Báječný svět

AnEP (Analyzátor elektronických podpisů) je aplikace, která ověří elektronické podpisy, pečeti a časová razítka na dokumentu – a hlavně srozumitelně vysvětlí, jak ověření dopadlo a proč. Kde jiné nástroje napíšou jen strohé „neplatný“ nebo „neznámý“, AnEP řekne, co se stalo, co to znamená a co se s tím dá dělat. Umí také prodloužit dobu, po kterou půjde podpisy na dokumentu ověřit, a vytvořit protokol o výsledku ověření.

Nemusíte. AnEP je určen každému, kdo dostal elektronicky podepsaný dokument a chce vědět, na čem je – úředníkům, archivářům, právníkům i běžným uživatelům. Odborné pojmy aplikace vysvětluje přímo tam, kde je použije. Základní výsledek najdete hned v první záložce „Zjednodušený přehled“; kdo chce jít do hloubky, může pokračovat dalšími záložkami, případně zapnout expertní mód.

Nic. AnEP je zdarma, šíří se pod Evropskou unijní veřejnou licencí (EUPL) verze 1.2, která má i závazné české znění. Zdrojový kód je veřejně dostupný na GitHubu.

Ne. Aplikace slouží k seznámení s problematikou elektronických podpisů a k vlastnímu posouzení dokumentu, její výstupy jsou poskytovány bez záruky. Nejde o kvalifikovanou ani jinou „službu vytvářející důvěru“ podle nařízení eIDAS. Výsledek vám ale dobře poslouží k tomu, abyste věděli, jak dokument nejspíše dopadne jinde a co s ním případně udělat.

Ne, AnEP podpisy ani pečeti nevytváří. Umí ale k dokumentu přidat časové razítko a doplnit do něj údaje potřebné pro pozdější ověření (viz okruh Platnost v čase). K podepisování potřebujete jiný program, např. Adobe Acrobat Reader, program Signer apod.

Autorem aplikace je Jiří Peterka. Vlastní ověřování provádí otevřená knihovna DSS (Digital Signature Service), kterou vyvíjí Evropská komise a která ověřuje podle evropských norem ETSI. AnEP nad ní přidává výklad výsledků v češtině, české specifické věci (datové zprávy, eLegalizace, CzechPOINT) a nástroje pro prodloužení ověřitelnosti dokumentů.

Na Windows (verze s instalátorem i bez instalace, tzv. portable) a na Linuxu (portable verze pro běžné počítače x64 i pro 64bitové procesory ARM). Verze pro macOS ani pro mobilní telefony zatím není. Nic dalšího instalovat nemusíte – vše potřebné je součástí aplikace. → Kde aplikaci získat

Nemusíte se obávat. Toto varování filtru SmartScreen se objevuje u aplikací, které nemají podpis vydavatele a které si zatím nestáhlo mnoho uživatelů – proto u AnEP uvádí „Neznámý vydavatel“. Neznamená to, že by v aplikaci našel něco škodlivého. Chcete-li ji spustit, klikněte na odkaz „Další informace“ a pak na tlačítko „Přesto spustit“. → Jak aplikaci spustit

Při prvním spuštění může antivirový program hlásit neznámý kód a odeslat ho ke kontrole – spuštění se pak o chvíli zdrží. Po kontrole se aplikace obvykle spustí bez dalších dotazů. Pokud ji antivirový program zablokuje, je třeba ji v něm povolit; postup se u jednotlivých programů liší.

Ano, pro plnohodnotné ověření ano. Aplikace stahuje evropské důvěryhodné seznamy (z nich ví, kterým vydavatelům certifikátů lze věřit) a zjišťuje, zda certifikát podepisující osoby nebyl zneplatněn (revokován). Důvěryhodné seznamy si ukládá, takže další spuštění jsou rychlejší. Bez internetu skončí ověření často výsledkem „stav platnosti neznámý“.

Napoprvé si aplikace stahuje důvěryhodné seznamy všech zemí Evropské unie – jde o desítky seznamů a tisíce certifikátů. Pak si je uloží a příště už startuje rychle; jejich čerstvost si jen dokontroluje na pozadí. Na stavovém řádku aplikace uvidíte, jak načítání pokračuje.

Soubor s dokumentem přetáhněte do vstupního pole vlevo nahoře (nebo na pole klikněte a soubor vyberte) a klikněte na zelené tlačítko „Ověřit“. Ověření běží na pozadí a výsledek se objeví v záložkách pod stavovým řádkem. Nejdříve se podívejte do „Zjednodušeného přehledu“ – tam je celkový verdikt. Proč ověření dopadlo právě tak, vysvětluje záložka „Analýza“.

Zejména podepsané dokumenty PDF. Dále tzv. kontejnery ASiC (přípony .asice, .sce aj.), samostatné podpisy (.p7s, .p7m, .xml a další), datové zprávy z datových schránek (.zfo), dokumenty LibreOffice (.odt, .ods, .odp) a tzv. evidenční záznamy. Na příponě nezáleží – aplikace pozná formát podle obsahu, takže ji nezmate ani přejmenovaný soubor. → Co aplikace umí, kapitola 2

Jde o tzv. externí (oddělený) podpis: podpis je v jiném souboru než podepsaný dokument. Do hlavního vstupního pole vložte dokument a soubor s externím podpisem vložte hnědým tlačítkem zcela vpravo (nebo soubor nad tlačítko přetáhněte). Aplikace pak ověří, zda podpis patří právě k tomuto dokumentu a zda je platný.

Datovou zprávu stáhněte z datové schránky jako soubor .zfo a vložte ho do aplikace. AnEP ověří pečeť, kterou zprávu opatřil systém datových schránek, a umí zprávu otevřít v prohlížeči (tlačítkem „Otevřít jako kontejner“), kde uvidíte a můžete uložit její přílohy. Přílohu, která je sama podepsaná, můžete poslat k ověření tlačítkem „Ověřit v AnEP“.

Podpisy v dokumentech Microsoft Office (DOCX, XLSX, PPTX) knihovna DSS, na které AnEP stojí, neumí ověřit, a proto je neověřuje ani AnEP. Aplikace aspoň vypíše, co o sobě podpis tvrdí, a prověří certifikát podepisující osoby a případné časové razítko. Pro dlouhodobé uchování a předávání je vhodnější podepisovat dokumenty ve formátu PDF.

Aplikace na přílohy upozorní (ikona sponky na stavovém řádku). Kliknutím otevřete jejich seznam, kde si přílohu můžete prohlédnout, uložit nebo ji tlačítkem „Ověřit v AnEP“ poslat k samostatnému ověření. Přílohy vložené do dokumentu před podpisem jsou podpisem dokumentu kryté také – jejich změnu by ověření odhalilo.

Pokud dokument PDF nejde bez hesla otevřít, aplikace si o heslo sama řekne. Na heslo, které jen omezuje např. tisk nebo úpravy, ale čtení nebrání, se neptá – takový dokument ověří i bez něj.

Zelená – „platný“: platnost se podařilo prokázat. Červená – „neplatný“: podařilo se prokázat neplatnost podpisu, například protože se dokument po podpisu změnil nebo byl certifikát podepisující osoby ještě před podpisem zneplatněn. Žlutá – „stav platnosti neznámý“: platnost se nepodařilo prokázat, ale to neznamená, že by podpis byl neplatný. Žlutá je nejčastější a aplikace vždy řekne, co konkrétně chybělo.

Ne. Je to spíš pokrčení rameny: aplikace neměla dost podkladů, aby platnost prokázala – a neměla ani důvod prohlásit podpis za neplatný. Nejčastěji jí chybí použitelný údaj o tom, zda certifikát nebyl zneplatněn, typicky u starších podpisů. Co přesně chybělo a co s tím lze udělat, najdete v záložce „Analýza“, v bloku „Zjištěné důvody a doporučení“. → tip Jak rozumět tomu, že platnost zůstala neznámá

Jsou to stupně „síly“ podpisu. Zaručený elektronický podpis odhalí změnu dokumentu. Současně říká, komu by měl podpis patřit - ale na tuto informaci se bez dalšího nemůžeme spoléhat. Může být pravdivá (odpovídat skutečnosti), ale také nemusí. U uznávaného elektronického podpisu se na informaci o podepsané osobě již můžeme spoléhat, a nepotřebujeme k tomu nic dalšího (žádné další ověření či jiný důkaz). Stejně tak by uznávaný elektronický podpis odhalil každou změnu podepsaného dokumentu. U kvalifikovaného elektronického podpisu se také můžeme spoléhat na informaci o podepsané osobě (bez potřeby něčeho dalšího), a je zde výrazně nižší riziko zneužití (protože je zde povinná ochrana soukromého klíče před okopírováním, jeho umístěním v tzv. kvalifikovaném prostředku).

Správná otázka: v běžné praxi se používá pojem "uznávaný elektronický podpis", a to pro takový elektronický podpis, který je založený na kvalifikovaném certifikátu, ale nesplňuje požadavky na to, aby se jednalo o kvalifikovaný elektronický podpis. Pak se tedy rozlišují kvalifikované, uznávané a zaručené elektronické podpisy, jako tři vzájemně různé a disjunktní (tj. od sebe oddělené) elektronické podpisy. Problém je v tom, že právo používá stejný pojem "uznávaný elektronický podpis" pro takový druh elektronických podpisů, který není disjunktní (resp. oddělený) od ostatních druhů elektronických podpisů. Zahrnuje totiž v sobě dva druhy elektronických podpisů: jak ten, který je "zaručeným elektronickým podpisem, založeným na kvalifikovaném certifikátu", tak i ten, který je kvalifikovaným elektronickým podpisem. Takže když se v právu řekne "uznávaný elektronický podpis", není bez dalšího upřesnění jasné, o kterou z oněch dvou možností by se mělo jednat. Proto aplikace AnEP používá terminologii běžné praxe a o uznávaných elektronických podpisech mluví tam, kde by právo mělo na mysli "zaručený elektronický podpis, založený na kvalifikovaném certifikátu".

Kvalifikované elektronické časové razítko důvěryhodně dokládá, že dokument (a jeho podpis) existoval v určitém okamžiku. Díky němu lze ověřit platnost podpisu i dlouho poté, co skončila platnost certifikátu podepisující osoby – posuzuje se pak k okamžiku připojení časového razítka. Podpis bez časového razítka lze zpravidla spolehlivě ověřit jen do konce platnosti certifikátu (obvykle rok). Proto je dobré časová razítka k podpisům připojovat.

Ne nutně. Kvalifikované, uznávané a zaručené elektronické podpisy nemají žádnou vizuální podobu, a tak se k nim někdy připojuje určité grafické ztvárnění (tzv. vizualizace). Je to určitá pomůcka pro uživatele, kteří jsou zvyklí "něco v těle dokumentu vidět". Je to ale jen grafika, kterou si podepisující může nastavit libovolně – svým grafickým ztvárněním (například napsaným jménem) nemusí odpovídat skutečné osobě, které podpis patří. Může to být dokonce obrázek bez jakékoli indikace nějaké osoby či jména, například smajlík či jiný emotikon. Rozhoduje vždy skutečný elektronický podpis a jeho certifikát. AnEP vizualizace rozpoznává a upozorňuje na to, že vizualizace nemusí vždy odpovídat podepsané osobě.

V záložce „Analýza“, v bloku „Zjištěné důvody a doporučení“. Každý důvod má popis problému běžnou řečí a radu „Co může pomoci“, u některých i podrobnější technický výklad a radu pro zkušenější. Kde už pomoc není (například když se dokument změnil), aplikace to řekne rovnou a nic nepředstírá.

Je to vědomý ústupek od přísných technických standardů – například připustí i údaje o stavu revokace certifikátu získané později, než standardy dovolují, nebo starší algoritmus SHA-1, nebo starší formát podpisu. Jiné nástroje (např. CzechPOINT) takové ústupky běžně dělají. Ústupek platí vždy jen pro jedno ověření a kladný výsledek, který na něm stojí, to má výslovně uvedeno. Posouzení, zda je takový výsledek pro vás dostačující, je na Vás.

Podpis lze spolehlivě ověřit jen tak dlouho, dokud jsou dostupné a využitelné všechny nezbytné podklady: platný certifikát nebo časové razítko, a údaje o tom, že certifikát nebyl zneplatněn. Certifikátům ale po čase končí platnost a vydavatelé přestávají potřebné údaje o stavu revokace zveřejňovat. Když dokument tyto podklady neobsahuje sám, jeho ověřitelnost postupně zaniká – i když se na něm nic nezměnilo. Tomu je třeba předcházet včas.

Schopnost podpisů a pečetí na dokumentu zůstat ověřitelné i po letech. Dosahuje se tím, že se k dokumentu včas přidají údaje potřebné pro pozdější ověření a nové časové razítko – a to se opakuje dřív, než skončí platnost předchozího razítka. Záložka „Digitální kontinuita“ v AnEP ukáže, do kdy lze dokument ověřit (v AnEP, ve validátorech podle standardů a na CzechPOINTu či v podatelnách) a co a do kdy je potřeba udělat.

Prodlouží dobu, po kterou půjde dokument ověřit. Aplikace sama vybere nejlepší možnost, kterou stav dokumentu dovolí: „Uchovat“ doplní všechny podklady i nové razítko, takže dokument ověří každý validátor; „Přerazítkovat“ a „Prodloužit“ jsou slabší náhrady, když úplné uchování už možné není. Výsledkem je nový soubor, např. dokument_Uchovano_do_02_05_2032.pdf. → Co aplikace umí, kapitola 10

Ne. Původní soubor zůstane beze změny a vznikne nový. Ani v novém souboru se nic z podepsaného obsahu nepřepisuje – údaje pro ověření a nové časové razítko se jen přidávají za stávající obsah. Podpisy tedy zůstávají platné a k dokumentu přibude jen to, co jejich ověřitelnost prodlužuje.

Zdroj časových razítek se nastavuje v Nastavení. Aplikace umí předvyplnit veřejný zdroj kvalifikovaných časových razítek Sectigo, který je v malém množství poskytuje zdarma, a zkušební zdroj PostSignum (zkušební razítka ale nemají právní účinky – jsou jen na vyzkoušení). Další zdroje, např. placená razítka od tuzemských poskytovatelů, si můžete přidat sami.

Uchování prodlužuje ověřitelnost jen po určitou dobu – do konce platnosti certifikátu autority, která vydala použité časové razítko. Toto datum je přímo ve jménu nového souboru. Před jeho uplynutím je třeba uchování zopakovat (jde to opakovaně). Aby se na to nezapomnělo, nabídne aplikace připomínku do kalendáře se zvoleným předstihem.

Pro takové případy nabízí AnEP tzv. forenzní balíček: zabalí nedotčený originál spolu se vším ověřovacím materiálem, který se podařilo získat, se soupisem jeho původu, a vše opatří časovým razítkem. Ověřit platnost podpisu to už neumožní, ale při případném sporu má znalec doloženo, které podklady v daném okamžiku existovaly.

Každý validátor ověřuje trochu jinak. Validátory podle evropských standardů (včetně dalších nástrojů postavených na knihovně DSS) jsou přísné a nedělají ústupky. CzechPOINT, podatelny úřadů a některé další programy mají vlastní zásobu starších revokačních informací a jsou shovívavější např. ke staršímu algoritmu SHA-1 – ale přísněji posuzují časová razítka. Proto může stejný dokument jinde dopadnout lépe i hůř. AnEP v Analýze odhaduje, kde má ověření šanci uspět.

Přesně to předem říct nelze – AnEP nezná nastavení ani zásoby jejich systémů, proto o nich mluví vždy v podmiňovacím způsobu („mohly by“). Odhad najdete v záložce „Digitální kontinuita“, kde je u každého podpisu uvedeno, do kdy by ho měly ověřit CzechPOINT a podatelny. Pokud je ověřitelnost ohrožena, aplikace nabídne úkon (např. přerazítkování), který ji pro tyto validátory může prodloužit.

DSS (Digital Signature Service) je otevřená softwarová knihovna Evropské komise pro vytváření a ověřování elektronických podpisů podle evropských norem. Staví na ní řada validátorů, včetně demonstrační ověřovací služby Evropské komise a některých komerčních služeb. AnEP používá DSS pro samotné ověření – při stejném nastavení (a podobné verzi DSS) by proto měl dojít ke stejnému závěru jako ostatní validátory postavené na DSS, ale výsledek navíc srozumitelně vysvětlí.

Žádný validátor nevydává konečný a závazný verdikt pro všechny situace. O tom, zda dokument přijme, rozhoduje ten, komu ho předkládáte (úřad, soud, obchodní partner), a obvykle k tomu používá svůj vlastní nástroj. AnEP vám pomůže porozumět, proč dopadl výsledek jak dopadl, a předem odhalit problémy, které by mohly nastat jinde – a pokud je to ještě možné, včas je napravit.

Jde nejspíš o výstup tzv. eLegalizace (ověření podpisu nebo listiny podle zákona o právu na digitální služby, provedené na CzechPOINTu nebo advokátem). Takový dokument se na jiný dokument odkazuje pomocí jeho otisků a ten druhý dokument v souboru není. AnEP vazbu rozpozná, vyzve vás k přiložení odkazovaného dokumentu a ověří, zda k sobě dokumenty skutečně patří.

AnEP to umí posoudit z technické stránky: zda jde o PDF či PDF/A, zda nese platné uznávané či kvalifikované podpisy s potřebnými náležitostmi, platné časové razítko, zda nejde o prostý sken a zda nepoužívá zastaralý algoritmus SHA-1. Rozbor najdete v záložce „Analýza“, ale jen v expertním módu (zapíná se v Nastavení). Právní posouzení obsahu listiny to samozřejmě nenahrazuje.

Vytvořte protokol: z „Zjednodušeného přehledu“, „Rozšířeného přehledu“ nebo (v expertním módu) z „Detailního rozboru“, podle toho, jak podrobný má být. Protokol se uloží jako PDF v archivním formátu PDF/A a jmenuje se podle ověřovaného souboru. Do protokolu se dostane i to, co máte na obrazovce sbalené. Stejně tak si (v expertním módu) můžete stáhnou protokoly, generované přímo knihovnou DSS.

Ano, před vytvořením protokolu se aplikace na obojí zeptá. Časové razítko doloží, kdy protokol vznikl a že se od té doby nezměnil (k tomu musí být v Nastavení vybrán zdroj časových razítek). Přiložený ověřovaný soubor umožní ověření kdykoli zopakovat z jediného souboru; protokol pak vznikne ve formátu PDF/A-3, který přílohy připouští.

Ne. Dokument se ověřuje přímo ve vašem počítači. Do internetu aplikace chodí jen pro veřejné údaje potřebné k ověření – pro důvěryhodné seznamy a údaje o stavu certifikátů od jejich vydavatelů. Když k dokumentu nebo protokolu necháte přidat časové razítko, odchází k vydavateli razítka jen tzv. otisk (hash) dokumentu, ze kterého obsah dokumentu zjistit nelze.

Nastavení, vlastní certifikáty a seznamy a uložené důvěryhodné seznamy leží ve složce %APPDATA%\SignatureAnalyzer (na Linuxu ~/.config/SignatureAnalyzer); jinak aplikace do systému nezasahuje. Verzi s instalátorem odinstalujete běžně přes Nastavení Windows, portable verzi stačí smazat i se složkou s daty.