Πώς λειτουργεί μια ηλεκτρονική υπογραφή;

Η γενική αρχή

Μια ηλεκτρονική υπογραφή δεν είναι μια εικόνα. Είναι μια κρυπτογραφική διαδικασία που συνδέει τέσσερα αδιαχώριστα στοιχεία: το έγγραφο, την ταυτότητα του υπογράφοντος, τη στιγμή της υπογραφής και μια τεχνική απόδειξη ότι τίποτα δεν τροποποιήθηκε στη συνέχεια.

Αυτή η διαδικασία στηρίζεται σε δύο πυλώνες: την εξακρίβωση ταυτότητας του υπογράφοντος και την ακεραιότητα του εγγράφου.

Βήμα 1: εξακρίβωση της ταυτότητας του υπογράφοντος

Η εξακρίβωση ταυτότητας συνίσταται στη δημιουργία ενός δεσμού μεταξύ του προσώπου που θέτει την υπογραφή του και μιας επαληθεύσιμης ταυτότητας. Υπάρχουν πολλές τεχνικές, οι οποίες μπορούν να συνδυαστούν:

• Αξιόπιστη διεύθυνση email: αποστέλλεται ένας μοναδικός σύνδεσμος. Μόνο ο κάτοχος του email μπορεί να κάνει κλικ και να υπογράψει.
• Κωδικός OTP (One-Time Password): αποστέλλεται ένας κωδικός μίας χρήσης μέσω SMS. Ο υπογράφων τον πληκτρολογεί για να αποδείξει ότι κατέχει πράγματι τον συνδεδεμένο αριθμό τηλεφώνου.
• Προσωπικό πιστοποιητικό: για την ποιοτική ηλεκτρονική υπογραφή, ένα πιστοποιητικό που εκδίδεται από έναν εγκεκριμένο πάροχο αποδεικνύει την ταυτότητα του υπογράφοντος.

Το επίπεδο απαιτήσεων ποικίλλει ανάλογα με το επίπεδο υπογραφής που επιδιώκεται — δείτε τις διαφορές μεταξύ επιπέδων.

Βήμα 2: υπολογισμός του κρυπτογραφικού αποτυπώματος

Πριν από την υπογραφή, η πλατφόρμα υπολογίζει ένα αποτύπωμα (hash) του εγγράφου. Πρόκειται για μια μοναδική ακολουθία χαρακτήρων που αντιπροσωπεύει το περιεχόμενο του αρχείου. Οποιαδήποτε τροποποίηση, ακόμη και ενός μόνο χαρακτήρα, παράγει ένα εντελώς διαφορετικό αποτύπωμα.

Το αποτύπωμα είναι σαν ένα ψηφιακό δακτυλικό αποτύπωμα του αρχείου: είναι μικρό (μερικές δεκάδες byte) αλλά εγγυάται την ακεραιότητα. Αν κάποιος τροποποιήσει το έγγραφο μετά την υπογραφή, το αποτύπωμα δεν αντιστοιχεί πλέον — η υπογραφή ακυρώνεται.

Βήμα 3: σύνδεση ταυτότητας και αποτυπώματος

Η πλατφόρμα κρυπτογραφεί το αποτύπωμα με ένα κρυπτογραφικό κλειδί συνδεδεμένο με την ταυτότητα του υπογράφοντος (μέσω του PKI για την ποιοτική ηλεκτρονική υπογραφή, ή μέσω της πλατφόρμας για την απλή/προηγμένη υπογραφή). Το αποτέλεσμα είναι το διακριτικό υπογραφής: ένα ψηφιακό αντικείμενο που περιέχει ταυτόχρονα:

• το αποτύπωμα του εγγράφου
• το αναγνωριστικό του υπογράφοντος
• την ακριβή χρονοσήμανση
• την ίδια την κρυπτογραφική υπογραφή

Αυτό το διακριτικό ενσωματώνεται στο τελικό PDF σύμφωνα με τη μορφή PAdES (PDF Advanced Electronic Signatures), ένα ευρωπαϊκό πρότυπο. Στην πράξη, όταν ανοίγετε ένα υπογεγραμμένο PDF στο Adobe Acrobat Reader, ο αναγνώστης επαληθεύει αυτόματα το διακριτικό και εμφανίζει "Έγκυρη υπογραφή" εφόσον όλα ταιριάζουν.

Βήμα 4: χρονοσήμανση

Η χρονοσήμανση συνδέει την υπογραφή με μια ακριβή και επαληθεύσιμη χρονική στιγμή. Ένα ποιοτικό χρονοσήμανσμα που εκδίδεται από έναν έμπιστο πάροχο παρέχει νομική απόδειξη ότι το έγγραφο υπήρχε πράγματι σε αυτή την ημερομηνία — καθοριστικό επιχείρημα σε περίπτωση αμφισβήτησης της ημερομηνίας δέσμευσης.

Δείτε ηλεκτρονική χρονοσήμανση για να κατανοήσετε τον ρόλο και τα επίπεδα χρονοσήμανσης.

Βήμα 5: καταγραφή στο ίχνος ελέγχου

Σε κάθε στάδιο του κύκλου υπογραφής, η πλατφόρμα καταγράφει ένα χρονοσημασμένο συμβάν:

• αποστολή του φακέλου
• άνοιγμα από τον υπογράφοντα (με IP και user-agent)
• εισαγωγή του OTP
• πραγματική υπογραφή
• ενδεχόμενη άρνηση
• λήξη προθεσμίας

Το σύνολο συνιστά το ίχνος ελέγχου (audit trail). Είναι η επιχειρησιακή απόδειξη της διαδικασίας. Ενσωματώνεται στο τελικό PDF και διατηρείται για 10 έτη. Δείτε απόδειξη ηλεκτρονικής υπογραφής.

Τι συμβαίνει στην πράξη από την πλευρά του υπογράφοντος

Από την οπτική γωνία του υπογράφοντος, η εμπειρία είναι ελάχιστη:

1. Λαμβάνει ένα email με έναν σύνδεσμο.
2. Κάνει κλικ και ανοίγει το έγγραφο στο πρόγραμμα περιήγησής του.
3. Το διαβάζει και στη συνέχεια κάνει κλικ στο "Υπογραφή".
4. Για την προηγμένη υπογραφή: πληκτρολογεί έναν κωδικό SMS που έλαβε στο τηλέφωνό του.
5. Ολοκληρώθηκε. Λαμβάνει ένα αντίγραφο του υπογεγραμμένου PDF.

Χωρίς λογαριασμό προς δημιουργία, χωρίς εφαρμογή προς εγκατάσταση, χωρίς πιστοποιητικό προς δημιουργία (εκτός από την ποιοτική υπογραφή). Όλα γίνονται σε 1 έως 3 λεπτά.

Τι συμβαίνει από την πλευρά του αποστολέα

Ο αποστολέας διαχειρίζεται τη διαδικασία από τον πίνακα ελέγχου του:

• μεταφόρτωση του εγγράφου (PDF, αυτόματη μετατροπή εάν είναι Word)
• προσθήκη παραληπτών και τοποθέτηση των πεδίων υπογραφής
• επιλογή του επιπέδου υπογραφής και της σειράς (παράλληλη ή διαδοχική)
• ρύθμιση αυτόματων υπενθυμίσεων και της ημερομηνίας λήξης
• αποστολή

Σε πραγματικό χρόνο, βλέπει κάθε φάκελο να περνά από την κατάσταση "απεσταλμένο" σε "ανοιγμένο" σε "υπογεγραμμένο". Webhooks ή push ειδοποιήσεις μπορούν να μεταφέρουν αυτά τα συμβάντα σε ένα CRM ή ένα σύστημα διαχείρισης ανθρώπινου δυναμικού.

Γιατί η ηλεκτρονική υπογραφή είναι δύσκολο να πλαστογραφηθεί

• Κρυπτογραφικό αποτύπωμα: κάθε τροποποίηση ακυρώνει την υπογραφή
• Ισχυρή εξακρίβωση ταυτότητας: χωρίς πρόσβαση ταυτόχρονα στο email ΚΑΙ στο τηλέφωνο (για την προηγμένη υπογραφή), είναι αδύνατο να υποδυθεί κανείς τον υπογράφοντα
• Χρονοσημασμένο ίχνος ελέγχου: κάθε στάδιο καταγράφεται με IP και user-agent
• Κρυπτογραφικά κλειδιά: το ιδιωτικό κλειδί του υπογράφοντος (ποιοτική υπογραφή) δεν εγκαταλείπει ποτέ τη φυσική του συσκευή
• Αρχειοθέτηση 10 ετών: η απόδειξη παραμένει διαθέσιμη πολύ καιρό μετά την υπογραφή

Πώς σας βοηθά η Certyneo

Στην Certyneo, ολόκληρη η κρυπτογραφική διαδικασία εκτελείται στο backend σε ευρωπαϊκούς διακομιστές (Γερμανία, IONOS): μεταφόρτωση του PDF, υπολογισμός hash SHA-256, ενσωμάτωση του διακριτικού PAdES, χρονοσήμανση, αποθήκευση του ίχνους ελέγχου σε μια κρυπτογραφημένη βάση δεδομένων PostgreSQL. Απολαμβάνετε μια διαδικασία σύμφωνη με τον κανονισμό eIDAS χωρίς να χρειάζεται να κατανοήσετε τις τεχνικές λεπτομέρειες.

Ανακαλύψτε τη λύση ηλεκτρονικής υπογραφής της Certyneo

Συχνές ερωτήσεις

Μπορώ να επαληθεύσω μια υπογραφή χωρίς την πλατφόρμα που την εξέδωσε;

Ναι. Ένα PDF υπογεγραμμένο σε μορφή PAdES μπορεί να επαληθευτεί από οποιονδήποτε συμβατό αναγνώστη PDF (Adobe Reader, pdfsig κ.λπ.). Ακόμη κι αν η πλατφόρμα έκδοσης εξαφανιστεί, η υπογραφή παραμένει επαληθεύσιμη.

Τι συμβαίνει αν τροποποιήσω το PDF μετά την υπογραφή;

Η υπογραφή καθίσταται άκυρη. Ο αναγνώστης PDF εμφανίζει μια προειδοποίηση "Το έγγραφο έχει τροποποιηθεί από την υπογραφή" και το αποτύπωμα δεν αντιστοιχεί πλέον.

Ποια είναι η διάρκεια ισχύος μιας ηλεκτρονικής υπογραφής;

Η υπογραφή παραμένει έγκυρη εφόσον οι χρησιμοποιούμενοι κρυπτογραφικοί αλγόριθμοι παραμένουν έγκυροι. Για να διασφαλιστεί μακροπρόθεσμη ισχύς, χρησιμοποιούνται μορφές PAdES-LTA (Long Term Archive) που ενσωματώνουν ποιοτικές χρονοσημάνσεις οι οποίες ανανεώνονται περιοδικά.

Μπορεί κανείς να υπογράψει πολλά έγγραφα ταυτόχρονα;

Ναι. Ένας φάκελος Certyneo μπορεί να περιέχει πολλαπλά έγγραφα τα οποία υπογράφονται όλα με ένα μόνο κλικ. Κάθε έγγραφο διατηρεί το δικό του αποτύπωμα, αλλά το ίχνος ελέγχου είναι κοινό.

Το αποτύπωμα αποκαλύπτει το περιεχόμενο του εγγράφου;

Όχι. Το αποτύπωμα λειτουργεί προς μία μόνο κατεύθυνση: μπορεί κανείς να υπολογίσει το αποτύπωμα από το έγγραφο, αλλά όχι να ανακτήσει το έγγραφο από το αποτύπωμα. Αυτή είναι μία από τις θεμελιώδεις ιδιότητες των κρυπτογραφικών συναρτήσεων κατακερματισμού.

Συμπέρασμα

Μια ηλεκτρονική υπογραφή είναι μια κρυπτογραφική διαδικασία που συνδέει με επαληθεύσιμο τρόπο έναν υπογράφοντα, ένα έγγραφο, μια ημερομηνία και μια συγκατάθεση. Ο υπογράφων δεν χρειάζεται να κατανοήσει τίποτα από όλα αυτά — για εκείνον, πρόκειται για ένα κλικ και έναν κωδικό SMS. Για εσάς, πρόκειται για μια στέρεη, αρχειοθετημένη και διαθέσιμη απόδειξη.

Δοκιμάστε την Certyneo για να στέλνετε, να υπογράφετε και να παρακολουθείτε τα έγγραφά σας online, απλά, γρήγορα και με πλήρη ασφάλεια.