Jak ověřit pravost elektronického dokumentu

[dqd]

Při interakci s cizí soukromou osobou, typicky v rámci prodeje nebo nákupu zbraně či střeliva, někdy potřebujeme zjistit pravost nějakého elektronického (digitálního) dokumentu, typicky zbrojního listu vydaného ve formátu PDF. Zbrojní list se používá na prokázání držení oprávnění a zbraní, a to v kombinaci s předložením průkazu totožnosti. Můžeme tak provést transakci bez nutnosti používat papírové dokumenty.

Pravost dokumentu zaručuje elektronický podpis, který musí být vydán oficiální certifikační autoritou. Podpisy pracovníků Policie ČR vydává certifikační autorita PostSignum, podpisy automatických systémů vydává Národní certifikační autorita. Naším úkolem je tedy zjistit, že dokument nebyl pozměněn, elektronický podpis je pravý, a že ho vydala správná certifikační autorita.

Zbrojní list v elektronické podobě je obvykle podepsán subjektem s názvem Policie České republiky - kvalifikovaná pečeť, Praha, Policie České republiky a vystavitelem certifikátu je Správa státních služeb vytvářejících důvěru.

Ověření přes webovou aplikaci

Univerzální řešení je využít službu ověřování dokumentů Úschovny systému Czech POINT.

Z menu webové stránky klikneme na položku Ověřit dokument a přejdeme na odkaz Autorizovaná konverze:

Otevře se nám formulář s tlačítkem Vložit dokument, pomocí kterého nahrajeme soubor k ověření:

Následně spustíme pomocí tlačítka Ověřit možnost autorizované konverze proces ověřování:

Poté ve výpisu vidíme výsledek ověření pravosti elektronického podpisu:

Zbývá nám teď pouze zkontrolovat platnost údajů.

V našem případě podpis vydala pověřená osoba (referentka KŘP Jihomoravského kraje) a podpis je platný a byl vystaven správnou certifikační autoritou (zde vidíme, že to je PostSignum Qualified CA). Navíc je označen časovým razítkem, které potvrzuje čas vzniku dokumentu.

Oproti tomu v situaci, kdy dokument není opatřen elektronickým podpisem nebo do něj bylo zasahováno, se zobrazí chybová hláška:

Takový dokument bychom neměli přijmout.

Ověření přes program Acrobat Reader

Pokud máte na svém zařízení nainstalován program Adobe Acrobat Reader, jednoduše otevřete daný soubor, klikněte v nástrojové liště na symbol podpisu a otevřete detail elektronického podpisu pro získání podrobných informací:

Podobně jako u webové aplikace musíme zkontrolovat, že elektronický podpis je v pořádku. Zejména, že se jedná o kvalifikovaný elektronický podpis od důvěryhodné certifikační autority patřící do EUTL.

[GeorgeM]

Ověření přes program Acrobat Reader může být falešně negativní. Pokud například uplyne platnost podpisu dokumentu, objeví se:

Po kontrole téhož dokumentu přes Czech Point se ukáže:

Je to způsobeno obnovením platnosti certifikátu. K této informaci nemá Acrobat přístup. Podobně zřejmě může po revokaci certifikátu dojít k falešně pozitivnímu ověření pravosti v Acrobatu. Proto bych přednostně doporučoval ověřování přes Czech POINT.

[dqd]

Díky za užitečné doplnění.

[dan]

@GeorgeM

Je to způsobeno obnovením platnosti certifikátu. K této informaci nemá Acrobat přístup.

Tohle vlakno mi uplne uniklo. Prestoze od napsani tohohle prispevku a posledni aktivite v tomto vlaknu uplynulo uz pul roku, jako odbornikovi na bezpecnost mi to neda a musim uvest tento omyl na pravou miru.

Nic takoveho jako „obnoveni platnosti certifikatu“ neexistuje. Konec platnosti certifikatu je pevne stanoven v okamziku jeho podepsani autoritou. Expirovany certifikat zustava uz navzdy expirovany a misto nej se zacne pouzivat novy, jiny.

Kouzlo, ktere umoznuje spravne napsanym aplikacim (coz neni Adobe Acrobat Reader) vyhodnotit historicky podpis jako platny je v tom, ze platnost podpisu je treba zkoumat k okamziku, kdy byl dokument podepsan, nikolik dnesnimu datu. To je slozitejsi nez to zni, jednak musi byt ten okamzik duveryhodne znam (takze dokument musi mit duveryhodne casove razitko), druhak nestaci porovnat tento cas s casem konce platnosti certifikatu, jeste je treba zjistit, ze certifikat nebyl v okamziku podpisu revokovan. A to uz vubec neni jednoduche. Detailni vysvetleni presahuje ucel tohoto prispevku. Zustanme u toho, ze Adobe Acrobat to nedela spravne, v tom byla informace presna a je lepsi pouzivat Czech POINT.

Doplnim jen, ze overitelnost podpisu na dokumentu je casove omezena. Vetsinou na pet let, i kdyz to nekdy muze byt i dele. Czech POINT ale nerekne kolik casu jeste zbyva. Jednoho dne proste prohlasi, ze podpis nelze overit a dokument zkonvertovat.

Lhuta (obvykle) peti let bezi od posledniho casoveho razitka, ktere v dokumentu je. Beh lhuty lze „zresetovat“ pridanim dalsiho duveryhodneho casoveho razitka. Nektere komercni nastroje datum nejzazsi overitelnosti zobrazuji (zde dokument, kde lhuta byla jiz jednou zresetovana):