PDF-Signatur überprüfen

Laden Sie das PDF hoch, und die Prüfung startet von selbst. Für jede Signatur berechnet das Tool den Hash der abgedeckten Bytes, vergleicht ihn mit dem in der Signatur gespeicherten Hashwert und prüft dann die Signatur mit dem öffentlichen Schlüssel des Unterzeichners; jede Änderung an den abgedeckten Bytes ergibt den Status „Ungültig“, mit dem Grund auf der Karte. Jede Signatur der Datei erhält eine eigene Karte, und die Übersicht oben zeigt, wie viele gefunden wurden.

„Gültig“ bedeutet, dass die Signatur kryptografisch verifiziert wurde, die ganze Datei abdeckt und einen sicheren Hashwert verwendet. „Ungültig“ bedeutet, dass die Prüfung lief und fehlschlug, etwa weil sich die Bytes geändert haben oder der Schlüssel nicht passt. „Nicht verifiziert“ bedeutet, dass die Signatur einen Algorithmus verwendet, den das Tool nicht prüfen kann, etwa Ed25519 oder SM2; bestätigen Sie sie in Adobe Acrobat oder mit openssl, bevor Sie sich darauf verlassen.

RSA mit PKCS#1 v1.5-Padding, RSA-PSS und ECDSA auf den Kurven P-256, P-384 und P-521, mit SHA-224-, SHA-256-, SHA-384- oder SHA-512-Hashwerten. Mit MD5 oder SHA-1 gehashte Signaturen erhalten den Status „Unsicherer Hashwert“ und werden nie als gültig gemeldet, da für beide Algorithmen Kollisionsangriffe veröffentlicht wurden.

Das Tool hat keine integrierte Liste von Zertifizierungsstellen; allein kann es daher bestätigen, dass die Signatur intakt ist, aber nicht, wer hinter dem Zertifikat steht. Laden Sie das Stamm- oder Zwischenzertifikat Ihrer Organisation als .pem-, .crt-, .cer- oder .der-Datei hoch, und die Prüfung läuft erneut: Signaturen, deren Zertifikat damit übereinstimmt oder darauf zurückführt, erhalten das Abzeichen „Vertrauenswürdig“, und die Übersicht zählt sie als gültig.

Es bedeutet, dass nach dem Anbringen dieser Signatur Bytes angehängt wurden; das Tool meldet sie als „Ungültig“ mit dem Hinweis „Nach dem Signieren geändert (teilweise Abdeckung)“. Das allein beweist keine Manipulation: Eine zweite Signatur oder eine inkrementelle Speicherung führt zum selben Ergebnis, und nur die zuletzt hinzugefügte Signatur kann die gesamte Datei abdecken. Sehen Sie es als Anlass, zu prüfen, was hinzugefügt wurde.

Nein. Das Tool prüft die Gültigkeitsdaten des Zertifikats, die Vertrauenskette gegen ein von Ihnen bereitgestelltes Zertifikat und die kryptografische Integrität der Signatur, fragt aber keine OCSP-Responder oder Zertifikatssperrlisten ab. Für eine Widerrufsprüfung prüfen Sie die Datei in einem Desktop-Programm mit Netzwerkzugriff.

Der Ablauf wird am heutigen Datum gemessen. Ein Zertifikat, dessen Datum „Gültig bis“ inzwischen überschritten ist, erhält daher den Status „Zertifikat abgelaufen“ und zählt in der Übersicht nicht als gültig, auch wenn die Signatur selbst in Ordnung ist. Vergleichen Sie den Zeitpunkt „Signiert am“ mit den Daten „Gültig ab“ und „Gültig bis“ auf der Karte, um zu sehen, ob das Zertifikat beim Signieren gültig war.

Nein. Das Auslesen der Signatur und die kryptografischen Prüfungen laufen in Ihrem Browser mit node-forge und der Web Crypto API, sodass das Dokument und jedes hinzugefügte Zertifikat auf Ihrem Gerät bleiben.