ドキュメントは本当にDocuSignによって「署名」されていますか？
DocuSignが独自のマーケティング資料で説明している説明には満足できません（例 https://www.docusign.com/how-it-works/electronic-signature/digital-signature/digital- signature-faq 、 https://www.docusign.com/products/electronic-signature および https://www.docusign.com/how-it-works/セキュリティ ）。いくつか質問があります。
私にとって、ドキュメントに署名したい場合は、秘密キーでドキュメントのハッシュを暗号化する必要があります。受信者は、自分の署名のハッシュを復号化し、自分のハッシュの再計算と比較することで署名を検証できます。 DocuSignでは、自分の秘密鍵をどこでどのように提供できるか（それ自体は大きなセキュリティ問題になる）もわかりません。また、秘密鍵を秘密にしておくこともできません（つまり、自分の敷地内で、サーバーにアップロードされていません）。公開鍵についての言及もありません。実際、DocuSignはそのタイプのメタデータを私に提供しないので、ドキュメントの整合性と作成者を確認する方法はありません。そのためにWordを使用する必要があります。ドキュメントは改ざんされていません。
DocuSignはどのようにして本人確認を有意義な方法で検証しますか？これまで私が言えることは、彼らがメールアドレスの所有権（または少なくともメールボックスaccess）を確認できることだけです。確認を求められたことを覚えていません運転免許証またはパスポートスキャンのアップロードによる私の身元-それでは、法的に身元証明とどのように見なされますか？私の実在するアイデンティティとリンクできない場合、署名はどのようにして使用するのですか？誰でも私の有効期限が切れたHotmailアドレスの1つを要求し、DocuSignアカウントを作成して、それに署名することができます。
DocuSignが同時に1）IDの検証者、2）文書の所有者、および3）署名の生成者であるという問題があります-単一の法的エンティティであるという事実は、法的、そして確かに技術的であることを意味します、ドキュメント、その署名、およびその署名に関する主張を変更する手段。最初の世界の国々の政府がデータを復号化するよう企業に強要しようとする最近のニュースイベントを考えると、重要なものに「署名」するのに十分に信頼できるDocuSignであるとは考えにくいでしょう。また、DocuSignのコードベースは独占的でアクセスできないという事実もあります。私は彼らのWordを（ホームページでも）個別に監査し、監査が何かを意味していることを確認する必要があります。
また、偽の手書きの「署名」画像を生成する方法も好きではありません。テキストの横に誰かの手書きの写真を置いただけでは署名にはならないことが確立されていると思いました。私はこれがユーザーに与える可能性のある影響を懸念しています。一種の " CSI効果 "の場合、暗号の専門家は署名の写真で十分だと考え、この学習した「事実」を適用します。他のプラットフォームに対して、PKIに対する一般の認識を悪化させます（SSLについてユーザーを教育してきたすべての進歩の後）。
上記のDocuSignで見つけたと思う問題を考えると-契約紛争などの訴訟に巻き込まれ、DocuSignのバージョンが証拠として提示された場合-訴訟のどちらの当事者も、DocuSign文書は正当であると正当に主張できます-正直なところ、反対に、「署名」が信頼できないことを相手がどれほど簡単に示すことができるでしょうか。
つまり、誰かがDocuSignのサービスを要約して、それが暗号的に、または少なくとも合法的に健全であるかどうかを断定的に言うことができますか？
signatureは、最終的には法的な概念です。文書に署名するとき、あなたは本当に自分の頭を狙った合法的な銃を製造しています（したがって、通常は自分で署名するのではなく、他の人に署名してもらいたい）。署名の価値は、その法的権限、つまり、責任を適用し、署名者を非難することをどの程度許可するかによって決まります。暗号化要素（RSAなど）は、技術的な側面の構築に役立つツールにすぎませんが、それだけでは不十分です。最終的には、署名を定義する何らかの法的枠組みが必要です。
もちろん、これは管轄に依存します。それにもかかわらず、電子署名の法律を現在定義している国/州は、同じ方針に沿っている傾向があります。
署名は、申し立てられた署名者によって本当に署名されている限り、拘束力を持ちます。これはトートロジーに見えますが、重要な定義です。署名の法的価値は特定のテクノロジーに固有のものではないことを実際に述べています。メールの最後に名前を書くことは署名です。
重要なのは、証明の負担です。法的フレームワークは通常、システムを2つのカテゴリに分けます。署名が適切であると評されるもの、およびすべての証明作業を行わなければならないのは、署名したことを拒否する当事者です。申し立てられた署名者への帰属の明確な証拠が示されない限り、署名が無価値であると評されているもの。 「メールの末尾の名前」は後者のカテゴリに属します。肯定的な証拠は、署名者が電子メールを入力するのを見た証人である可能性があります。
署名のリファレンスは手書きの署名であり、技術的には絶対にひどいものです。検証が難しく、偽造される可能性があります。手書きの署名は、自分の署名を拒否する人を厳しく罰する法的枠組みのおかげで、今でも使用されています。手書きの署名は現実の世界で発生するので、（ペンで）署名するまさにその行為は多くの痕跡（証人など）を残すため、多くの人々は最終的に自分の署名を否認するのは危険すぎると感じます。
さらに複雑なのは、「コモンロー」の伝統の法制度は細かい部分を解決するために法学に依存する傾向があるため、米国や英国などの国は、「待って見る」（法廷で会いましょう」.
フランスでは、非常に「ラテン語」の法律システムがあり、事前に確立された厳密な定義、デカルトスタイルが本当に好きです）、法的フレームワークは、qualifiésであるシステムを定義します。彼らは独立した監査とフランスの官僚機構から期待できるすべての単純さを備えた管理プロセスを通過したことを意味します。その結果、このシステムの場合、証明の負担は署名が拘束力がないと主張する人にあります。 systèmesqualifiésのリストは published であり、DocuSignが表示されません[編集-2017年7月21日現在、DocuSign Franceがリストされています]。
DocuSignには、物事の合法性に特化した ページ があり、実際にはテクノロジーよりもはるかに重要です。特に、彼らはこれを言います：
DocuSignは、ドキュメントを否認防止のために防御するために必要なすべての証拠をお客様に提供してきた実績がありますが、DocuSignは、DocuSignedドキュメントの有効性を裏付けるために法廷で証言することにより、お客様に法的問題を支援するために利用できます。
どちらの暗黙的に彼らのシステムは「有効性を証明しなければならない」種類、つまりあなたが望むものではない傾向があることを認めます-しかし、彼らはいくつかの裁判所で良い結果を出したと主張します、そして彼らはあなたを助けるでしょう。その時点で、顧客/ビジネスパートナーに署名をさせるためにDocuSignを使用したい場合は、DocuSignからの強力なレベルの支援を保証する適切な条項が契約に含まれていることを確認することをお勧めします。保険など。あなたの弁護士チームが関与する必要があります。
DocuSignの優れた説明については、 https://crypto.stackexchange.com/questions/29501/how-can-cryptographic-signatures-be-somehow-linked-to-a-physical-signature を参照してください実際に機能します-それらの使用または暗号化（またはその欠如）を含みます。つまり、DocuSignは基本的に、特定のユーザーのアカウントにアクセスできる誰かが特定のドキュメントの条件に同意したことを証明する「証人」として機能します。 DocuSignはマーケティング資料での暗号化の使用を推奨していますが、実際の暗号化は実際の「署名」プロセスに不可欠な役割を果たしていません。
DocuSignドキュメントに「署名」するように依頼されましたが、私もそのプロセスに不思議に思っています。
カナダでは、デジタル署名は、私が知る限り、PIPEDA（個人情報保護および電子文書法）によってカバーされています。現在のコピーから2016年10月26日までの「安全な電子署名」のセクションには、次のように記載されています。
評議会の知事は、証明できることが証明されたことに評議会の知事が満足している場合にのみ、技術またはプロセスを規定することができます
（a）技術またはプロセスの人による使用に起因する電子署名は、その人に固有のものです。 （b）人による技術またはプロセスの使用人の電子署名を電子ドキュメントに組み込む、添付する、または関連付けることは人の単独の管理下;
（c）テクノロジーまたはプロセスを使用して、テクノロジーまたはプロセスを使用している人物を特定できます; and
（d）電子署名は、電子署名が組み込まれた後に電子文書が変更されたかどうかを判断するために使用できるように、電子文書とリンクすることができますin、電子文書に添付または関連付けられています。
ここで私が正しい場合、およびカナダにいる場合の重要なポイントは、プロセスは署名者の完全な/唯一の管理下にある必要があり、署名はあなたまでさかのぼることができます。署名は、ドキュメントが変更されていないことを示すことができる必要があります。
つまり、DocuSignは実際にはあなた/私ではなく、デジタル署名を行っています。
たとえば、Docusignでアカウントを作成しない、自己署名PKIキーペアをyourselfで生成しない、などの方法がわかりません。 DocuSignでは、これは「個人の唯一の管理下にある」と見なされます。ここで出された他のすべての異議も私を悩ませました。少なくとも悲惨な状況には関係があります。
1：公開鍵で暗号化し、秘密鍵で復号化します。公開鍵で検証された秘密鍵で署名します。注：秘密鍵はどこにも送信しないでください。
DSの公開鍵を取得する方法がないので、意味がありません。これらを非表示にする理由はありません。
2：署名者の身元の確認は必要ありません。 DocuSignの https://www.docusign.com/how-it-works/security#enforceability のページは強力に聞こえますが、知識のある弁護士がすぐにそれを破棄します。具体的には、彼らは「裁判所が容認できる」否認防止を次のように主張しています。これらのうち、タイムスタンプを除いて簡単になりすまされる可能性があります。
3：あなたは正しいです。彼らはあなたの身元を検証せず、あなたの鍵に署名しないことに注意してください。彼らはあなたの公開鍵を使用せず、あなたの秘密鍵で署名することもできません。それはすべて彼らの外見であり、それは良いことではありません。
4：私もそれが好きではありません。安全でないメールに私の署名を添付することを拒否します。
あなたは本当にこれの上にいます。これは、よく知らない人にとっては少しの偽物です。それは合法ですか？これは合法的なビジネスであり、高品質のデジタル署名サービスのように見えます。確かに、グラフィカルな署名のみに依存するソリューションよりもはるかに優れています。それはIS正しい方向への一歩です。しかし、注意すべきことがたくさんあります、そして私が彼らがすぐに修正することを望みます（そうではない）。
技術的な回答は、上記のさまざまな回答でカバーされています。署名は、DocuSign PKIと、DocuSign認証フレームワークを介してIDをアサートする信頼性とをリンクする信頼チェーンに依存しています。ポイントを説明するために、以下のシナリオでは、同じ基本的なメカニズムを使用して、署名の信頼度を高め、署名が法廷でどの程度立つかを示します。
検証された電子メールアドレスに基づくDocuSign PKI署名。元の送信者によると、これはおそらく信頼度が低く、DocuSign IDの検証に使用される電子メールアドレスアドレスが実在の人物に関連付けられるかどうかについての保証はほとんどないためです。
企業のシングルサインオン（SSO）対応の認証に基づくDocuSign PKI。ほとんどの組織はSSOを使用して、企業システムのユーザーが自分が本人であると主張している人物であるというレベルの信頼度（目撃など）を確立します。人事プロセスは、実在の人物と企業システム上のそのIDの間のリンク、したがって、DocuSign IDとそれを認証するために使用されるSSO IDの間のリンクを確立するのに役立ちます。 DocuSignはこれをPKI署名（DocuSignユーザーXがZでドキュメントYに署名したもの）でエンコードし、DocuSignを信頼して、ユーザーが本人であることを信頼できるユーザーであることを確認します。
多要素認証による組織SSOに基づくDocuSign PKI。上記のとおり、これにより、実際の物理IDと企業SSOで検証されたID、およびそれらに関連付けられたDocuSign ID間の強力なリンクが提供されます。多要素認証は、DocuSignに対して認証しているユーザーが本人であることを確信できるようにします。つまり、企業アカウントをリモートでハッキングしたのはハッカーだけではありません。
だから、これに基づいて-あなたのポイントを明示的にカバーする：
Docusignがユーザーを識別し、独自のPKIを安全に保つことが署名の信頼の基礎であるという点で、要点が不足しています。
仰るとおりです。すべてのDocuSign IDが等しいわけではなく、信頼は認証などの要素に依存しています。提案されたユースケースでは、複数の署名を通じてセキュリティをさらに強化していることに注目してください。つまり、組織のユーザーXが電子IDをハッキングした可能性がありますが、ドキュメントの署名に必要な3つの署名がすべてハッキングされた可能性ははるかに低くなります。
結局のところ、すべての署名は信頼に基づいています-単一のエンティティの信頼、またはエンティティのチェーンの信頼たとえば、すべてのPKIベースのシステムは、ルートCAの信頼に基づいています。私は、外部監査を受けた会社があり、開示に強いコミットメントを持っていることは、あなたが得る可能性が高いのと同じくらい信頼できると主張します。信頼は、企業が嘘をついていると判明した場合やセキュリティ違反があった場合に、企業としての価値がほぼ確実に消えるという事実に基づいています。 RSAの違反に続いて何が起こったかを追跡しましたか？ DocuSignを完全に信頼しているわけではありませんが、他のオプションと比較して信頼しています。他の人が言っているように、あなたが信頼しているウェット署名が信頼できるとどうやって知るのですか？
手書きの署名は目の保養です。署名済みのPDF=を開くと、DocuSignの署名鍵に署名したルートCAへの信頼の連鎖に基づいてデジタル署名を検証できます。