Ako overím elektronický podpis? Zrozumiteľný sprievodca validátormi.

Vlastnoručný podpis od vás žiada, aby ste mu dôverovali. Elektronický podpis vám umožní overiť si ho. V tom je celý rozdiel, a preto každý seriózny elektronický podpis prináša všetko, čo cudzí človek potrebuje na jeho overenie, bez toho, aby sa musel pýtať podpisujúceho, odosielateľa alebo poskytovateľa, ktorý podpis vytvoril.

Potrebujem platený softvér? Nie. Overenie podpisu je bezplatné. Peniaze stojí podpisovanie, pretože poskytovateľ dôveryhodných služieb musí overovať totožnosť a ručiť za svoje certifikáty. Overenie len prečíta to, čo už v súbore je.

Potrebujem Adobe Acrobat? Nie. Bezplatný Adobe Acrobat Reader overuje podpisy spoľahlivo a je jednou z viacerých možností. Webový validátor funguje v každom prehliadači, na každom zariadení, a mnohé zrozumiteľne vysvetlia každý krok kontroly.

Máte teda tri cesty, od najrýchlejšej po najformálnejšiu:

• Online validátor. Nahrajte PDF a prečítajte si správu. Náš nástroj je bezplatné overenie podpisu PDF: bez účtu a súbor sa neukladá.
• Adobe Acrobat Reader. Otvorte PDF a pozrite sa do panela Podpisy. Každý krok vysvetľujeme v článku Kontrola podpisu v Adobe Readeri.
• Kvalifikovaná validačná služba. Ak potrebujete výsledok, ktorý má sám právnu váhu, napríklad pre súd alebo úrad, niektorí poskytovatelia dôveryhodných služieb ponúkajú overovanie ako kvalifikovanú službu podľa eIDAS.

Podpis sa dá overiť iba vtedy, ak si so sebou prináša vlastné dôkazy. Predstavte si voskovú pečať na liste, k nemu pripojenú overenú kópiu občianskeho preukazu odosielateľa a poštovú pečiatku s dátumom. Moderný elektronický podpis má všetky tri, v digitálnej podobe:

1. 1
   Odtlačok dokumentu

   Podpisový softvér najprv vypočíta hash: krátku hodnotu odvodenú z každého bajtu súboru. Stačí zmeniť jedinú čiarku a odtlačok bude úplne iný.

2. 2
   Pečať nad týmto odtlačkom

   Odtlačok sa potom zapečatí súkromným kľúčom podpisujúceho, kľúčom, ktorý má pod kontrolou iba on. Pečať otvorí ktokoľvek pomocou zodpovedajúceho verejného kľúča, no bez súkromného kľúča ju nikto nesfalšuje.

3. 3
   Certifikát, ktorý menuje podpisujúceho

   Verejný kľúč je súčasťou certifikátu: digitálneho preukazu totožnosti, ktorý vydá poskytovateľ dôveryhodných služieb po overení totožnosti podpisujúceho. Poskytovateľ certifikát sám podpíše, takže sa dá vystopovať až k jeho zdroju.

4. 4
   Časová pečiatka z nezávislých hodín

   Autorita časových pečiatok potvrdí, kedy podpis existoval. Bez nej pochádza čas z počítača podpisujúceho, a ten si ktokoľvek nastaví na ľubovoľný dátum.

5. 5
   Dôkaz na neskôr

   Pri dlhodobom overovaní (LTV) súbor uchováva aj certifikáty a odpovede o zrušení, ktoré platili v čase podpisu, takže podpis sa dá overiť aj vtedy, keď sú tieto certifikáty dávno po platnosti.

V PDF je to všetko priamo v súbore, v otvorenom európskom štandarde PAdES. Preto ho prečíta akýkoľvek validátor: nie ste závislí od softvéru, ba ani od firmy, ktorá podpis vytvorila.

Validátor je program, ktorý prečíta dôkazy v súbore a každý z nich preverí. Neverí tomu, čo o sebe dokument tvrdí: prepočítava, sleduje a pýta sa. V poradí, v akom postupuje dobrý validátor:

1. 1
   Znova vypočíta odtlačok

   Validátor znova vypočíta hash dokumentu a porovná ho s tým, ktorý je uložený v podpise. Ak sa zhodujú, od podpisu sa nezmenil ani jediný bit.

2. 2
   Otvorí pečať

   Pomocou verejného kľúča z certifikátu overí, že pečať naozaj vznikla zodpovedajúcim súkromným kľúčom.

3. 3
   Prejde reťazcom certifikátov

   Sleduje certifikát cez jeho vydavateľov až ku koreňovému certifikátu, ktorému dôveruje, spravidla k takému z dôveryhodných zoznamov EÚ alebo z Adobe AATL.

4. 4
   Overí zrušenie

   Opýta sa vydavateľa, či bol certifikát zrušený, a odpoveď porovná s okamihom podpisu.

5. 5
   Potvrdí čas

   Skontroluje časovú pečiatku, aby otázka „platný kedy?“ mala odpoveď, ktorá nezávisí od niečieho slova.

6. 6
   Určí úroveň

   Na základe certifikátu a dôveryhodných zoznamov vám povie, či je podpis kvalifikovaný (QES), zaručený (AdES) alebo ani jedno.

Dôveryhodné zoznamy EÚ si zaslúžia pár slov. Každý členský štát zverejňuje oficiálny, podpísaný zoznam poskytovateľov dôveryhodných služieb, nad ktorými vykonáva dohľad, a Európska komisia ich všetky prepája v jednom zozname zoznamov. Keď validátor povie „kvalifikovaný“, overil si to práve tu: nie v marketingu poskytovateľa, ale v registri, ktorý vedú orgány dohľadu.

Certifikát sa dá zrušiť ešte pred uplynutím jeho platnosti, podobne ako platobná karta, ktorú nahlásite ako stratenú. Možno bol kľúč kompromitovaný, človek odišiel z firmy alebo boli údaje v certifikáte nesprávne. Vydavateľ ho potom zruší a od tej chvíle by sa už nemal používať na podpisovanie.

Validátory to zisťujú jedným z dvoch spôsobov:

• Zoznam zrušených certifikátov (CRL). Vydavateľ pravidelne zverejňuje podpísaný zoznam všetkých certifikátov, ktoré zrušil. Validátor si ho stiahne a hľadá v ňom príslušný certifikát.
• Živý dopyt (OCSP). Validátor sa vydavateľa priamo opýta na jeden certifikát a dostane podpísanú odpoveď: platný, zrušený alebo neznámy. Ak je zrušený, odpoveď uvádza aj kedy.

Rozhoduje práve to „kedy“. Certifikát zrušený po vytvorení podpisu tento podpis neruší: v deň podpisu bol certifikát v poriadku. Certifikát zrušený pred podpisom je iný príbeh. Práve preto má časová pečiatka takú cenu: bez dôveryhodného času nikto nevie povedať, na ktorej strane zrušenia podpis leží.

Väčšina validátorov zhrnie svoje zistenia do jednej z troch odpovedí. Každá hovorí niečo presné, a niečo nehovorí:

Pre každý validátor platí jedno obmedzenie: overuje podpis, nie obchod. „Platný“ vám povie, kto podpísal, čo podpísal a kedy. Nepovie vám, či je obsah pravdivý, ani či bol podpisujúci oprávnený zaväzovať svoju firmu. To zostáva na vás, alebo na vašom advokátovi.

Láka vnímať elektronický podpis ako pohodlnú náhradu toho skutočného. Technicky je to naopak. Podpis atramentom dokazuje prekvapivo málo, a aj to len s pomocou znalca.

Právo z toho vyvodilo svoj záver. Podľa článku 25 ods. 2 nariadenia eIDAS má kvalifikovaný elektronický podpis v každom členskom štáte EÚ rovnaký právny účinok ako vlastnoručný podpis. V praxi je z oboch silnejší: ľahšie sa overuje a oveľa ťažšie sa spochybňuje.

Všetky dobré validátory preverujú tie isté dôkazy. Líšia sa v tom, ktoré zoznamy dôvery používajú, ako vysvetľujú výsledok a čo sa stane s vaším súborom:

• Overenie podpisu PDF od swipesign: bezplatné, bez účtu, súbor sa spracuje v pamäti a neukladá sa. Overuje podľa dôveryhodných zoznamov EÚ a Adobe AATL, vrátane zrušenia, časových pečiatok a úrovne kvalifikácie, so správou v zrozumiteľnom jazyku.
• Overenie podpisu RTR (Rakúsko): rakúsky orgán dohľadu musí zo zákona ponúkať bezplatnú službu na overovanie kvalifikovaných podpisov a pečatí. Prirodzená voľba pre dokumenty podpísané rakúskym certifikátom alebo úradným podpisom.
• Demo DSS Európskej komisie: postavené na open source validačnej knižnici Komisie, s veľmi podrobnými správami. Komisia ho prezentuje ako ukážku na testovanie, preto doň nenahrávajte citlivé dokumenty.
• Adobe Acrobat Reader: bezplatný, funguje offline a na mnohých počítačoch je už nainštalovaný. Výsledok zobrazuje v paneli Podpisy, podrobnosti vo vlastnostiach každého podpisu.
• Swisscom Validator: pre podpisy podľa švajčiarskeho zákona o elektronickom podpise (ZertES) to správne miesto na overenie.

Nech si vyberiete ktorýkoľvek, kontrola trvá menej než minútu. Ak vám na podpísanom dokumente záleží, overte si ho. Presne na to podpis je.

Adobe, Acrobat a Reader sú ochranné známky alebo registrované ochranné známky spoločnosti Adobe Inc. v USA a/alebo iných krajinách. swipesign nie je so spoločnosťou Adobe nijako prepojený ani ňou odporúčaný.