Tiny Online Tools
Ein signiertes PDF prüfen, ohne es irgendwohin zu schicken
Eine digitale Signatur in einem PDF beantwortet eine enge Frage gut: Haben sich die Bytes, die sie abdeckt, seither verändert? Der PDF-Signatur-Inspektor beantwortet diese und drei weitere — in Ihrem Browser.
Integrität
Der /ByteRange im Signaturwörterbuch benennt die Teile der Datei, die die Signatur abdeckt — alles außer dem /Contents-Hexblob selbst. Das Werkzeug hängt diese Bereiche aneinander, hasht sie mit der Web-Crypto-API unter dem im PKCS#7-SignedData genannten Algorithmus und vergleicht das Ergebnis mit dem darin versiegelten messageDigest-Attribut. Das ist eine echte kryptografische Prüfung und nicht das Ablesen eines Status-Flags, das der Erzeuger der Datei hineingeschrieben hat.
Abdeckung — eine andere Frage
Eine Datei kann die Integritätsprüfung bestehen und trotzdem nach dem Signieren verändert worden sein. PDF erlaubt inkrementelle Aktualisierungen: Bytes, die hinter dem signierten Bereich angehängt werden, sind für die Signatur unsichtbar. Deshalb meldet das Werkzeug auch, ob der /ByteRange bis zum Dateiende reicht, wie viele Bytes danach kamen und welche Revision der Datei diese Signatur tatsächlich abdeckt. Diese beiden Dinge zu verwechseln ist der häufigste Weg, ein signiertes PDF falsch zu lesen.
Das Zertifikat
Antragsteller, Aussteller, Seriennummer, Gültigkeitszeitraum, Algorithmus und Länge des öffentlichen Schlüssels, Signaturalgorithmus des Zertifikats, SHA-256-Fingerabdruck sowie die Angaben, ob das Zertifikat selbstsigniert ist, heute abgelaufen ist und zum Signaturzeitpunkt gültig war — das ist bei einer Jahre alten Signatur das entscheidende Datum. Die gesamte im Blob eingebettete Kette wird aufgelistet, und jedes Zertifikat lässt sich als .cer (DER) oder .pem exportieren.
Was es nicht sagen kann
Vertrauen. In einem Browser-Tab gibt es keinen Vertrauensspeicher, also behauptet hier nichts, dass der Aussteller eine anerkannte Zertifizierungsstelle ist. Sperrung wird nicht geprüft — weder CRL noch OCSP — ein am Tag nach dem Signieren gesperrtes Zertifikat wirkt also weiterhin solide. Ein eingebetteter RFC-3161-Zeitstempel wird gemeldet, aber nicht validiert. Diese Grenzen stehen neben den Ergebnissen, nicht nur hier.
Zertifizierungssignaturen
Trägt eine Signatur eine DocMDP-Transformation, wird die Berechtigungsstufe dekodiert: keine Änderungen erlaubt, Formularausfüllen erlaubt, oder Ausfüllen plus Anmerkungen. Davon hängt ab, ob eine spätere Änderung die Zertifizierung berechtigterweise bricht.
Datenschutz
Signierte Dokumente sind meist Verträge. Die Datei wird in Ihrem Browser geparst und gehasht; nichts wird hochgeladen.