FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序把安全装进口袋
电子签名的验签是电子合同使用过程中非常重要的一环。如果对于电子合同所确立的权利义务关系产生争议，通常首先要判断的就是电子合同本身是否规范签署、合法成立，而这主要依赖于对数字签名的合法性、安全性、有效性进行验证。
严格意义上讲，数字签名是电子签名的一种，也是目前电子签名行业应用最广泛的电子签名技术，本文如无特别说明，所提电子签名即是指“数字签名”。
从规范的电子签名流程来看，电子签名的验证主要包含以下三个部分：
数字证书的验证
OCSP/CRL的验证
验证上述三个部分各有目的。
数字证书是证书颁发机构（CA机构）对签名人进行严格的身份认证后签发的，类似于“数字身份.证”，电子签名就是通过数字证书来完成的，因此数字证书的合法性、有效性对于电子签名的效力而言至关重要。数字证书的主要验证点包括：
验证数字证书是否是正规的CA机构颁发（也就是数字证书是否是伪造的）；
验证数字证书的有效期（电子合同签署时不能使用有效期外的数字证书）。
如果以上两项验证均通过，那就意味着电子签名使用的是正规机构颁发的数字证书，证书的拥有者对签名电子文件的内容表示认可（通常数字证书与使用者身份一一对应，这需要CA机构履行严格的身份审查义务然后才能颁发证书，但理论上并不排除有些CA机构没有严格审查错发证书的可能，此处暂忽略该问题）。
OCSP/CRL的验证实际上是数字证书验证的延伸。
通常数字证书都会有一定的有效期，但即便数字证书是在有效期内，也并不一定属于具有法律效力的有效证书。因为对于有效期内的证书而言，也可能存在被吊销的可能；这就好比人的身份.证也具有有效期，但是可能会因为丢失等情况该身份.证被“吊销”不能使用。
CRL就是证书吊销列表(CertificateRevocationList)的简称，该文件包含了证书颁发机构已经吊销的证书的序列号及其吊销日期，只要签署时通过CRL检验就能知晓证书是否已经被吊销。
验签准备
软件AdobeAcrobatReaderDC；
已进行电子签名的PDF文件；
上一项PDF中电子签名对应CA机构的根证书以及OCSP证书文件。
验签说明
为了进行验签我们当然需要一份已经进行了电子签名的PDF文件，许多人对此可能比较陌生不知从何获取，但实际上电子签名文件已经深入到日常生活，我们常用的电子发.票就是包含了电子签名的PDF文件。
至于对应CA机构的根证书，国内正规的CA机构通常都会在官网提供根证书的下载（比如本文验证的沃通CA所颁发证书的根证书就是从其官网下载）。
而OCSP证书文件，一般需要直接向CA机构或电子合同服务商要求提供，如果CA机构或电子合同服务商无法提供OCSP证书文件，那么极有可能意味着电子合同签署过程中并没有严格依照规范的流程验证数字证书的有效性，电子合同文件本身是否有效存在较大不确定性。
完美的验签状态
如果通过adobe软件打开PDF签名文件后显示“至少一个签名存在问题”或者提示“签名者的身份未知,因为其未包含在您的可信任证书列表中,且其所有的父证书均不是可信任证书”，那么就需要按照下面的验签步骤进行进一步验签。
1.根证书安装前
使用AdobeAcrobatReaderDC打开签名文档,找到文档中的签名并单击,会弹出签名验证状态框,提示“签名者的身份未知,因为其未包含在您的可信任证书列表中,且其所有的父证书均不是可信任证书”;
如果点击“签名属性”显示签名者证书,打开证书查看程序,将会发现Adobe没有找到完整的证书路径（只有姓名一个层级，无上一层的根证书）;
2.根证书安装方法
双击打开rootcert.cer文件,点击安装证书,按照默认选项一直到证书安装完成;
弹出导入成功提示,说明安装成功;
3.添加到Adobe可信任证书
关闭签名文档,用Adobe重新打开文档,打开签名属性->显示签名者证书,可以看到Adobe成功找到了沃通CA根证书,显示出证书路径;
左侧选中沃通CA证书,右侧选中“信任”标签,点击添加到可信任证书,然后在弹出的框中点击确定;
在导入.联系人设置中,确保勾选了“将本证书用作可信任根”,然后点击确定;
这时的签名验证状态变为“签名者的身份在颁发时有效,但此时无法通过检查其吊销状态来验证身份”;
此时,证书身份有效,但是签名时刻的吊销状态还未知。
打开证书查看程序,左侧选中沃通CA下面的用户证书,右侧选中“吊销”标签,提示“确定选定的证书是否有效时发生问题”;
4.安装OCSP证书
参照2.根证书安装方法,双击sy2048.cer证书文件,将其安装到windows系统证书区。
点击“签名者详细信息”,弹出OCSP证书的查看程序;
左侧选中SY2048OCSPSigner,右侧选中“信任”标签,然后点击“添加到可信任证书”,在弹出的Adobe安全提示中,选择确定;
在弹出的导入.联系人设置中,勾选“将本证书用作可信任根”,然后选择确定。
5.证书安装完成后
此时重新验证签名,签名验证结果变为绿色验证通过状态;
重新打开证书查看程序,选中用户证书的吊销标签,OCSP状态变为选定的证书被认为有效,因为使用嵌入签名的“联机证书状态协议”(OCSP)响应进行的验证表明其未被吊销。
合同签署向来关乎“签名人”的直接利益，如果签名本身存在问题（如错签、漏签、伪造签名），不仅会直接影响当事人的权利义务，甚至还可能造成严重后果。
当前，随着互联网的快速发展，以数字签名技术为支持的电子合同被广泛应用到众多领域。从形式上而言，可靠的数字签名与纸质手写签名具备同样的法律效力，但这也决定了如果电子签名“不规范”，同样可能产生严重的法律后果。
以互联网金融（P2P）为例，2018年就曾有部分网民向工信部实名举报某些电子合同服务商签署电子合同不规范，替代用户签署借款合同，使得用户背负借贷债务，如果不是大量出现问题被发现可能“被签名人”最终有口难辩。
可见，是否规范进行电子签名关乎消费者和使用者的切身利益。根据《艾瑞报告：中国第三方电子签名行业研究》中的数据显示，部分电子合同服务商已经实现了日均千万的合同签署量。如果在提供电子合同签署服务过程中，电子合同服务商对签名人身份验证不合规、签署过程不规范，长此以往电子签名行业也可能迎来像P2P行业一样的惊天“暴雷”。
希望中国的电子签名行业能够严格遵守《电子签名法》的要求，严格执行监管政策，成为未来数字经济时代可靠、可信、合法有效的基础设施。