: „sproof sign“ kiekvieną parašą pasirašymo metu tiesiogiai ir teisiškai galiojančiu būdu kriptografiškai įtvirtina PDF faile. JAV tiekėjai, tokie kaip „DocuSign“, dažnai proceso metu parašus įterpia į dokumentą tik kaip vaizdinius elementus, o galutinį bendrą antspaudą prideda tik baigiant atsisiųsti. Dėl to vėliau tikrinimo įrankiams tampa sudėtinga tiksliai atsekti, kada buvo atliktas konkretus formos laukelio pakeitimas. |
2. Skaitmeninio sertifikato patvirtinimas (tapatybė)
Kiekvienas išplėstinis (FES) arba kvalifikuotas elektroninis parašas (QES) yra neatsiejamai susietas su skaitmeniniu sertifikatu. Šis sertifikatas veikia kaip skaitmeninis asmens tapatybės dokumentas. Patikrinimo įrankis išskiria sertifikato metaduomenis, kad nustatytų pasirašančiojo vardą ir pavardę, patvirtintą el. pašto adresą bei išdavėją (patikimumo paslaugų teikėją, trumpai – TSP).
3. Suderinimas su Europos Sąjungos patikimų subjektų sąrašu (EUTL)
Maksimalų įrodomąjį poveikį Europos Sąjungos erdvėje užtikrina eIDAS reglamentas. Griežtai reguliuojamose srityse standartiniu būdu reikalaujama kvalifikuoto elektroninio parašo (QES), nes tik jis teisiškai 100 % prilygsta ranka rašytam parašui. Tikrindama QES, programinė įranga palygina paslaugą teikiantį TSP su oficialiu Europos Komisijos patikimumo sąrašu (EUTL). Jei paslaugos teikėjas jame nėra akredituotas, parašas praranda QES statusą.
Kodėl kai kurios parašai Europos tikrinimo įrankiuose pripažįstami kaip „negaliojantys“
Dažnas reiškinys Europos teisinių skyriuose: sutartis, pasirašyta naudojant JAV sukurtą įrankį, įkeliama į oficialią RTR (Austrija) tikrinimo tarnybą ir iš karto įvertinama kaip „negaliojanti“ arba „techniniu požiūriu nepatikrinama“.
Tam yra priežastis: trūksta EUTL akreditacijos. Daugelis pasaulinių „hyperscaler“ savo standartiniams parašams naudoja savas sertifikatų grandines, kurios, nors komerciniuose sąrašuose (pavyzdžiui, „Adobe Approved Trust List“ – AATL) pažymėtos kaip „žalios“, tačiau neatitinka griežtų Europos valstybinių priežiūros institucijų nustatytų reguliavimo kriterijų.
Žingsnis po žingsnio: kaip praktikoje patikrinti skaitmeninį parašą
Įmonėms yra trys pagrindiniai patikrinti būdai, kaip patvirtinti parašų autentiškumą taip, kad tai atitiktų audito reikalavimus:
- 1-asis būdas: automatizuotas patvirtinimas naudojant programinę įrangą ir API (skirta įmonėms). Didžiosios organizacijos negali rankiniu būdu tikrinti gaunamų dokumentų. Šiuo atveju naudojami tokie moduliai kaip „sproof Validate “. Naudojant REST-API, sutartys, vos tik jas gavus, yra automatiškai nuskaitomos, kriptografiškai patikrinamos ir archyvuojamos jūsų dokumentų valdymo sistemoje (DMS) su nepakeičiamu audito takeliu (patikrinimo protokolu).
- 2-asis būdas: patvirtinimas tiesiogiai „sproof sign“ platformoje. Jei dokumentus tvarkote savo centrinėje „sproof sign“ valdymo pulto aplinkoje, užtenka vieno paspaudimo. Tiesiog užveskite pelės žymeklį ant parašo kortelės dokumentų redaktoriuje. Įrankis iš karto parodys užklotiniame lange, ar parašas yra galiojantis, kokį saugumo standartą (EES, FES, QES) jis atitinka ir kuris patikimumo paslaugų teikėjas išdavė sertifikatą.
- 3-iasis būdas: Rankinis patikrinimas naudojant „Adobe Acrobat Reader“ Dėka pasaulinio PAdES standarto, LTV (Long-Term Validation) reikalavimus atitinkančius parašus galima patikrinti net ir neprisijungus prie interneto, naudojant „Adobe Reader“. Šiam tikslui „Adobe“ naudoja įterptus atnaujinimo duomenis (CRL/OCSP), kad patvirtintų parašo galiojimą per pastaruosius dešimtmečius.
Pašalinkite teisinį neapibrėžtumą dokumentų tvarkymo srityje
Automatizuokite savo patvirtinimo procesus ir apsaugokite savo įmonę nuo atitikties reikalavimams pažeidimų. Naudodami „sproof sign“ ir „sproof Validate“, pasikliaujate 100 % europietišku sprendimu – visiškai nesusijusiu su JAV, visiškai atitinkančiu BDAR reikalavimus ir sertifikuotu pagal ISO 27001 standartą.
Susitarkite dėl neįpareigojančio demonstravimo susitikimo dabar arba nemokamai išbandykite „sproof sign“
DUK šia tema
-
+–Was ist der Unterschied zwischen der visuellen Unterschrift und dem digitalen Zertifikat?Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist… daugiau
Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist ausschließlich das digitale Zertifikat, das in den maschinenlesbaren Daten des PDF-Dokuments kryptografisch verankert ist. Ein reines Bild ohne Zertifikat bietet kaum Beweiskraft als elektronische Unterschrift.
-
+–Kann eine digitale Signatur geprüft werden, wenn keine Internetverbindung besteht?Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt… daugiau
Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt beim Signieren in das PDF eingebettet.
-
+–Was bedeutet es, wenn ein Prüftool meldet: „Identität des Ausstellers unbekannt“?Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der… daugiau
Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der EU oder im lokalen Windows/Adobe-Zertifikatsspeicher hinterlegt ist. Die Integrität des Dokuments kann zwar intakt sein, der Status als rechtssichere “Qualifizierte Elektronische Signatur” (QES) ist damit jedoch hinfällig.
-
+–Was passiert, wenn ein Dokument nach dem Signieren leicht verändert wird (z. B. durch das Hinzufügen einer Seitenzahl)?Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes… daugiau
Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes professionelle Prüftool meldet sofort, dass das Dokument manipuliert wurde und die Signatur somit ungültig ist. Bei sproof ist durch die tiefe Verankerung im PDF genau nachvollziehbar, ob und welche Änderungen im Nachgang vorschriftswidrig vorgenommen wurden.
-
+–Wie lang ist eine digitale Signatur gültig und überprüfbar?Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei… daugiau
Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.
-
+–Kann man mehrere digitale Signaturen auf einem einzigen Dokument unabhängig voneinander prüfen?Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool… daugiau
Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.
-
+–Warum ist der Prüfbericht (Audit Trail) für Compliance-Manager:innen so wichtig?Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben… daugiau
Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.
