Como a assinatura digital avançada em pdf funciona por conceito (no lado do receptor)?

Question

Se alguém como uma agência ou algo assim quiser que eu envie um pdf assinado com uma assinatura eletrônica avançada, o que isso significa para o destinatário?

Agora posso criar um keystore local e usar qualquer programa para assinar o pdf, mas não sei como isso prova que sou eu mesmo para o destinatário. Eu recebo uma chave hash durante a geração que é adicionada ao PDF e devo enviar a mesma chave de hash como rodapé para o email, ou devo enviar uma chave pública ou algo assim? Eu não sei qual é o conceito por trás disso?

    

Answer 1

[Divulgação: Eu trabalho para o CoSign]

Uma "assinatura eletrônica avançada" é um sinônimo para uma assinatura digital, também conhecida como assinatura digital X.509.

I could now make a local keystore and use any program to somehow sign the pdf, but I don't know how this proves that it's really me for the receiver.

No caso normal, sua organização criaria um certificado digital de raiz de longa duração (~ 10 anos) e criaria certificados digitais de assinante individual com validade de 1 ano.

Em seguida, o relying-party (o destinatário do documento) adicionaria o certificado da sua organização à sua loja de confiança. Mais tarde, ao abrir um pdf assinado por alguém da organização, a assinatura seria verificada corretamente. Na maioria dos casos, a verificação é feita por uma cópia gratuita do Adobe Reader (não do caro software Acrobat).

Como as assinaturas digitais são um padrão aberto, as assinaturas do pdf também podem ser verificadas por outro software.

A "prova" em que você assinou o documento é de dois fatores:

1. A parte confiante decidiu confiar no certificado da sua organização
2. A terceira parte confiável confia que você manteve um controle rigoroso sobre sua chave de assinatura a partir do momento em que ela foi enviada a você por sua organização.

O problema 2 significa que é uma má ideia armazenar chaves privadas em sistemas de arquivos regulares. A melhor prática é que as chaves digitais sejam armazenadas em dispositivos de criação de assinaturas seguras. (Aparelhos endurecidos ou cartões inteligentes.)

Do I get a hash key while generation which is added to the PDF and should I send the same hash key as footer into the email, or should I send a public key or something? I don't know what's the concept behind it?

As Assinaturas Eletrônicas Avançadas usam a tecnologia PKI para assinar um valor de hash que representa o documento. O resultado é armazenado em uma estrutura específica que é adicionada ao PDF. Veja o padrão ETSI PADES .

Durante a assinatura, o hash do documento é calculado pelo software de assinatura. Posteriormente, durante a verificação, o hash do documento é recalculado pelo software de verificação. O software de verificação recalcula o hash do documento para confirmar que o documento não foi alterado a partir do momento em que foi assinado.

Isso significa:

1. A assinatura é criada e adicionada ao documento PDF de uma maneira muito específica, conforme detalhado pelo padrão. Você pode usar serviços on-line, como CoSign Cloud , para criar e assinar um PDF. Ou você pode usar um appliance local . APIs também estão disponíveis. Você pode assinar um PDF usando bibliotecas de software, mas precisa se preocupar com a segurança da chave, conforme mencionado acima.

2. A confiança é estabelecida pela parte confiante que adiciona um certificado à sua loja de confiança. Como você envia o certificado para a parte confiante depende de você (e o que ele aceitará). Você pode enviá-lo em um e-mail ou armazená-lo em seu servidor da Web para que outros o façam download.