Kryptograficzna pieczęć, a nie tylko obrazek podpisu
sign.yt nie ogranicza się do wklejenia odręcznego podpisu na stronę. Każdy podpis jest osadzony w pliku jako podpis PAdES, więc każda późniejsza zmiana w dokumencie jest wykrywalna.
Osobny podpis PAdES dla każdego podpisującego
Gdy odbiorca kończy podpisywanie, sign.yt składa przyrostowy podpis PAdES z certyfikatem wystawionym dla tej osoby przez urząd certyfikacji platformy. Kolejne podpisy są dokładane jeden po drugim, więc wcześniejsze pozostają ważne.
Nowe klucze to ECDSA P-384 z SHA-384. Gdy wszyscy podpiszą, dokument zamyka końcowa pieczęć platformy.
Każdy podpisujący ma osobny wpis w panelu podpisów PDF, ze swoim imieniem i nazwiskiem oraz czasem podpisu, zamiast jednej anonimowej pieczątki dla całego dokumentu.
Zaufany czas i długoterminowa weryfikacja
sign.yt może dołączyć do każdego podpisu znacznik czasu RFC 3161 z urzędu znakowania czasem. Przy skonfigurowanym znaczniku czasu końcowa pieczęć jest rozszerzana o dane walidacyjne i znacznik czasu dokumentu (PAdES-B-LTA), dzięki czemu podpis da się sprawdzić także za wiele lat.
Bez urzędu znakowania czasem podpisy powstają na podstawowym poziomie PAdES-B-B. W obu przypadkach podpis obejmuje każdy bajt dokumentu w chwili podpisania.
Weryfikacja poza sign.yt
Podpisany plik to zwykły PDF. Adobe Acrobat Reader i inne czytniki obsługujące podpisy pokazują listę podpisów i sygnalizują każdą zmianę wprowadzoną po podpisaniu.
Każdy może też wrzucić PDF do publicznego weryfikatora sign.yt, bez zakładania konta, i sprawdzić, kto podpisał, kiedy i czy plik jest nienaruszony.
Weryfikator sprawdza, czy podpis obejmuje cały plik i czy dokument ma pieczęć platformy sign.yt. Tam, gdzie włączony jest unijny walidator DSS, pokazuje też ocenę eIDAS dla każdego podpisu.
Każdy ukończony dokument ma na certyfikacie ukończenia kod QR i krótki adres verify.sign.yt. Prowadzi on do publicznej strony z zamaskowanymi danymi podpisujących, datami podpisów, końcowym skrótem, pieczęcią i statusem kotwicy w Bitcoinie, gdzie każdy sprawdzi, czy jego kopia pliku jest identyczna.
Dowody dołączone do dokumentu
Do podpisanego PDF dołączany jest certyfikat ukończenia. Dla każdego podpisującego zawiera e-mail, metodę weryfikacji, czas wysłania, otwarcia i podpisu, adres IP i przeglądarkę oraz treść zgody zaznaczonej przed podpisem. Dowody są w samym pliku, nie tylko w naszej bazie.
Skrót końcowego PDF jest też zakotwiczany w Bitcoinie przez OpenTimestamps, a cały pakiet pobierzesz jako jeden plik ZIP z dowodami.
Jeśli podpis zostanie kiedyś zakwestionowany, wszystko masz w jednym pliku, który możesz przekazać prawnikowi, audytorowi albo sądowi. Certyfikat jest czytelny także dla osób bez wiedzy technicznej.
Najczęstsze pytania
Czy podpis w sign.yt jest wiążący prawnie?
Zgodnie z eIDAS podpisowi elektronicznemu nie można odmówić skutków prawnych tylko dlatego, że ma postać elektroniczną. Gdy przepis wymaga formy pisemnej, użyj kwalifikowanego podpisu elektronicznego od kwalifikowanego dostawcy usług zaufania. Podpis zaufany (Profil Zaufany) i podpis osobisty (e-dowód) przez Węzeł Podpisu są też dostępne tam, gdzie zostały włączone.
Czy Adobe Reader pokaże podpisy?
Tak. To standardowe podpisy PAdES widoczne w panelu podpisów. To, czy Adobe oznaczy tożsamość podpisującego jako zaufaną, zależy od jego własnej listy zaufania.
Co się stanie, jeśli ktoś zmieni PDF po podpisaniu?
Zmiana wypada poza podpisany zakres bajtów, więc czytniki PDF i weryfikator sign.yt pokażą, że dokument został zmodyfikowany.
Czy potrzebuję własnego certyfikatu?
Nie. sign.yt automatycznie wystawia certyfikaty dla podpisujących. Podpis kwalifikowany jest dostępny jako osobna metoda podpisu.
Inne funkcje
- Publiczna weryfikacja
Każdy podpisany dokument ma kod QR i krótki link do publicznej strony weryfikacji. Zamaskowane nazwiska, daty podpisów, status pieczęci i porównanie pliku.
- Profil Zaufany i podpis kwalifikowany
Podpis Profilem Zaufanym, e-dowodem lub w mObywatelu przez Węzeł Podpisu albo kwalifikowanym podpisem elektronicznym. Wszystko w jednym obiegu dokumentu.
- Dziennik audytu
Każda czynność trafia do dziennika audytu, w którym wpisy są tylko dopisywane i powiązane łańcuchem skrótów. Do PDF dołączamy certyfikat ukończenia.