PDF-Signatur überprüfen

Laden Sie die PDF hoch, und die Überprüfung startet von selbst. Für jede Signatur bildet das Werkzeug den Hash der von der Signatur abgedeckten Bytes, vergleicht ihn mit dem in der Signatur gespeicherten Digest und prüft dann die Signatur anhand des öffentlichen Schlüssels des Unterzeichners. Jede Änderung an den abgedeckten Bytes setzt den Status auf Ungültig, mit dem auf der Karte angezeigten Grund. Jede Signatur in der Datei erhält ihre eigene Karte, und die Zusammenfassung oben zählt, wie viele gefunden wurden.

Gültig bedeutet, dass die Signatur kryptografisch überprüft wurde, die ganze Datei abdeckt und einen sicheren Digest verwendet. Ungültig bedeutet, dass die Prüfung lief und fehlschlug, zum Beispiel weil sich die Bytes geändert haben oder der Schlüssel nicht passt. Nicht verifiziert bedeutet, dass die Signatur einen Algorithmus verwendet, den das Werkzeug nicht prüfen kann, etwa Ed25519 oder SM2. Bestätigen Sie sie daher in Adobe Acrobat oder mit openssl, bevor Sie sich darauf verlassen.

RSA mit PKCS#1-v1.5-Padding, RSA-PSS und ECDSA auf den Kurven P-256, P-384 und P-521, mit SHA-224-, SHA-256-, SHA-384- oder SHA-512-Digests. Signaturen mit MD5- oder SHA-1-Hash werden mit dem Status Unsicherer Digest markiert und nie als gültig gemeldet, da für beide Algorithmen veröffentlichte Kollisionsangriffe existieren.

Das Werkzeug hat keine eingebaute Liste von Zertifizierungsstellen, es kann daher allein bestätigen, dass die Signatur intakt ist, nicht aber, wer hinter dem Zertifikat steht. Laden Sie das Root- oder Zwischenzertifikat Ihrer Organisation als .pem-, .crt-, .cer- oder .der-Datei hoch, und die Prüfung läuft erneut: Signaturen, deren Zertifikat damit übereinstimmt oder darauf zurückführt, erhalten ein Abzeichen Vertrauenswürdig, und die Zusammenfassung zählt sie als gültig.

Es bedeutet, dass nach dem Anbringen dieser Signatur Bytes angehängt wurden. Der signierte Teil ist weiterhin intakt, das Werkzeug zeigt daher eine Warnung Nach dem Signieren geändert, statt die Signatur als ungültig zu markieren. Das ist für sich genommen kein Beweis für Manipulation: Eine zweite Signatur oder ein inkrementelles Speichern führt zum selben Ergebnis, und nur die zuletzt hinzugefügte Signatur kann die gesamte Datei abdecken. Sehen Sie es als Anlass, sich anzuschauen, was hinzugefügt wurde.

Nein. Das Werkzeug prüft die Gültigkeitsdaten des Zertifikats, die Vertrauenskette anhand eines von Ihnen bereitgestellten Zertifikats und die kryptografische Integrität der Signatur, fragt aber keine OCSP-Responder oder Zertifikatssperrlisten ab. Für eine Widerrufsprüfung verifizieren Sie die Datei in einem Desktop-Werkzeug mit Netzwerkzugang.

Der Ablauf wird anhand des heutigen Datums beurteilt, ein Zertifikat, das nun über sein Datum Gültig bis hinaus ist, zeigt also den Status Zertifikat abgelaufen und wird in der Zusammenfassung nicht als gültig gezählt, auch wenn die Signatur selbst stimmt. Vergleichen Sie die Zeit Signiert am mit den Daten Gültig ab und Gültig bis auf der Karte, um zu sehen, ob das Zertifikat beim Signieren aktuell war.

Nein. Das Parsen der Signaturen und die kryptografischen Prüfungen laufen in Ihrem Browser mit node-forge und der Web Crypto API, sodass das Dokument und jedes hinzugefügte Zertifikat auf Ihrem Gerät bleiben.