| NAJVAŽNEJŠE NA KRATKO Ne gre le za slike: vizualna podoba podpisa na datoteki PDF nima pravne veljave – odločilno je kriptografsko potrdilo v ozadju. Trije stebri preverjanja: Pri preverjanju se vedno preverja identiteta podpisnika, pristnost dokumenta (integriteta) in veljavnost certifikata. Dejstvo EUTL: Kvalificirani elektronski podpis (QES) je po vsej Evropi 100-odstotno pravno priznan le, če je ponudnik zaupanja vrednih storitev (TSP) uvrščen na uradni seznam zaupanja vrednih ponudnikov EU (EUTL). Konkurenčna slabost ZDA: Mnoga ameriška orodja ne izpolnjujejo zahtev evropskih preverjalnih orodij (kot je državna akreditacijska služba RTR), saj ne zagotavljajo zadostne varnosti verig certifikatov. |
Uvod: Zakaj je »preverjanje« pravzaprav temelj digitalnih procesov
V mnogih podjetjih je digitalno podpisovanje pogodb že dolgo postalo standard. A medtem ko se v podpisovanje vlaga ogromno energije, ostaja v vsakdanjem poslovanju med podjetji (B2B) pogosto odprto temeljno vprašanje: kako preverjate dokumente, ki se po podpisu vrnejo v vaše podjetje?
Podjetja vsak dan izmenjujejo občutljive pogodbe – od pogodb o zaposlitvi v kadrovskem oddelku prek sporazumov z dobavitelji do obsežnih finančnih transakcij. Kdor pri tem zaupa, da je skeniran podpis ali preprosta vizualna slika kot zaznamek v datoteki PDF pravno veljavna, prevzema ogromno tveganje v zvezi s skladnostjo in odgovornostjo. Šele sistematična, kriptografska verifikacija vam daje pravno zanesljivo zagotovilo, da je vaša pogodbena stranka dejansko tista, za katero se izdaja, in da besedilo pogodbe ni bilo naknadno spremenjeno.
Tehnična anatomija: Kaj se zgodi, ko preverite digitalni podpis?
Ko preverjate digitalni podpis (na primer s programom sproof Validator, Acrobat Reader, državnimi storitvami za preverjanje, kot je Rundfunk und Telekom Regulierungs-GmbH v Avstriji, ali s specializirano programsko opremo), v ozadju poteka tristopenjski proces:
1. Preverjanje celovitosti dokumentov (primerjava hash vrednosti)
Pri podpisovanju se celotna vsebina datoteke s pomočjo algoritma stisne v edinstven digitalni odtis – tako imenovano hash vrednost. Orodje za preverjanje to hash vrednost ponovno izračuna ob odpiranju datoteke. Če se trenutna hash vrednost natančno ujema z vrednostjo, ki je bila šifrirana v trenutku podpisa, je jasno: dokument se od podpisa ni spremenil niti za en znak.
| sproof Insight v primerjavi z vodilnim ponudnikom na ameriškem trgu: sproof sign vsak podpis v trenutku podpisa neposredno in pravno veljavno kriptografsko vključi v PDF. Ameriški ponudniki, kot je DocuSign, pogosto med postopkom podpise v dokument vstavijo le kot vizualne slike, končni skupni pečat pa dodajo šele ob končnem prenosu. To naknadno otežuje orodjem za preverjanje natančno ugotoviti, kdaj je bila izvedena katera konkretna sprememba polja obrazca. |
2. Preverjanje veljavnosti digitalnega certifikata (identiteta)
Vsak napreden (FES) ali kvalificiran elektronski podpis (QES) je neločljivo povezan z digitalnim certifikatom. Ta certifikat deluje kot digitalna osebna izkaznica. Preverjalno orodje izloči metapodatke certifikata, da prebere ime podpisnika, preverjeno e-poštno naslov in izdajatelja (ponudnik zaupanja vrednih storitev, skrajšano TSP).
3. Primerjava z zaupanja vrednim seznamom Evropske unije (EUTL)
Za največjo dokazno moč na evropskem območju skrbi uredba eIDAS. Strogo regulirane panoge standardno zahtevajo kvalificirani elektronski podpis (QES), saj je le ta pravno v celoti enakovreden lastnoročnemu podpisu. Pri preverjanju QES programska oprema primerja izdajatelja QES z uradnim seznamom zaupanja vrednih izdajateljev Evropske komisije (EUTL). Če ponudnik na tem seznamu ni akreditiran, podpis izgubi status QES.
Zakaj nekateri podpisi v evropskih orodjih za preverjanje veljajo za »neveljavne«
Pogost pojav v evropskih pravnih oddelkih: pogodba, podpisana prek ameriškega orodja, se naloži na uradno preveritveno storitev RTR (Avstrija) in je takoj označena kot »neveljavna« ali »tehnično nepreverljiva«.
Za to obstaja razlog: manjkajoča akreditacija EUTL. Mnogi globalni hyperscalerji za svoje standardne podpise uporabljajo lastne verige certifikatov, ki so sicer na komercialnih seznamih (kot je Adobe Approved Trust List – AATL) označene kot »zelene«, vendar ne izpolnjujejo strogih regulativnih meril evropskih državnih nadzornih organov.
Korak za korakom: kako v praksi preveriti digitalni podpis
Za podjetja obstajajo v glavnem trije preizkušeni načini za revizijsko varno preverjanje podpisov:
- Način 1: Avtomatizirano preverjanje prek programske opreme in API-ja (za podjetja) Velike organizacije ne morejo ročno preverjati prejetih dokumentov. Tukaj pridejo v poštev moduli, kot je sproof Validate. Prek REST-API se pogodbe ob prejemu dokumentov avtomatsko skenirajo, kriptografsko preverijo in arhivirajo v vašem sistemu za upravljanje dokumentov (DMS) z nespremenljivo revizijsko sledjo (revizijskim protokolom).
- Način 2: Preverjanje veljavnosti neposredno na platformi sproof sign Če dokumente upravljate v svojem osrednjem nadzornem panelu sproof sign, zadostuje en sam klik. Preprosto premaknite miško nad kartico podpisa v urejevalniku dokumentov. Orodje vam bo takoj v prekrivnem oknu prikazalo, ali je podpis veljaven, kateri varnostni standard (EES, FES, QES) velja in kateri ponudnik zaupanja vrednih storitev je izdal certifikat.
- Način 3: Ročno preverjanje prek programa Adobe Acrobat Reader Zahvaljujoč svetovnemu standardu PAdES je mogoče podpise, ki podpirajo dolgoročno veljavnost (LTV – Long-Term Validation), preveriti tudi brez internetne povezave v programu Adobe Reader. Adobe za to uporablja vgrajene podatke o potrditvah (CRL/OCSP), da potrdi zgodovinsko veljavnost podpisa skozi desetletja.
Odpravite pravno negotovost pri upravljanju dokumentov
Avtomatizirajte svoje postopke preverjanja in zaščitite svoje podjetje pred kršitvami predpisov. S sproof Sign in sproof Validate se odločite za 100-odstotno evropsko rešitev – popolnoma brez povezave z ZDA, v celoti skladno z GDPR in certificirano po standardu ISO 27001.
Dogovorite se za nezavezujoč termin za predstavitev ali brezplačno preizkusite sproof sign
Pogosta vprašanja o tej temi
-
+–Kakšna je razlika med vizualnim podpisom in digitalnim certifikatom?Slika podpisa v datoteki PDF služi izključno kot vizualna informacija za ljudi. Pravno in tehnično zavezujoče je izključno digitalno potrdilo,… več
Slika podpisa v datoteki PDF služi izključno kot vizualna informacija za ljudi. Pravno in tehnično zavezujoče je izključno digitalno potrdilo, ki je kriptografsko vgrajeno v strojno berljive podatke dokumenta PDF. Sama slika brez potrdila kot elektronski podpis nima skoraj nobene dokazne vrednosti.
-
+–Ali je mogoče preveriti digitalni podpis, če ni internetne povezave?Da, če podpis podpira standard LTV (Long-Term Validation). Pri podpisih z aktiviranim LTV se vse potrebne informacije o preklicu certifikata… več
Da, če podpis podpira standard LTV (Long-Term Validation). Pri podpisih z aktiviranim LTV se vse potrebne informacije o preklicu certifikata vgradijo v PDF-datoteko že ob samem podpisovanju.
-
+–Kaj pomeni, če orodje za preverjanje prikaže sporočilo: »Identiteta izdajatelja ni znana«?To sporočilo se ponavadi prikaže, kadar je bil dokument podpisan z orodjem, katerega korenski certifikat ni vpisan na seznamu EUTL… več
To sporočilo se ponavadi prikaže, kadar je bil dokument podpisan z orodjem, katerega korenski certifikat ni vpisan na seznamu EUTL Evropske unije ali v lokalnem skladišču certifikatov sistema Windows/Adobe. Čeprav je celovitost dokumenta lahko neokrnjena, status pravno veljavnega »kvalificiranega elektronskega podpisa« (QES) s tem preneha veljati.
-
+–Kaj se zgodi, če se dokument po podpisu nekoliko spremeni (npr. z dodajanjem številke strani)?Takoj ko se PDF-dokument po dodajanju digitalnega podpisa spremeni, četudi le minimalno, se kriptografska veriga pečatov prekine. Vsako profesionalno orodje… več
Takoj ko se PDF-dokument po dodajanju digitalnega podpisa spremeni, četudi le minimalno, se kriptografska veriga pečatov prekine. Vsako profesionalno orodje za preverjanje takoj opozori, da je bil dokument spremenjen in da je podpis zato neveljaven. Pri sproofu je zaradi globoke vpetosti v PDF-datoteko mogoče natančno ugotoviti, ali so bile naknadno izvedene spremembe, ki niso v skladu s predpisi, in katere so te spremembe.
-
+–Kako dolgo je digitalni podpis veljaven in preverljiv?Standardnih podpisov po izteku veljavnosti osnovnega certifikata (ponavadi po 2 do 3 letih) pogosto ni več mogoče brez napak preveriti…. več
Standardnih podpisov po izteku veljavnosti osnovnega certifikata (ponavadi po 2 do 3 letih) pogosto ni več mogoče brez napak preveriti. Zato sproof sign dosledno uporablja standard LTV (Long-Term Validation). Pri tem se informacije o preklicu (kot so seznami CRL ali OCSP) v trenutku podpisa neposredno vgradijo v dokument. S tem je mogoče veljavnost podpisa preveriti tudi po desetletjih na način, ki je primeren za revizijo, in neodvisno od izdajatelja.
-
+–Ali je mogoče več digitalnih podpisov na enem dokumentu preveriti neodvisno drug od drugega?Da. Če dokument zaporedoma podpiše več oseb (zaporedni delovni tok), PDF vsebuje zgodovino tako imenovanih revizijskih stanij. Preveritveno orodje (npr…. več
Da. Če dokument zaporedoma podpiše več oseb (zaporedni delovni tok), PDF vsebuje zgodovino tako imenovanih revizijskih stanij. Preveritveno orodje (npr. sproof Validate) posamično preveri vsak podpis glede na stanje dokumenta, ki je veljalo v trenutku podpisa.
-
+–Zakaj je poročilo o pregledu (audit trail) tako pomembno za vodje za skladnost?Revizijska sled (revizijski zapis) zagotavlja popolno zgodovino celotnega postopka podpisovanja, ki je sprejemljiva v sodnem postopku. V njem je zabeleženo,… več
Revizijska sled (revizijski zapis) zagotavlja popolno zgodovino celotnega postopka podpisovanja, ki je sprejemljiva v sodnem postopku. V njem je zabeleženo, kdaj je kdo dokument pregledal, odobril in podpisal, vključno z uporabljeno metodo preverjanja (npr. dvofaktorska avtentifikacija ali kvalificirana eID). Ta protokol služi pri revizijah ali pravnih sporih kot primarni dokaz, da je bil podpis pravilno opravljen.
