Zelena kljukica še ni dovolj: tako preverite podpisan PDF

Podpisan PDF odprite v programu, ki preverja digitalne podpise, in v podoknu s podpisi preglejte stanje vsakega podpisa, njegove lastnosti ter potrdilo podpisnika. Adobejeva navodila za Acrobat opisujejo preverjanje podpisa in odpiranje podpisnikovega potrdila.

Rezultat presodite po ločenih vprašanjih: ali se je podpisana vsebina spremenila, komu pripada potrdilo, ali programu zaupate njegovemu izdajatelju in kaj je mogoče potrditi o času podpisa. Tudi če program prikaže zeleno kljukico, ime v potrdilu primerjajte z osebo ali organizacijo, od katere ste dokument pričakovali.

Odprite podatke o vsakem podpisu

V Adobe Acrobat Readerju odprite prejeti PDF in podokno Podpisi. Če je podpisov več, razširite vsakega posebej: stanje enega podpisa ne nadomesti pregleda drugih. Imena ukazov se lahko glede na različico in jezik programa razlikujejo, zato se opirajte tudi na opis rezultata, ne samo na ikono.

1. V podoknu izberite preverjanje podpisov in preberite celotno sporočilo o stanju posameznega podpisa.
2. Odprite Lastnosti podpisa. Preverite, kaj program pove o podpisani vsebini in morebitnih spremembah po podpisu.
3. Odprite prikaz potrdila podpisnika ter preglejte imetnika, izdajatelja in obdobje veljavnosti.
4. V podatkih o podpisu preverite še, ali je prikazan čas iz podpisnikovega računalnika ali preverljiv časovni žig.

Vidna podoba podpisa na strani sama ne pokaže teh podatkov. Če v podoknu ni preverljivega digitalnega podpisa, pošiljatelja prosite za izvirno elektronsko datoteko. Posnetek zaslona ali natisnjen izvod ne omogoča enakega pregleda podpisa v PDF-ju.

Celovitost in veljavnost potrdila sta različni vprašanji

Podatek o celovitosti se nanaša na vsebino, ki jo je podpis zajel ob podpisovanju. Če program javi spremembo, v lastnostih preverite podrobnosti in podpisano različico dokumenta. Pri več podpisih bodite pozorni, kateri različici pripada posamezen podpis: poznejši dodatek v datoteki lahko spremeni prikaz stanja starejšega podpisa.

Nespremenjena vsebina še ne razreši vprašanja, ali je podpisnikovo potrdilo zaupanja vredno. Navodila Ministrstva za finance opisujejo zeleno kljukico ob veljavnem podpisu, a tudi opozorilo zaradi manjkajočega zaupanja izdajatelju SIGOV-CA ali poteka podpisnikovega potrdila, čeprav dokument ni bil spremenjen. Zato opozorila o potrdilu ne obravnavajte kot dokaz spremembe vsebine; preberite ločena rezultata preverjanja.

Podpisnika primerjajte s pričakovanim pošiljateljem

V potrdilu preberite ime imetnika oziroma organizacije in ga primerjajte s podpisnikom, ki ga pričakujete glede na dokument in postopek. Nato poglejte izdajatelja potrdila in njegovo obdobje veljavnosti. Program lahko preveri tehnično stanje podpisa, ne more pa namesto vas ugotoviti, ali je navedena oseba prava za konkretno vlogo ali dogovor.

Če se podatki ne ujemajo s pričakovanji, izvor dokumenta preverite pri organu ali podjetju po kontaktni poti, ki jo poznate neodvisno od prejetega sporočila. To je posebej koristno, kadar je dokument prišel po nepričakovani elektronski pošti: veljaven podpis pove nekaj o podpisani datoteki, ne pa samodejno o okoliščinah njenega pošiljanja.

Pri SIGOV-CA razjasnite, čemu program zaupa

Opozorilo o neznanem izdajatelju lahko pomeni, da program za preverjanje nima ustrezno nastavljene verige zaupanja. Najprej v potrdilu podpisnika preverite, kateri izdajatelj je dejansko naveden. Potrdil ne dodajajte med zaupanja vredna zgolj zato, da opozorilo izgine; pred uvozom preverite njihov uradni izvor.

Uradna stran SI-TRUST objavlja korensko potrdilo SI-TRUST Root in vmesno potrdilo SIGOV-CA. Če program za PDF potrebnega potrdila nima, ga pridobite po tej poti in upoštevajte navodila svojega programa za njegovo shrambo zaupanja. Nastavitve brskalnika in programa za PDF niso nujno iste. Po spremembi nastavitve podpis znova preverite ter preberite novo sporočilo o stanju.

Čas podpisa in opozorila preverite posebej

V lastnostih poglejte, od kod izvira prikazani čas. Čas iz ure podpisnikovega računalnika ni neodvisna potrditev trenutka podpisa. Če je dodan časovni žig, preverite tudi njegovo stanje: program lahko sporoči, da strežniku za časovne žige zaupa, da žiga ne more preveriti ali da je potrdilo izdajatelja žiga preteklo.

Čas je posebej pomemben pri starejšem podpisu s poteklim podpisnikovim potrdilom. Potek veljavnosti potrdila danes sam po sebi ne pomeni, da je bila podpisana vsebina spremenjena. Za presojo podpisa ob njegovem nastanku pa potrebujete zanesljiv podatek o času in preverljivem stanju potrdila v relevantnem trenutku; če ju program nima, negotovost ostane.

• Spremenjena vsebina: preglejte podrobnosti in podpisano različico. Če razlike ne morete pojasniti, zahtevajte izvirni podpisani PDF.
• Neznan ali nezaupanja vreden izdajatelj: preverite verigo potrdil in uradni izvor manjkajočega potrdila, nato ponovite preverjanje.
• Preteklo potrdilo: ločite rezultat preverjanja vsebine od vprašanja, ali je mogoče potrditi veljavnost potrdila ob podpisu.
• Preklica ni mogoče preveriti: preverjanje ponovite, ko ima program dostop do potrebnih podatkov. Nezmožnost preverjanja še ne potrjuje, da potrdilo ni bilo preklicano.
• Neoverjen časovni žig: preglejte opozorilo o potrdilu izdajatelja žiga in nastavitvah zaupanja. Prikazanega časa do razjasnitve ne obravnavajte kot neodvisno potrjenega.

Preberite tudi:

• E-novice končajo med vsiljeno pošto: preverite SPF, DKIM in DMARC
• Substack omogoča izvoz objav in naročnikov: tako naredite prenosno kopijo
• Prodaja delnic z izgubo ne odpravi napovedi: tako uredite Doh-KDVP