Jak ověřím elektronický podpis? Srozumitelný průvodce validátory.

Vlastnoruční podpis po vás chce, abyste mu věřili. Elektronický podpis vám dovolí si ho ověřit. V tom je celý rozdíl, a proto si každý seriózní elektronický podpis nese vše, co potřebuje k ověření i úplně cizí člověk, aniž by se musel ptát podepisujícího, odesílatele nebo poskytovatele, který podpis vytvořil.

Potřebuji placený software? Ne. Ověření podpisu je zdarma. Peníze stojí podepisování, protože poskytovatel služeb vytvářejících důvěru musí ověřovat totožnost a ručit za své certifikáty. Ověření jen čte to, co už v souboru je.

Potřebuji Adobe Acrobat? Ne. Bezplatný Adobe Acrobat Reader ověřuje podpisy spolehlivě a je jednou z několika možností. Webový validátor funguje v každém prohlížeči a na každém zařízení a mnohé srozumitelně vysvětlí každý krok kontroly.

Máte tedy tři cesty, od nejrychlejší po nejformálnější:

• Online validátor. Nahrajte PDF a přečtěte si zprávu. Náš se jmenuje ověření podpisu PDF: zdarma, bez účtu a soubor neukládáme.
• Adobe Acrobat Reader. Otevřete PDF a podívejte se do panelu Podpisy. Jednotlivé kroky vysvětlujeme v článku Kontrola podpisu v Adobe Readeru.
• Kvalifikovaná služba ověřování. Potřebujete-li výsledek, který má sám právní váhu, třeba pro soud nebo úřad, nabízejí někteří poskytovatelé služeb vytvářejících důvěru ověřování jako kvalifikovanou službu podle eIDAS.

Podpis lze ověřit jen tehdy, když si s sebou nese vlastní důkazy. Představte si voskovou pečeť na dopise, k němuž je přiložena ověřená kopie občanského průkazu odesílatele a poštovní razítko s datem. Moderní elektronický podpis má všechny tři věci, jen v digitální podobě:

1. 1
   Otisk dokumentu

   Podepisovací software nejprve spočítá tzv. hash: krátkou hodnotu odvozenou z každého bajtu souboru. Stačí změnit jedinou čárku a otisk vyjde úplně jinak.

2. 2
   Pečeť přes tento otisk

   Otisk se pak zapečetí soukromým klíčem podepisujícího, klíčem, který má pod kontrolou jen on. Pečeť otevře kdokoli pomocí odpovídajícího veřejného klíče, ale bez soukromého klíče ji nikdo nepadělá.

3. 3
   Certifikát, který podepisujícího jmenuje

   Veřejný klíč putuje v certifikátu: v digitálním průkazu totožnosti, který vydává poskytovatel služeb vytvářejících důvěru poté, co ověřil totožnost podepisujícího. Poskytovatel certifikát sám podepisuje, takže jej lze dohledat až k jeho zdroji.

4. 4
   Časové razítko z nezávislých hodin

   Autorita časových razítek potvrzuje, kdy podpis existoval. Bez ní pochází čas z počítače podepisujícího, a ten si může kdokoli nastavit na libovolné datum.

5. 5
   Důkaz na později

   Při dlouhodobém ověřování (LTV) soubor uchovává i certifikáty a odpovědi o zneplatnění, které platily v okamžiku podpisu. Podpis tak lze ověřit, i když certifikáty dávno vypršely.

V PDF je to všechno uloženo přímo v souboru, v otevřeném evropském standardu PAdES. Proto ho dokáže přečíst jakýkoli validátor: nejste závislí na softwaru, a dokonce ani na firmě, která podpis vytvořila.

Validátor je program, který přečte důkazy uložené v souboru a každý z nich prověří. Nevěří tomu, co o sobě dokument tvrdí: přepočítává, dohledává a ptá se. V pořadí, v jakém postupuje dobrý validátor:

1. 1
   Znovu spočítá otisk

   Validátor znovu vypočítá hash dokumentu a porovná ho s tím, který je uložen v podpisu. Pokud se shodují, od podpisu se nezměnil ani jediný bit.

2. 2
   Otevře pečeť

   Pomocí veřejného klíče z certifikátu ověří, že pečeť skutečně vznikla odpovídajícím soukromým klíčem.

3. 3
   Projde řetězec certifikátů

   Sleduje certifikát přes jeho vydavatele až ke kořenové autoritě, které důvěřuje, typicky k té, která je na důvěryhodných seznamech EU nebo na seznamu AATL společnosti Adobe.

4. 4
   Zjistí, zda nebyl zneplatněn

   Zeptá se vydavatele, zda byl certifikát zneplatněn, a odpověď porovná s okamžikem podpisu.

5. 5
   Potvrdí čas

   Zkontroluje časové razítko, takže otázka „platný kdy?“ má odpověď, která nezávisí na ničím slovu.

6. 6
   Určí úroveň

   Podle certifikátu a důvěryhodných seznamů vám řekne, zda je podpis kvalifikovaný (QES), zaručený (AdES), nebo ani jedno.

Důvěryhodné seznamy EU si zaslouží pár slov. Každý členský stát zveřejňuje oficiální, podepsaný seznam poskytovatelů služeb vytvářejících důvěru, nad nimiž vykonává dohled, a Evropská komise je všechny propojuje v jednom seznamu seznamů. Když validátor napíše „kvalifikovaný“, ověřil si to právě tady: ne v marketingu poskytovatele, ale v rejstříku, který vedou orgány dohledu.

Certifikát lze zrušit ještě před koncem jeho platnosti, podobně jako platební kartu, kterou nahlásíte jako ztracenou. Možná byl klíč kompromitován, člověk z firmy odešel nebo byly údaje v certifikátu chybné. Vydavatel ho pak zneplatní a od té chvíle by se jím už nemělo podepisovat.

Validátory to zjišťují jedním ze dvou způsobů:

• Seznam zneplatněných certifikátů (CRL). Vydavatel pravidelně zveřejňuje podepsaný seznam všech certifikátů, které zneplatnil. Validátor si ho stáhne a hledá v něm příslušný certifikát.
• Dotaz v reálném čase (OCSP). Validátor se vydavatele zeptá přímo na jeden certifikát a dostane podepsanou odpověď: platný, zneplatněný, nebo neznámý. Pokud byl zneplatněn, odpověď uvádí i kdy.

Rozhodující je právě to „kdy“. Certifikát zneplatněný po vytvoření podpisu tento podpis nezpochybňuje: v den podpisu byl certifikát v pořádku. Certifikát zneplatněný předtím je jiný příběh. Přesně proto má časové razítko takovou cenu: bez důvěryhodného času nikdo neřekne, na kterou stranu zneplatnění podpis spadá.

Většina validátorů shrne svá zjištění do jedné ze tří odpovědí. Každá říká něco přesného, a něco naopak neříká:

Jedno omezení platí pro každý validátor: ověřuje podpis, ne obchod. „Platný“ vám řekne, kdo podepsal, co podepsal a kdy. Neřekne vám, zda je obsah pravdivý, ani zda byl podepisující oprávněn zavazovat svou firmu. To zůstává na vás, případně na vašem advokátovi.

Svádí to vnímat elektronický podpis jako pohodlnou kopii toho skutečného. Technicky je to ale naopak. Podpis inkoustem dokazuje překvapivě málo, a i to prokáže jen znalec.

Právo si z toho vyvodilo závěr. Podle čl. 25 odst. 2 nařízení eIDAS má kvalifikovaný elektronický podpis ve všech členských státech EU stejný právní účinek jako vlastnoruční podpis. V praxi je z obou ten silnější: snáze se ověřuje a mnohem hůř se zpochybňuje.

Všechny dobré validátory prověřují tytéž důkazy. Liší se v tom, které seznamy důvěry používají, jak výsledek vysvětlují a co se děje s vaším souborem:

• Ověření podpisu PDF od swipesign: zdarma, bez účtu, soubor se zpracuje v paměti a neukládá se. Ověřuje podle důvěryhodných seznamů EU a seznamu AATL společnosti Adobe, včetně zneplatnění, časových razítek a úrovně kvalifikace, se zprávou ve srozumitelném jazyce.
• Ověření podpisu RTR (Rakousko): rakouský orgán dohledu má ze zákona povinnost nabízet bezplatnou službu pro ověřování kvalifikovaných podpisů a pečetí. Přirozená volba pro dokumenty podepsané rakouským certifikátem nebo úředním podpisem.
• Demo DSS Evropské komise: postavené na open source knihovně Komise pro ověřování, s velmi podrobnými zprávami. Komise ho prezentuje jako demonstraci pro testování, proto do něj nenahrávejte citlivé dokumenty.
• Adobe Acrobat Reader: zdarma, offline a na mnoha počítačích už nainstalovaný. Výsledek ukazuje v panelu Podpisy, podrobnosti ve vlastnostech každého podpisu.
• Swisscom Validator: pro podpisy podle švýcarského zákona o elektronickém podpisu (ZertES) to správné místo k ověření.

Ať zvolíte cokoli, ověření zabere méně než minutu. Pokud vám na podepsaném dokumentu záleží, ověřte si ho. Právě k tomu podpis slouží.

Adobe, Acrobat a Reader jsou ochranné známky nebo registrované ochranné známky společnosti Adobe Inc. v USA a/nebo dalších zemích. swipesign není se společností Adobe nijak spojen ani jí doporučován.