Kokiu sertifikatu galima pasirašyti PDF dokumentą?

PDF dokumentus galima pasirašyti tiek Lietuvos organizacijų išduodamais tik Europoje galiojančiais el. parašo sertifikatais, tiek beveik visame pasaulyje galiojančiais Sectigo ir DigiCert asmens tapatybės patvirtinimo sertifikatais. Tačiau prieš užsisakant sertifikatą svarbu žinoti, kokios programos jį priims bandant pasirašyti ir kur konkrečiai jis galios.

Lietuvoje populiarūs el. parašo sertifikatai

Lietuvoje dominuoja šios kvalifikuoto elektroninio parašo (QES) priemonės:

• Mobilusis parašas (Mobile-ID) – tai mobiliojo ryšio operatorių (Telia, Bitė arba Tele2) išduodamas sertifikatas, įrašomas į specialią SIM kortelę. Tai vienas patogiausių būdų pasirašyti dokumentus tiesiog naudojant telefoną, nes nereikia išmaniosios programėlės ar interneto ryšio pačiame įrenginyje – pakanka mobiliojo ryšio.
• Smart-ID – Baltijos šalyse ypač išpopuliarėjusi programėlė išmaniesiems įrenginiams. Smart-ID (su kvalifikuoto parašo lygio paskyra) yra pripažįstama kaip pilnavertė QES priemonė. Ji yra nemokama galutiniam vartotojui, tačiau jos nepriima dauguma valstybinių sistemų.
• LT ID – tai naujausia oficiali Lietuvos valstybės mobilioji aplikacija, skirta asmens tapatybės patvirtinimui ir elektroninių dokumentų pasirašymui. Ji veikia panašiai kaip Smart-ID ir taip pat yra nemokama, tačiau šį el. parašą kol kas priima tik kai kurios valstybinės sistemos.
• Asmens tapatybės kortelė (ATK) – tai valstybės išduodamas fizinis dokumentas su jame integruotu kriptografiniu lustu. Šiam el. parašui reikalingas specialus lustinių kortelių skaitytuvas bei kompiuteryje įdiegta papildoma programinė įranga, todėl jį naudoja tik kasdien daug dokumentų darbe pasirašantys asmenys. Identiškai veikia tarnautojo pažymėjimas, e-rezidento kortelė ir kitos išmanios kortelės su mikroschema.

Bet kuriuo iš šių būdų sukurtas el. parašas užtikrina aukščiausią saugumo ir lygiavertį ranka rašytam parašui teisinio patikimumo lygį. Tačiau kartais šie el. parašo sertifikatai netinka dėl šių priežasčių:

• Nepripažįstami užsienyje – šie sertifikatai yra išduoti naudojant nacionalinio lygio šakninius sertifikatus, todėl kiti subjektai užsienio valstybėse negali patikrinti jų autentiškumo. Teoriškai kvalifikuoto el. parašo sertifikatai turi galioti bent jau visose Europos Sąjungos šalyse, bet dauguma institucijų vis dar negali jų patikrinti techniškai ir nepriima jais pasirašytų dokumentų.
• Įrašo asmens kodą – el. parašo metaduomenyse įrašomas asmens kodas. Paskelbus tokį dokumentą viešai, pasirašiusio asmens kodas tampa viešas.

Alternatyvūs el. parašo sertifikatai: Sectigo ir DigiCert

Pasaulinėje rinkoje populiariausi Sectigo ar DigiCert išduodami sertifikatai, pavyzdžiui:

Sectigo Organization Email Security (Multipurpose)

Tai – pažangusis elektroninis parašas (AdES - Advanced Electronic Signature). Nors pagrindinė šio sertifikato paskirtis yra el. pašto laiškų pasirašymas (S/MIME) ir šifravimas, jis taip pat turi „Document Signing“ funkcionalumą.

• Savybės: išduodamas programiniu formatu (pvz., .p12 ar .pfx failas), kurį galima įdiegti tiesiai į kompiuterio operacinę sistemą.
• Trūkumai PDF pasirašymui: Kadangi jis nėra išduodamas saugioje laikmenoje, Adobe Acrobat automatiškai juo nepasitiki. Jei tokiu sertifikatu pasirašysite PDF, gavėjas matys pranešimą, kad „parašo galiojimas nežinomas“, nebent jis rankiniu būdu pridės jūsų sertifikatą prie patikimų (Trusted Identities).

Sectigo Citizen Qualified Certificate QSCD

Tai – kvalifikuotas elektroninis parašas (QES - Qualified Electronic Signature). Pagal eIDAS reglamentą, jis atitinka aukščiausius reikalavimus ir visoje Europos Sąjungoje teisiškai prilygsta ranka rašytam parašui.

• Savybės: Išduodamas specialioje saugioje laikmenoje – QSCD (angl. Qualified Signature Creation Device), dažniausiai užšifruotame USB žetone (USB Token). Taip užtikrinama, kad privatusis raktas niekada nepaliks įrenginio.
• Privalumas: Skirtingai nei programiniai (AdES) sertifikatai, QSCD esantys QES sertifikatai yra įtraukti į EU Trusted Lists (EUTL) ir Adobe Approved Trust List (AATL), todėl atidarius tokį PDF dokumentą Adobe Acrobat programoje, automatiškai užsidega žalia varnelė, patvirtinanti dokumento autentiškumą.

Pagrindinis skirtumas tarp AdES ir QES

Teisinė galia ir techninis įgyvendinimas. AdES užtikrina dokumento vientisumą (kad jis nebuvo pakeistas po pasirašymo) ir identifikuoja pasirašiusįjį. Tačiau tik QES (sukurtas naudojant QSCD įrenginį) turi automatinę prezumpciją, kad yra prilyginamas ranka rašytam parašui. Teisme ginčijant AdES, įrodinėjimo našta tenka pasirašiusiajam, o QES atveju – parašą ginčijančiai šaliai.

Asmens kodo nebuvimas: privalumas ar trūkumas?

Sectigo ir DigiCert išduodamuose asmeniniuose sertifikatuose (skirtingai nei LT ID, Smart-ID ar m. paraše) NĖRA įrašytas Lietuvos asmens kodas.

Kadangi asmens kodas yra jautrus asmens duomuo, jo nebuvimas sertifikate suteikia žymiai daugiau privatumo bendraujant tarptautiniu mastu arba pasirašant dokumentus su partneriais, kuriems jūsų asmens kodas neturėtų būti prieinamas.

Tačiau Lietuvos valstybinės organizacijos (pvz., VMI, Sodra, Registrų centras) ir kai kurios verslo sistemos identifikaciją ir autentifikaciją atlieka išskirtinai pagal asmens kodą. Todėl net ir turėdami aukščiausio lygio (QES) Sectigo sertifikatą, negalėsite prisijungti prie Lietuvos e-valdžios vartų ir kitų sistemų.

Lietuviškos dokumentų pasirašymo el. parašu sistemos

Lietuvoje populiariausios šios dokumentų pasirašymo sistemos:

• GoSign – VĮ „Registrų centras“ sukurta ir prižiūrima pasirašymo sistema. Ji palaiko asmens tapatybės korteles (ATK), m. parašą, LT ID ir paties Registrų centro išduotus el. parašo sertifikatus USB laikmenose.
• Dokobit – pirmasis komercinis e. pasirašymo sprendimas Baltijos šalyse. Ši sistema palaiko Smart-ID, m. parašą, ATK bei Estijos/Latvijos e-identiteto priemones (pvz., e-Residency).
• Elpako (Zebrasign) – panaši į Dokobit sistema, tačiau palaiko mažiau nacionalinių ES el. parašo sertifikatų.
• MarkSign – tik Lietuvoje veikianti tik dalį lietuviškų el. parašo sertifikatų palaikanti el. pasirašymo sistema.

Nė viena iš šių lietuviškų sistemų nepalaiko alternatyvių AdES ir QES sertifikatų, tokių kaip Sectigo ar DigiCert. Lietuviškos sistemos yra uždaros, orientuotos išimtinai į konkrečius regioninius el. identifikacijos tiekėjus, todėl, jei turite tarptautinį (USB žetone ar .pfx faile) sertifikatą, šiose sistemose dokumento juo nepasirašysite.

Pasaulinės dokumentų pasirašymo el. parašu programos

Kadangi vietiniai portalai nepalaiko Sectigo ir DigiCert sertifikatų, norint pasirašyti PDF dokumentą (tiek AdES, tiek QES formatu), reikia naudoti pasaulinius standartus palaikančią programinę įrangą, kuri dirba su kompiuterio sertifikatų saugykla ir PKCS#11 moduliais:

• Adobe Acrobat Reader (ir Adobe Acrobat Pro) Ši programa tiesiogiai palaiko PAdES (PDF Advanced Electronic Signatures) standartą ir yra integruota su AATL (Adobe Approved Trust List). Jei į kompiuterį įdėsite USB žetoną su Sectigo QSCD (QES) sertifikatu, Adobe Acrobat jį atpažins ir leis pasirašyti dokumentą dedant vizualų ir kriptografinį parašą. Programinius (AdES) sertifikatus taip pat galima naudoti, tik jie negaus automatinio patikimumo statuso be papildomo konfigūravimo gavėjo pusėje.
• Foxit PDF Editor / Foxit Reader Foxit palaiko skaitmeninius sertifikatus iš Windows Certificate Store ir moka dirbti su eIDAS / AATL standartais, tad tinka darbui su Sectigo ir DigiCert sertifikatais.
• SignServer ir kiti masinio pasirašymo įrankiai Kai įmonėms reikia automatiškai pasirašyti daug šabloninių PDF failų (pvz., klientams siunčiamas sutartis), naudojami serveriniai sprendimai (pvz., SignServer). Šios sistemos priima Sectigo ir DigiCert sertifikatus ir automatizuoja AdES/QES parašų dėjimo procesą foniniu režimu.

Apibendrinimas

Jei dokumentus pasirašinėjate tik Lietuvos ar Baltijos šalių viduje ir jums svarbu bendrauti su valstybinėmis institucijomis, vietiniai sprendimai (Smart-ID, m. parašas) yra patogiausi. Tačiau jei dirbate tarptautinėje erdvėje, vertinate savo privatumą (nenorite visur dalintis asmens kodu) ir norite išvengti priklausomybės nuo mokamų dokumentų pasirašymo portalų, Sectigo ar DigiCert sertifikatai, naudojami su tokia programine įranga kaip Adobe Acrobat, yra optimaliausias pasirinkimas.