Jak mohu prokázat, že PDF nebylo změněno?

Proč zjevné metody selhávají

Nejdřív se nabízejí tři postupy a všechny tři jsou slabší, než vypadají.

Metadata souboru. Otevřít vlastnosti dokumentu a porovnat datum vytvoření s datem úpravy vypadá jako kontrola. Není. Už samotné stažení souboru může změnit čas úpravy, aniž by se změnil jediný bajt, a řada editačních nástrojů ponechává pole autora a producenta nedotčená. Metadata zapisuje ten, kdo měl soubor naposledy v ruce, tedy právě strana, o jejímž jednání se rozhoduje.

Shoda s PDF/A. PDF/A je archivní formát. Odstraňuje funkce, kvůli kterým by se dokument mohl v budoucnu zobrazit jinak, například vložené skripty a odkazy na externí písma. To je užitečné a neříká to vůbec nic o tom, zda se obsah změnil. Soubor PDF/A lze upravit a znovu uložit jako zcela vyhovující PDF/A.

Vložený podpis. Naskenovaný podpis vsazený do dokumentu je obrázek. S okolními bajty nemá žádný kryptografický vztah.

Co skutečně funguje

Tři mechanismy, které odpovídají na tři různé otázky. Vynechání jednoho nechává mezeru.

1. Kryptografický otisk, aby se změna odhalila. Hashovací funkce zredukuje soubor na otisk pevné délky. Změňte kdekoli jediný bit a otisk se zcela změní. SHA-256 nebo SHA-384 jsou dnes rozumnou volbou. Otisk dokazuje, že soubor, který máte nyní, je bajt po bajtu tím souborem, z něhož byl pořízen.

Sám o sobě nedokazuje nic o tom kdy, ani o tom, kdo jej pořídil. Otisk, který jste sami spočítali a uložili do vlastní databáze, zůstává vaším tvrzením.

2. Důvěryhodné časové razítko, aby se určil okamžik. RFC 3161 popisuje, jak poslat otisk autoritě časových razítek a získat zpět podepsaný token obsahující tento otisk a čas. Ven odchází pouze otisk, takže dokument samotný vaše systémy nikdy neopustí.

To je část, která z vašeho tvrzení dělá důkaz od třetí strany, protože potvrzení podepisuje někdo, kdo na vašem dokumentu nemá zájem.

3. Řetězec nakládání, aby se pokryla mezera. Otisk a časové razítko dokazují stav souboru v jednom okamžiku. Auditor se ptá na období mezi tím okamžikem a dneškem. Řetězec nakládání na to odpovídá: každý úkon s dokumentem, kdo jej provedl, kdy a odkud, zapisovaný pouze připojováním, aby žádný záznam nemohl tiše zmizet.

Navázáním každého záznamu na otisk předchozího způsobí smazání uprostřed přerušení řetězce. To je to, co činí nepřítomnost manipulace prokazatelnou, a nikoli pouze tvrzenou.

Co v praxi uchovávat

Uchovávejte dokument, otisk, token časového razítka a řetězec nakládání pohromadě, ve formátu, který otevřete i za deset let. V praxi to znamená PDF/A-3 pro dokument, protože tento formát připouští přílohy a může nést důkaz vedle souboru.

Uchovejte i ověřovací materiál. Token časového razítka se ověřuje proti řetězci certifikátů autority a certifikáty vyprší. Chcete-li v roce 2035 ověřit to, co jste orazítkovali v roce 2026, musíte uchovat řetězec a stav odvolání v podobě, v jaké tehdy byly. Tento materiál je dostupný dnes a později už nebude.

Kde do toho zapadá SealDoc

SealDoc tyto tři mechanismy automatizuje. Každý zpracovaný dokument se stává souborem PDF/A-3B ověřeným proti ISO 19005-3, ve výchozím nastavení opatřeným časovým razítkem RFC 3161, s řetězcem otisků SHA-384 a záznamem o nakládání s dokumentem. Exportuje se jako důkazní balíček pro každý dokument na vyžádání: dokument, auditní stopa a manifest, který zapečeťuje jak jednotlivé soubory, tak celou sadu.