Verifizierbarer Signaturnachweis, ohne dem Anbieter zu vertrauen
Wie lässt sich eine elektronische Signatur überprüfen, ohne vom Anbieter abhängig zu sein? Erläuterungen zum mit Ed25519 signierten Nachweisdossier, zur PAdES-Versiegelung und zum RFC 3161-Zeitstempel.
Ein verifizierbarer Signaturnachweis, ohne dem Anbieter zu vertrauen
Wenn ein Unternehmen einen Dienst für elektronische Signaturen einführt, verlässt es sich auf den Anbieter, um die Nachweise aufzubewahren. Im Streitfall muss es häufig den Anbieter bitten, einen Export oder eine Bescheinigung bereitzustellen. Diese Abhängigkeit ist nicht immer zufriedenstellend: Was passiert, wenn der Anbieter seine Tätigkeit einstellt oder seine Server kompromittiert werden?
Es gibt eine Alternative: Ein kryptografisch signiertes Nachweisdossier, dessen öffentlicher Schlüssel veröffentlicht wird, ermöglicht es jedem, die Authentizität der Dokumente zu überprüfen, ohne dem Anbieter vertrauen zu müssen. Genau das bietet Sign-Hub.
Was ist ein verifizierbarer Signaturnachweis?
Eine elektronische Signatur soll die Integrität des Dokuments und die Zustimmung des Unterzeichners gewährleisten. Damit diese Signatur jedoch Beweiskraft hat, muss sie später überprüft werden können. Herkömmliche Lösungen liefern eine signierte PDF-Datei und ein internes Audit-Log. Dieses Log wird jedoch beim Anbieter gespeichert: Es ist für Dritte nicht direkt überprüfbar.
Ein verifizierbarer Nachweis ist eine Menge von Daten (Fingerabdrücke, Zeitstempel, Identifikatoren), die unabhängig mithilfe eines öffentlichen Schlüssels kontrolliert werden kann. So kann ein Richter, ein Sachverständiger oder ein Kunde sicherstellen, dass das Dokument nicht verändert wurde und dass die Signatur tatsächlich zu einem bestimmten Datum erfolgt ist.
Das mit Ed25519 signierte Nachweisdossier: eine Innovation von Sign-Hub
Sign-Hub zeichnet sich dadurch aus, dass es einen öffentlichen Ed25519-Schlüssel unter einer dedizierten URL veröffentlicht: https://sign-hub.newvisionofapps.fr/.well-known/sign-hub-keys.json. Dieser Schlüssel dient dazu, jedes Nachweisdossier namens proof.json zu signieren. Diese Datei enthält die Metadaten der Signatur: Datum, Uhrzeit, IP-Adresse (anonymisiert), Identifikator des Dokuments usw.
Dank dieses öffentlichen Schlüssels kann jeder eine proof.json offline mit Standardwerkzeugen oder online unter https://sign-hub.newvisionofapps.fr/verify überprüfen. Dieser Ansatz ist selten: Die meisten Akteure wie Yousign oder DocuSign stellen keinen verifizierbaren öffentlichen Schlüssel für ihre Logs bereit. Sie begnügen sich mit einem PDF-Export und einem internen Log, das für Dritte nicht verifizierbar ist.
Wie funktioniert die Verifizierung?
- Die Client-Anwendung erhält nach jeder Signatur einen mit HMAC signierten Webhook.
- Sie lädt das signierte PDF und das Nachweisdossier
proof.jsonherunter. - Sie kann dann die Signatur des Dossiers mit dem veröffentlichten öffentlichen Schlüssel überprüfen.
- Sie kann auch das PDF überprüfen, das im PAdES-Format versiegelt ist.
Diese Verifizierung erfordert keine Verbindung zum Server von Sign-Hub: Sie kann jederzeit erfolgen, selbst wenn der Dienst nicht mehr existiert. Das ist eine Garantie für die Beständigkeit Ihrer Nachweise.
Die PAdES-Versiegelung: ein verstärkter Schutz des PDF
Das von Sign-Hub signierte PDF ist im PAdES-Format (PDF Advanced Electronic Signatures) versiegelt. Dabei handelt es sich um eine europäische Norm, die festlegt, wie eine elektronische Signatur sicher in ein PDF integriert wird. Die PAdES-Versiegelung gewährleistet, dass jede spätere Änderung des Dokuments die Signatur ungültig macht.
Konkret enthält das PDF eine digitale Signatur auf Basis eines Zertifikats. Diese Signatur deckt das gesamte Dokument ab, einschließlich der Metadaten. Wenn also jemand versucht, den Inhalt zu ändern, wird die Signatur ungültig.
Der RFC 3161-Zeitstempel: ein zuverlässiges Datum
Um zu belegen, dass eine Signatur zu einem bestimmten Zeitpunkt angebracht wurde, bietet Sign-Hub optional einen RFC 3161-Zeitstempel an. Dieser Standard ermöglicht es, ein Zeitstempel-Token bei einer vertrauenswürdigen Drittbehörde zu erhalten. Dieses Token ist mit dem Fingerabdruck des Dokuments zu einem Zeitpunkt T verbunden und selbst von dieser Behörde signiert.
Selbst wenn Ihr Computer oder der Server von Sign-Hub ein falsches Datum hätte, ist der Zeitstempel maßgeblich. Das ist ein wichtiges Element im Streitfall über das Signaturdatum.
Vergleich mit den anderen Akteuren
- Yousign: bietet eine fortgeschrittene elektronische Signatur mit einem qualifizierten Zertifikat für bestimmte Angebote. Der bereitgestellte Nachweis ist jedoch hauptsächlich ein PDF und ein auf ihrer Plattform zugängliches Audit-Log. Kein veröffentlichter öffentlicher Schlüssel für eine unabhängige Verifizierung.
- DocuSign: Weltmarktführer, bietet vollständige Audit-Logs, doch die Verifizierung beruht auf dem Vertrauen in DocuSign. Kein Mechanismus für einen offenen Nachweis wie Ed25519.
- Universign: Spezialist für qualifizierte Signaturen, stützt sich auf anerkannte Zertifikate. Ihr Nachweis ist robust, hängt jedoch von der Zertifizierungsstelle ab.
Sign-Hub positioniert sich anders: Es beansprucht nicht, eine fortgeschrittene oder qualifizierte Signatur bereitzustellen, sondern bietet einen technischen Nachweis, der von allen überprüft werden kann. Diese Transparenz ist ein Vorteil für Unternehmen, die ihre Nachweise selbst kontrollieren wollen.
Grenzen, die man kennen sollte
Sign-Hub bietet eine einfache elektronische Signatur im Sinne der eIDAS-Verordnung, verstärkt durch die E-Mail-Verifizierung und die PAdES-Versiegelung. Sie ist weder fortgeschritten noch qualifiziert. Für bestimmte Verwendungen (notarielle Urkunden, öffentliche Aufträge) kann eine qualifizierte Signatur erforderlich sein. In diesem Fall muss man sich an Akteure wie Universign wenden.
Darüber hinaus wird der Dienst nur in Frankreich (Festland) und in den DROM angeboten. Die Daten werden in der Europäischen Union gehostet, was der RGPD entspricht.
Warum ändert das die Lage für Entwickler?
Für einen Entwickler bedeutet die Integration einer elektronischen Signatur oft, einer Blackbox vertrauen zu müssen. Bei Sign-Hub ist die API dokumentiert (OpenAPI 3.1), ein TypeScript-SDK wird bereitgestellt, und eine Datei llms.txt ist dafür konzipiert, von einem Code-Assistenten gelesen zu werden. Vor allem aber kann die Verifizierung der Nachweise automatisiert werden: Ein Skript kann die proof.json und das signierte PDF ohne menschliches Eingreifen überprüfen.
Fazit: ein Nachweis, der Ihnen gehört
Elektronische Signatur lässt sich nicht auf einen Klick reduzieren. Sie muss eine zuverlässige und verifizierbare Spur hinterlassen. Sign-Hub ermöglicht es Ihnen, einen vom Anbieter unabhängigen Nachweis aufzubewahren, dank der Ed25519-Signatur und des PAdES-Formats. Sie müssen Sign-Hub nicht aufs Wort glauben: Sie können jederzeit selbst überprüfen.
Testen Sie die Verifizierung selbst
Besuchen Sie die Demonstrationsseite zur Verifizierung: https://sign-hub.newvisionofapps.fr/verify. Dort können Sie ein Beispiel einer proof.json herunterladen und sie mit dem veröffentlichten öffentlichen Schlüssel überprüfen. Oder, wenn Sie Entwickler sind, verwenden Sie das TypeScript-SDK, um diese Verifizierung in Ihre eigene Anwendung zu integrieren. Das Angebot Découverte ist kostenlos für 10 Vorgänge pro Monat, ohne Verpflichtung. Testen Sie und urteilen Sie selbst.