Vellum findet jedes Signaturfeld eines PDF und zeigt für jede Signatur: Name und Organisation des Unterzeichners aus dem Zertifikat, die ausstellende Stelle, den Gültigkeitszeitraum des Zertifikats, den im Dokument vermerkten Signaturzeitpunkt sowie, falls vorhanden, den Zeitstempel nach RFC 3161 mit dem Namen der Zeitstempelstelle, dazu den verwendeten Hash-Algorithmus. Das Werkzeug prüft, ob die kryptografische Signatur zum signierten Byte-Bereich passt — also ob das Dokument für diese Signatur unverändert geblieben ist — und meldet, wenn nach diesem Bereich weitere Bytes angefügt wurden; das gilt als nach der Signatur geändert durch eine inkrementelle Aktualisierung, nie als Fälschung. Das Signaturprofil wird benannt: PAdES oder das ältere PKCS#7-Format. Ehrliche Grenze: Ein Browser besitzt keinen Vertrauensspeicher, die Zertifikatskette kann daher nicht gegen eine Liste anerkannter Stellen geprüft werden — das Werkzeug zeigt dann an, dass die Kette nicht geprüft werden konnte, nie, dass sie ungültig ist. Die gesamte Berechnung findet auf Ihrem Gerät statt, ohne dass das Dokument gesendet wird.
Das Werkzeug berechnet den kryptografischen Hashwert des von der Signatur abgedeckten Dokumentbereichs neu und vergleicht ihn mit dem in der Signatur selbst gespeicherten Wert. Stimmen beide Werte überein, hat sich der signierte Inhalt seit der Signatur nicht verändert; weichen sie voneinander ab, entspricht das Dokument nicht mehr genau dem, was signiert wurde.
Ein PDF kann ergänzt werden, ohne eine bestehende Signatur zu zerstören: eine zweite Signatur, ein ausgefülltes Formularfeld, eine hinzugefügte Anmerkung. Das bedeutet, dass die Datei nicht mehr byteidentisch mit dem ist, was signiert wurde — nicht, dass dabei etwas Unrechtmässiges geschehen ist. Die ursprüngliche Signatur bleibt für den Teil des Dokuments gültig, den sie ursprünglich abdeckte.
Ein Browser verfügt über keinen Vertrauensspeicher, wie ihn Acrobat oder ein Betriebssystem besitzt. Vellum meldet daher, dass die Zertifikatskette nicht anhand einer Liste anerkannter Stellen geprüft werden konnte, ohne jemals zu behaupten, das Zertifikat sei ungültig. Sie können den angezeigten Namen des Ausstellers selbst prüfen oder das Dokument in Acrobat Reader öffnen, das seine eigene Vertrauensliste anwendet.
Nein, die gesamte Prüfung — Auslesen der Signaturen, Berechnung der Hashwerte, Kontrolle des signierten Bereichs — läuft in Ihrem Browser, auf Ihrem Gerät. Die Datei wird nie an einen Server übertragen.
PAdES (ETSI.CAdES.detached) ist das aktuelle, für PDF standardisierte Signaturformat; adbe.pkcs7.detached ist das ältere Format, das bei älteren Dokumenten noch vorkommt, aber zunehmend abgelöst wird. Ein RFC-3161-Zeitstempel liefert, wenn vorhanden, einen unabhängigen Nachweis dafür, wann die Signatur bereits bestand, ausgestellt von einer externen Zeitstempelstelle statt von der Uhr des signierenden Computers.
„Unbekannter Aussteller“ bedeutet lediglich, dass die Stelle, die das Zertifikat ausgestellt hat, auf keiner vom Werkzeug herangezogenen Vertrauensliste steht; vergleichen Sie den angezeigten Namen mit dem erwarteten, oder öffnen Sie die Datei in Acrobat Reader für eine zweite Einschätzung. Jedes PDF lässt sich prüfen; eine passwortgeschützte Datei muss zuerst mit dem Werkzeug „PDF entsperren“ freigegeben werden.
Vellum — kostenlose PDF-Werkzeuge, deren Verarbeitung auf Ihrem Gerät bleibt.