Jede Zeile eines Prüfpfads – und was sie jeweils nicht beweist

Suchen Sie nach einem Prüfpfad für elektronische Signaturen, und Sie finden ein Dutzend Seiten, die auflisten, was alles erfasst wird. Sie finden so gut wie nichts darüber, was diese Erfassungen wert sind.

Diese Lücke ist kein Zufall. Die zweite Liste ist schlecht für eine Verkaufsseite und gut für alle, die sich eines Tages auf den Datensatz verlassen müssen. Dies ist die zweite Liste.

Jedes Ereignis an einem Umschlag

closeit.fast schreibt einen Eintrag in dem Moment, in dem eines dieser Ereignisse eintritt. Es gibt keine Stapelverarbeitung, keine Rekonstruktion und keinen Bearbeitungsweg, weder für Sie noch für uns.

Bevor er versendet wird

• Umschlag erstellt — der Umschlag existiert und gehört zu einem Konto.
• Dokument hochgeladen — eine Datei wurde angehängt und ihre Seitenzahl festgestellt.
• Dokument ersetzt — die Datei wurde vor dem Versand gegen eine andere ausgetauscht.
• Dokument entfernt — die Datei wurde abgetrennt.

Die beiden mittleren sind wichtiger, als sie aussehen. Ein Pfad, der nur das Dokument festhält, das am Ende unterschrieben wurde, kann Ihnen nicht sagen, ob es die dritte Fassung war. Dieser hier kann es.

Unterwegs

• Zur Signatur versendet — Einladungen verschickt, Token ausgestellt.
• Einladung erneut versendet — eine Erinnerung ist herausgegangen.
• Nächster Unterzeichner benachrichtigt — bei einem sequenziellen Umschlag wurde eine Stufe abgeschlossen und die folgende freigegeben.
• E-Mail-Adresse verifiziert — die Kontrolle über die eingeladene Adresse wurde nachgewiesen.
• Dokument angesehen — der Umschlag wurde geöffnet.
• Der elektronischen Signatur zugestimmt — der Empfänger hat als eigenständiger Schritt zugestimmt, bevor irgendein Feld unterschreibbar wurde.

Wie es endet

• Signatur abgeschlossen — Felder ausgefüllt und abgesendet.
• Signatur abgelehnt — mit der Begründung, die der Unterzeichner angegeben hat.
• Umschlag annulliert — der Absender hat ihn beendet; jeder noch offene Link funktioniert bei der nächsten Anfrage nicht mehr.
• Alle Signaturen eingeholt — der Umschlag ist abgeschlossen, das Abschlusszertifikat wird erzeugt und angehängt, die Datei wird versiegelt.

Die vier Felder in jedem Eintrag

Unabhängig davon, um welches Ereignis es sich handelt, trägt jede Zeile dieselben vier Angaben.

1. Akteur. Wer es ausgelöst hat, mit Name und E-Mail-Adresse, soweit eine bekannt ist.
2. IP-Adresse. Die Adresse, von der die Anfrage eingegangen ist.
3. User Agent. Der Browser und das Betriebssystem, die die Anfrage gestellt haben.
4. Zeitstempel. UTC, geschrieben in dem Moment, in dem das Ereignis eintrat.

Bei der vierten Angabe gibt es ein Detail, das klar ausgesprochen gehört, denn es ist der Unterschied zwischen einem Nachweis und einer Verzierung: der Zeitstempel stammt vom Server, nicht vom Gerät des Unterzeichners. Eine Geräteuhr wird von ihrem Besitzer gestellt und lässt sich in etwa vier Sekunden verändern. An eine Serveruhr kommt keine der beiden Vertragsparteien heran. Wenn ein Pfad die Zeiten vom Client übernimmt, hält er eine Behauptung fest, keine Tatsache.

Und jetzt der Teil, den niemand veröffentlicht

Hier steht, was jedes dieser vier Felder nicht belegt.

Eine IP-Adresse ist keine Person

Sie identifiziert einen Netzwerkendpunkt, der sich meist zu einem Internetanbieter und einem Ballungsraum auflösen lässt. Sie identifiziert keinen Menschen, keinen Haushalt und kein Gerät. Jedes VPN ändert sie absichtlich, die meisten Mobilfunknetze ändern sie nebenbei, und ein Großraumbüro gibt fünfzig Leuten dieselbe.

Wofür sie wirklich taugt, ist Konsistenz. Ein Pfad, bei dem Aufruf, Zustimmung und Signatur über elf Minuten hinweg alle von derselben Adresse kamen, erzählt eine stimmige Geschichte. Einer, bei dem sie in neunzig Sekunden von drei Kontinenten eintreffen, erzählt eine andere. Der Wert liegt im Muster, nicht in der Zahl.

Kontrolle über ein Postfach ist keine Identität

Die Verifizierung einer E-Mail-Adresse belegt, dass derjenige, der gehandelt hat, die an sie gesendete Post lesen konnte. Das ist bedeutsam — es ist dieselbe Annahme, auf der weltweit jedes Zurücksetzen eines Passworts beruht — und es ist kein Beweis dafür, wer jemand ist.

Wir verifizieren die Kontrolle über eine Adresse. Wir verifizieren keinen Reisepass. Wenn Ihre Situation tatsächlich einen Identitätsnachweis statt eines Zugriffsnachweises verlangt, dann braucht sie einen Identitätsanbieter vor dem Signaturschritt, und wir sagen Ihnen das, statt den Prüfpfad etwas anderes andeuten zu lassen.

Ein User Agent ist eine Selbstauskunft

Der Browser teilt dem Server mit, was er ist, und der Browser kann sagen, was er will. Es ist ein untermauerndes Detail, nützlich, wenn es mit allem anderen übereinstimmt, und für sich allein genommen nahezu wertlos.

Der Hash deckt die Datei ab, und nur die Datei

Wenn die letzte Signatur eintrifft, wird der gesamte Pfad in ein Abschlusszertifikat gerendert, dem Dokument als letzte Seite angehängt, und das daraus entstehende PDF wird mit SHA-256 gehasht.

Dieser Digest belegt eine Sache mit wirklicher Kraft: Die Bytes haben sich seit der Versiegelung nicht verändert. Er ist manipulationserkennend, was nicht dasselbe Wort ist wie manipulationssicher, und der Unterschied ist keine Wortklauberei. Nichts hindert jemanden daran, die Datei zu verändern. Der Hash garantiert, dass er dann nicht mehr passt.

Worüber der Digest nichts sagt: wer unterschrieben hat, ob derjenige es so meinte, ob er befugt war, sein Unternehmen zu binden, oder ob die Bedingungen durchsetzbar sind. Es ist eine Aussage über eine Datei, nicht über eine Vereinbarung.

Warum wir die Schwächen veröffentlichen

Weil sie auffindbar sind, und weil der Moment, in dem sie eine Rolle spielen, der denkbar schlechteste ist, um sie zu entdecken.

Wenn Sie sich je auf einen dieser Nachweise stützen, wird jemand auf der anderen Seite genau nach den oben genannten Lücken suchen. Sie in einem Artikel zu finden, den wir geschrieben haben, ist zu überstehen. Sie zu finden, nachdem ein Anbieter angedeutet hat, der Pfad sei lückenlos, ist es nicht.

Ein Nachweis ist so viel wert wie seine schwächste Behauptung. Vorher zu wissen, welche das ist, macht den Großteil des Werts aus.

Insgesamt betrachtet ist das Bild jedoch stark, und deutlich stärker als die Alternative auf Papier. Eine handschriftliche Unterschrift auf einer gedruckten Seite trägt überhaupt keine Metadaten. Keine Zeit, keine Adresse, keine Reihenfolge, keinen Beleg dafür, dass der Unterzeichner Seite vier je gesehen hat. Ihre Echtheit festzustellen bedeutet, einen Schriftsachverständigen zu beauftragen und über Schleifen zu streiten.

Dagegen gehalten ist ein Pfad, der vierzehn Ereignistypen mit je vier Attributen auf einer Serveruhr festhält und mit einem nachrechenbaren Digest versiegelt ist, keine schwächere Form von Beweismitteln. Er ist eine erheblich bessere. Er hat nur Kanten, und Sie haben ein Recht darauf, zu wissen, wo sie liegen.

Jeder Umschlag erzeugt das, auch im kostenlosen Tarif. Wenn Sie die Form davon sehen möchten, statt darüber zu lesen: Schicken Sie sich selbst ein Dokument und lesen Sie den Pfad, den es schreibt.