Ověření elektronického podpisu: co znamená výsledek z EU DSS a Acrobatu

Ověření elektronického podpisu znamená v češtině dvě různé věci. Jednou je úřední legalizace, kdy úředník potvrdí, že jste listinu podepsali právě vy. Druhou je technická kontrola souboru, který vám někdo poslal: kdo ho podepsal, zda se po podpisu nezměnil a zda certifikát v okamžiku podpisu platil.

Tato stránka řeší hlavně druhý případ. Nejdřív ale krátce odpovíme těm, kdo hledají razítko na úřadě.

Ověření podpisu na úřadě, nebo kontrola souboru?

Pokud potřebujete ověřený podpis na papírové listině, jde o legalizaci a ta se dělá osobně. Podle Portálu veřejné správy ji provádějí krajské a obecní úřady, úřady městských částí, Česká pošta a Hospodářská komora ČR. Poplatek činí 50 Kč za každý podpis nebo otisk razítka; podle Prahy 11 platí od 1. 1. 2024, dříve to bylo 30 Kč.

Elektronickou obdobou je eLegalizace na Czech POINT. Vstupem musí být dokument v PDF/A, výstupem je elektronická doložka, kterou je nutné předkládat vždy spolu s dokumentem. Poplatek je opět 50 Kč za jeden podpis a službu nenabízí každé pracoviště Czech POINT.

Obojí má jedno společné: legalizací se podle Portálu veřejné správy „nepotvrzuje správnost ani pravdivost údajů“. Potvrzuje se jen totožnost toho, kdo podepsal. Pokud naopak držíte soubor .pdf, .p7s, .asice nebo .zfo a chcete vědět, zda je podpis v pořádku, pokračujte níže.

Jak ověřit elektronický podpis v EU DSS demo

Nejdostupnější nezávislou kontrolou je webové demo knihovny DSS, které provozuje Evropská komise. Odkazuje na něj i Digitální a informační agentura (DIA) ve svém návodu k ověřování kvalifikovaných certifikátů; samostatný státní validátor pro libovolné soubory jsme při rešerši nenašli.

Postup:

1. Otevřete stránku DSS webapp demo, Validate a signature.
2. Nahrajte podepsaný soubor. U odděleného podpisu (například .p7s) přidejte i původní dokument, ke kterému patří.
3. Spusťte validaci a přečtěte si zjednodušený report (Simple report). Podrobnosti najdete v reportu Detailed a v ETSI Validation reportu.

DSS zvládá formáty XAdES, CAdES, PAdES, JAdES a kontejnery ASiC-S i ASiC-E. Na webu demo nahráváte soubor na server Komise. Komise na stránce zároveň uvádí, že nechce poskytovat službu ověřování a že použití má být omezeno na „testing purposes only“, bez jakékoli odpovědnosti z její strany.

Co znamenají výsledky TOTAL-PASSED, INDETERMINATE a TOTAL_FAILED

Výsledek z DSS je jedno ze tří slov podle normy ETSI EN 319 102-1 a každé říká něco jiného. Podle dokumentace DSS:

Co výsledek neznamená:

• TOTAL-PASSED nepotvrzuje, že obsah dokumentu je pravdivý. Říká jen, že podpis technicky sedí.
• Ani zelený výsledek v demu není právní posudek, protože demo slouží k testování.
• Vypršelý certifikát sám o sobě neznamená neplatný podpis. Podle čl. 32 nařízení eIDAS se posuzuje, zda certifikát platil v okamžiku podpisu. Proto je důležité časové razítko a úrovně podpisu LT a LTA, které vkládají data potřebná ke kontrole i za několik let.

Ověření elektronického podpisu v Adobe Acrobat

U PDF s vloženým podpisem (PAdES) je nejběžnější cestou Adobe Acrobat nebo Acrobat Reader. Podle nápovědy Adobe otevřete PDF, v pravém panelu zvolíte Signatures, pak Options a Validate Signatures. Certifikát zobrazíte přes Signature Properties a Show Signer’s certificate.

Acrobat pracuje s evropským seznamem důvěryhodných služeb (EUTL), ale podle Adobe ho nekontroluje v reálném čase. Drží si místní kopii aktualizovanou „approximately monthly“; ručně ji obnovíte v Preferences, Trust Manager, EUTL, Update Now. Výsledky jsou tři:

• EU Qualified: kvalifikovaný podpis podle nařízení 910/2014, s datem poslední kontroly seznamu.
• Indeterminate: Acrobat nenašel kotvu důvěry; podle Adobe to „does not necessarily mean“, že podpis není kvalifikovaný.
• Invalid: porušený podpis, vypršelý nebo zneplatněný certifikát, neplatný řetězec nebo dokument změněný po podpisu.

Adobe k tomu sám dodává: „Where a legally binding determination is required, relying parties should use a qualified validation service.“ Acrobat tedy pomůže, ale pro právně závazný závěr doporučuje kvalifikovanou službu.

Přehled možností ověření podle typu souboru

Volba nástroje závisí na tom, co jste dostali a k čemu výsledek potřebujete. Tabulka shrnuje cesty, které uvádí naše rešerše:

Kvalifikovanou službu ověřování platnosti podpisů mají podle seznamu DIA například I.CA, Software602, SEFIRA, TECHNISERV IT nebo Seyfor.

Datová zpráva je zvláštní případ: její pravost se ověřuje proti záznamům ISDS, ne obecným validátorem. Postup popisuje stránka ověření datové zprávy ZFO.

Co ukáže stránka zfocz.com a co ne

Zde soubor otevřete a uvidíte, kdo ho podepsal nebo zapečetil; verdikt o platnosti nevydáváme. Soubor se přečte přímo ve vašem prohlížeči a nikam se nenahrává, což ocení každý, kdo nechce posílat smlouvu na cizí server.

Stránka otevře .zfo, .p7s, .p7m, XAdES, kontejnery .asice a .asics i soubory .tsd a .es3. Po bezplatném přihlášení přes Google uvidíte souhrn, první stranu náhledu, seznam souborů a panel podepisujících s údaji o certifikátu. Celý dokument, stažení a tisk jsou placené: 3,99 € za jeden dokument, nebo Pro za 7,99 € měsíčně, vše včetně DPH.

Kde nástroj některý krok kontroly nepřepočítá, výslovně uvede, že ho posoudí oficiální validátor. Hodí se tedy jako první pohled před DSS nebo Acrobatem. Co je v odděleném podpisu, vysvětluje stránka soubor P7S, kontejnerům věnujeme čtečku ASiC (.asice) a rozdíl mezi úrovněmi podpisu popisuje zaručený elektronický podpis.

Od prvního pohledu k závaznému výsledku

Ověření elektronického podpisu začíná otázkou, kdo soubor podepsal, a končí u validátoru, který rozhodne o platnosti. Chcete-li nejdřív vidět podepisujícího bez instalace, můžete otevřít podepsaný soubor přímo v prohlížeči; pro závazný závěr pak použijte EU DSS, Adobe Acrobat nebo kvalifikovanou službu.