بررسی سند · امضای دیجیتال

اعتبارسنجی امضای دیجیتال PDF؛ از پیام نرم‌افزار چه می‌فهمیم؟

فروشنده یک گزارش امضاشده فرستاده و می‌گوید: «امضایش معتبر است، پس ادعای داخلش هم ثابت شده.» این نتیجه از آن بررسی به دست نمی‌آید. برای ارزیابی سند باید اعتبار امضا، اعتماد به گواهی، منبع زمان و نسخه‌ای را که امضا شده جداگانه بخوانیم؛ بعد سراغ ادعای گزارش برویم.

عکس امضا با امضای دیجیتال فرق دارد

ممکن است پایین صفحه تصویر یک امضای دستی دیده شود، ولی فایل هیچ امضای دیجیتال مبتنی بر گواهی نداشته باشد. ظاهر آن خط‌خطی یا مُهر، وجود چنین امضایی را ثابت نمی‌کند. یک کپی از فایل اصلی را با PDFخوان به‌روز و دارای قابلیت اعتبارسنجی باز کنید و پنل Signatures را ببینید. اگر چیزی در آن نیست، همین مشاهده را با نام نرم‌افزار و مشخصات فایل ثبت کنید.

نسخه‌ای را که دریافت کرده‌اید نگه دارید؛ نشانی منبع و زمان دریافتش را بنویسید. برای بررسی، کپی جدا بسازید. چاپ مجدد به PDF، ویرایش یا تبدیل فایل ممکن است همان چیزی را تغییر دهد که قرار است بررسی شود. ثبت هش فایل کمک می‌کند معلوم باشد درباره کدام نسخه صحبت می‌کنید؛ هش به‌تنهایی امضا را اعتبارسنجی نمی‌کند.

از پیام کلی به جزئیات امضا بروید

در روشی که ادوبی برای نسخه دسکتاپ Acrobat توضیح داده، پنل Signatures را باز می‌کنید و از منوی Options، گزینه Validate Signatures را می‌زنید. سپس نتیجه را در Signature Properties و مشخصات گواهی امضاکننده بررسی می‌کنید. محل منوها ممکن است در نسخه‌های مختلف فرق داشته باشد. مبنای این مراحل راهنمای رسمی اعتبارسنجی ادوبی است؛ این توضیح، ادعای آزمایش فایل شما نیست.

متن دقیق پیام و نسخه نرم‌افزار را یادداشت کنید. عبارت «سند معتبر بود» معلوم نمی‌کند چه چیزی بررسی شده است. یادداشت روشن‌تر این است: «این نرم‌افزار، این امضا را در این فایل و در این زمان معتبر گزارش کرد.» اگر سند چند امضا دارد، برای هرکدام یادداشت جدا لازم است.

پیام «اعتماد نامشخص» را جعل ترجمه نکنید

نرم‌افزار صرفاً با دیدن یک نام آشنا به گواهی اعتماد نمی‌کند. مستندات فنی امضای دیجیتال ادوبی نقش گواهی‌های مورداعتماد و نقطه اتکای اعتماد را توضیح می‌دهد. زنجیره گواهی باید به مرجعی برسد که محیط اعتبارسنجی آن را می‌پذیرد. نامی که شبیه نام یک شرکت است، جای این بررسی را نمی‌گیرد.

برای سبزشدن پیام، گواهی ناشناس را دستی به فهرست اعتماد اضافه نکنید؛ با این کار یکی از فرض‌های بررسی را عوض کرده‌اید. نتیجه نامشخص را ثبت کنید و از مسیری مستقل و شناخته‌شده، اطلاعات گواهی امضاکننده را پیگیری کنید. حتی بعد از موفقیت فنی هم باید جداگانه روشن شود امضاکننده چه سمتی داشته و آیا اختیار تأیید این موضوع را داشته است.

اگر دو رایانه پیام متفاوت نشان می‌دهند، تنظیمات و اطلاعات در دسترس آن‌ها را مقایسه کنید. در تنظیمات اعتبارسنجی ادوبی، کنترل وضعیت ابطال گواهی و زمان مبنای بررسی توضیح داده شده است. تفاوت نتیجه را با ثبت محیط بررسی توضیح دهید؛ خاموش‌کردن کنترل‌ها برای رسیدن به نتیجه دلخواه، مشکل را حل نمی‌کند.

زمانِ کدام ساعت را می‌بینید؟

مستندات مهر زمانی ادوبی بین زمان رایانه امضاکننده و زمان سرویس مهر زمانی تفاوت می‌گذارد. در جزئیات اعتبارسنجی باید مشخص شود کدام حالت رخ داده و آیا مهر زمانی قابل اعتماد گزارش شده است. تاریخی که روی خود صفحه چاپ شده، مشاهده دیگری است. قبل از قرار دادن زمان در خط رویدادها، منبعش را مشخص کنید.

گاهی بررسی آفلاین به اطلاعات کافی دسترسی ندارد. راهنمای ادوبی برای امکان اعتبارسنجی در آینده به اطلاعات گواهی، مهر زمانی و وضعیت ابطال اشاره می‌کند. کمبود اطلاعات را محدودیت بررسی بنویسید؛ از آن نتیجه نگیرید که امضا حتماً جعلی است. هنگام پیگیری هم نسخه دریافت‌شده را دست‌نخورده نگه دارید.

آیا امضا همین نسخه‌ای را پوشش می‌دهد که می‌خوانید؟

PDF می‌تواند چند نسخه امضاشده در خود داشته باشد. پیش از نسبت‌دادن همه مطالب فعلی به یک امضا، رابطه آن امضا با نسخه فعلی را بررسی کنید. ادوبی برای امضای انتخاب‌شده، گزینه Compare Signed Version to Current Version را در منوی Options معرفی کرده است. جزئیات مسیر در راهنمای مقایسه نسخه امضاشده آمده است.

بعد از پیدا کردن تفاوت‌ها، معنای آن‌ها را بخوانید. صرف تغییر، دلیل دست‌کاری مخرب نیست؛ از سوی دیگر، موفقیت اعتبارسنجی هم به‌تنهایی تأیید یک پیوست بعدی توسط امضاکننده قبلی را ثابت نمی‌کند. اگر ابزار نتوانست محدوده را روشن کند، آن را حل‌نشده ثبت کنید. برای مقایسه متن و ظاهر دو فایل مستقل، روش مقایسه نسخه‌های PDF کاربرد دیگری دارد.

یک تمرین فرضی: گزارش بازرسی و ادعای تحویل کالا

فرض کنید گزارش بازرسی تأمین‌کننده امضا شده، اما بعداً پیوستی درباره تحویل کالا به آن اضافه شده است. این مثال آموزشی و ساختگی است و به پرونده مشتری واقعی مربوط نیست. در یادداشت فرضی شما، نرم‌افزار یک امضا را معتبر گزارش می‌کند، زنجیره گواهی را می‌پذیرد و نسخه مربوط به آن امضا را گزارش قبل از اضافه‌شدن پیوست نشان می‌دهد.

تأمین‌کننده می‌گوید همان امضا تحویل کالا را ثابت می‌کند. برای پذیرفتن این حرف، دو فاصله باقی است: امضای نسخه قبلی، تأیید پیوست بعدی را نشان نمی‌دهد؛ علاوه بر آن، حتی اگر خودِ جمله تحویل هم امضا شده بود، وقوع تحویل در دنیای واقعی به شاهد مناسب نیاز داشت.

پس می‌توان نوشت: «امضای نسخه پیشین گزارش بازرسی در نرم‌افزار معتبر شناخته شد. ادعای تحویل در پیوست بعدی آمده و با این نتیجه اعتبارسنجی اثبات نمی‌شود. دریافت کالا هنوز تأیید نشده است.» این جمله هم نتیجه واقعی بررسی را منتقل می‌کند و هم بی‌دلیل کسی را به جعل متهم نمی‌کند.

خروجی بررسی را قابل پیگیری کنید

کنار فایل اصلی، یادداشتی کوتاه نگه دارید: هش و منبع فایل، زمان دریافت، نام و نسخه نرم‌افزار، زمان بررسی، مشخصات هر امضا، متن دقیق وضعیت، صادرکننده گواهی، منبع زمان، نسخه امضاشده و پرسش‌هایی که باز مانده‌اند. تصویر پنل برای توضیح مفید است، اما جای فایل و یادداشت قابل‌خواندن را نمی‌گیرد.

اگر قرار است درباره سازمان صادرکننده یا ادعای سند تحقیق بیشتری انجام شود، با راهنمای نوشتن شرح تحقیق اوسینت جت سؤال را دقیق کنید: «آیا این گزارش، تحویل کالا در این تاریخ را پشتیبانی می‌کند؟» چنین سؤالی مسیر تحقیق می‌سازد؛ «هشدار امضا را سبز کنید» هدف تحقیق نیست.