Technika

Co je uvnitř podepsaného PDF

Podpis, časové razítko, auditní list a otisky. A jak si všechno ověříte sami, i bez nás.

Když podepíšou všichni, vznikne jedno PDF. Vypadá jako obyčejný dokument, ale nese v sobě několik vrstev důkazů. Tady je, co v něm najdete, a hlavně jak si to ověříte sami, bez nás.

Co v souboru je

Původní dokument beze změny, jen s vykreslenými podpisy na místech, která jste určili.
Vložený elektronický podpis za každého podepisujícího ve formátu PAdES. Certifikát je vystavený na jméno ověřené dokladem, takže Adobe Reader u každého podpisu ukáže, kdo ho udělal.
Časové razítko podle normy RFC 3161. Prokazuje, že dokument v daném znění existoval v uvedený okamžik.
Auditní list jako poslední strana: kdo podepsal, kdy, z jaké IP adresy, pod jakým ověřením totožnosti, plus otisky souboru.

Otisky (hash)

K dokumentu vedeme dva otisky SHA-256: jeden původního souboru, jeden výsledného. Otisk je krátký řetězec, který se změní, i když v souboru přepíšete jedinou čárku. Slouží jako důkaz, že soubor, který držíte v ruce, je přesně ten podepsaný.

Otisk původního souboru si můžete spočítat sami ještě předtím, než dokument nahrajete, a porovnat ho s tím, co ukazujeme:

Linux / macOS

sha256sum smlouva.pdf

Windows PowerShell

Get-FileHash smlouva.pdf -Algorithm SHA256

Jak si podpis ověříte

Nemusíte nám věřit na slovo a nemusíte k tomu ani používat naši stránku. Všechny důkazní přílohy jdou stáhnout z ověřovací stránky dokumentu a ověřit běžnými nástroji:

Podpisy vložené v PDF

pdfsig smlouva-podepsana.pdf

Záznam o úkonu podepisujícího

openssl smime -verify -inform DER -in dukaz-podpisu.p7s -CAfile podpisuj-ca.crt

Časové razítko

openssl ts -reply -in smlouva-podepsana.pdf.tsr -text

Certifikát naší certifikační autority (podpisuj-ca.crt) je ke stažení přímo na ověřovací stránce, takže si celý řetězec projdete sami.

Proč Adobe neukazuje zelenou fajfku

Certifikáty vystavuje naše vlastní certifikační autorita, která není v seznamu autorit, kterým Adobe Reader důvěřuje automaticky. Podpis se proto zobrazí i se jménem, ale bez zelené indikace důvěryhodnosti. Na platnosti podpisu to nic nemění — jen to znamená, že důvěru k naší autoritě si musí každý udělat sám, například přidáním našeho kořenového certifikátu mezi důvěryhodné, nebo prostě ověřením přes otisky a auditní list.

Souvislosti vysvětlujeme v článku Jaký podpis vystavuje Podpisuj.cz.

Ověřovací stránka

Ke každému dokumentu vede veřejná ověřovací stránka s dlouhým náhodným odkazem. Je na ní jen to nejnutnější: jména podepisujících, kdo byl ověřen, otisky a časy. E-mail, IP adresa ani identifikátor ověření tam nejsou — ty najdete jen v auditním listu uvnitř staženého PDF.

Odkaz na ověřovací stránku můžete dát komukoli, kdo si potřebuje pravost dokumentu zkontrolovat, například protistraně nebo bance.

Co když někdo soubor upraví

Pozná se to. Vložený podpis pokrývá celý obsah dokumentu, takže jakákoli změna po podpisu ho poruší. Ověření pak selže a otisk nebude souhlasit s tím, který je zaznamenaný u nás.

Podpisuj.cz je služba Wopro (Websprofiky s.r.o.). Tenhle text je informativní, nenahrazuje právní poradenství. Když si nejste jistí, jestli je elektronický podpis pro váš případ dost, zeptejte se svého právníka.