PDF हस्ताक्षर जाँचें

यह कि हस्ताक्षर के दायरे में आने वाली बाइट्स वही हैं जिन पर हस्ताक्षर हुआ था। हस्ताक्षर में फ़ाइल का एक फ़िंगरप्रिंट होता है, जो हस्ताक्षर करते समय लिया गया था। यह टूल वह फ़िंगरप्रिंट फिर से निकालकर दोनों का मिलान करता है। मेल खाएँ, तो तब से किसी ने न कोई शब्द बदला है, न कोई आँकड़ा, न कोई पेज। मेल न खाएँ, तो हस्ताक्षर के बाद कुछ बदला है, और टूल बताता है कि दो में से किस तरह: सामग्री में बदलाव हुआ, या फ़ाइल के आख़िर में कुछ और जोड़ा गया।

दोनों बातें सच हैं, और दोनों अलग सवालों के जवाब हैं। हस्ताक्षर सही होने का मतलब है कि गणित ठीक बैठता है: हस्ताक्षर सचमुच उसी प्राइवेट कुंजी से बना है जो फ़ाइल के अंदर वाले प्रमाणपत्र की है, और दस्तावेज़ मेल खाता है। जाँच न होने का मतलब है कि हम यह नहीं बता सकते कि प्रमाणपत्र सचमुच उसी व्यक्ति का है जिसका नाम उस पर है। इसके लिए प्रमाणपत्र जारी करने वाली उन संस्थाओं की सूची चाहिए जिन पर आपका ऑपरेटिंग सिस्टम भरोसा करता है, और ब्राउज़र का कोई पेज उसे पढ़ नहीं सकता। Acrobat यह जाँच कर सकता है, यह टूल नहीं, इसलिए अंदाज़ा लगाने के बजाय यह साफ़ बता देता है।

ज़रूरी नहीं, और यह फ़र्क समझ लेना काम का है। सेल्फ़-साइन्ड का मतलब है कि हस्ताक्षर करने वाले ने किसी संस्था से प्रमाणपत्र ख़रीदने के बजाय ख़ुद अपने लिए प्रमाणपत्र जारी किया। छेड़छाड़ की जाँच फिर भी पूरी तरह काम करती है, यानी आप पक्का जान सकते हैं कि फ़ाइल नहीं बदली। जो पक्का नहीं जान सकते, वह यह है कि इसे बनाया किसने, क्योंकि कोई भी किसी भी नाम से प्रमाणपत्र बना सकता है। सेल्फ़-साइन्ड हस्ताक्षर को लिफ़ाफ़े की सील जैसा समझें: उससे पता चलता है कि लिफ़ाफ़ा खोला नहीं गया, पर यह नहीं कि सील किसने लगाई।

क्योंकि हस्ताक्षर वाला हिस्सा ख़त्म होने के बाद भी फ़ाइल में बाइट्स हैं। हस्ताक्षर के बाद PDF में कुछ जोड़ा जाए तो वह इसी तरह जुड़ता है: किसी ने पेज, फ़ॉर्म में कोई जवाब या कोई और बदलाव जोड़ा, और वह उस हिस्से से बाहर है जिसकी गारंटी हस्ताक्षर देता है। कभी-कभी इसमें कुछ ग़लत नहीं होता: जब दूसरा व्यक्ति भी हस्ताक्षर करता है, तो अपना हिस्सा जोड़ता है, और टूल यह स्थिति पहचानकर उस पर चेतावनी नहीं देता। जब इन अतिरिक्त बाइट्स की कोई और वजह न दिखे, तो उन पर शक करें।

यह हस्ताक्षर का समय दिखाता है, और यह भी बताता है कि उस समय के पीछे किसी स्वतंत्र संस्था का टाइमस्टैम्प है या नहीं। टाइमस्टैम्प न हो, तो तारीख बस वही है जो उस वक़्त हस्ताक्षर करने वाले के कंप्यूटर ने बताई, और दावा सबूत नहीं होता: घड़ी में कोई भी समय सेट किया जा सकता है। टाइमस्टैम्प हस्ताक्षर करते समय किसी सर्वर से लेना पड़ता है, इसलिए बहुत-से अच्छे-भले हस्ताक्षरों में यह नहीं होता।

तो वह हस्ताक्षर की तस्वीर है, क्रिप्टोग्राफ़िक हस्ताक्षर नहीं। हस्ताक्षर वाली ज़्यादातर PDF में यही होता है, हमारे अपने «PDF पर हस्ताक्षर» टूल से बनी PDF में भी। हाथ से बनाया या स्कैन किया हस्ताक्षर पेज पर लगी स्याही जैसा है: आम तौर पर यह माना जाता है, पर इसके साथ कोई प्रमाणपत्र नहीं होता, इसलिए यहाँ जाँचने को कुछ नहीं है। यह टूल सिर्फ़ क्रिप्टोग्राफ़िक हस्ताक्षर के बारे में बताता है।