怎样的电子签名才值得信赖？
身份、完整性与时间：每个签名都必须回答的三个问题，以及 PQC Imza 如何逐一作答。
3 分钟阅读
手写签名赢得信任的方式是无声的：纸就在您面前，墨迹就在纸上，而法院知道如何检验这两者。电子签名没有任何这样的物理证据。它必须通过清楚地回答三个问题来赢得信任：无论何时有人问起，只要这份文档仍然重要，都要能答得上来。
谁签的？具体签了什么？又是什么时候签的？
谁签的：身份
最薄弱的电子签名，止步于一个电子邮箱地址或一个手动输入的姓名。这些都只是声称，任何能打开收件箱的人都可以做出这样的声称。
PQC Imza 将每个签名与一个经过验证的人绑定。PQC Wallet 应用通过 NFC 读取身份证或护照中的芯片，也就是边境检查时读取的那枚芯片。芯片中的数据由签发国签名，应用会用该国自己的证书来核验这个签名。复印件、截图或经过编辑的扫描件都无法通过这项核验，因为它们没有能为其签名的芯片。
PQC Imza 接受来自一百多个国家的芯片身份证和护照。每个签名还会记录其签署人的身份识别强度：在芯片验证之后做出的签名，与签署人身份只是自称的签名，显示得并不一样；无论签名出现在哪里，这种差别都会标示出来。
签了什么：完整性
签名必须绑定到一份确切的文档，而不是笼统的“那份合同”。否则，为某一个版本所做的签名，就可能被挪用到另一个版本上。
PQC Imza 上的每份文档都有一个 SHA-256 指纹，即根据其内容计算出的一个简短数值。哪怕只改动一个逗号，指纹也会彻底改变。每位签署人所签署的内容都包含这个指纹，不包含指纹的签名会被服务器拒绝。之后，任何人都可以把 PDF 上传到验证页面：网站会重新计算指纹，并明确告诉您这个文件是否就是被签署的那一份。
何时签的：时间
日期很重要：一个签名之所以有效，可能正是因为它是在截止日期之前、或在某个密钥被更换之前做出的。
PQC Imza 会记录每个签名的时间；最后一个签名完成后，它会把文档的指纹及其各个签名的指纹写入 SciChain 区块链。这条记录的时间取自账本（由多个验证节点保持同步），而不是我们的服务器。无论日后任何一台服务器发生什么，它都能证明这些签名在那个时间点之前就已存在。
而且，只要文档仍然重要
只有当签名本身无法被伪造时，这三个答案才站得住脚。如今大多数签名使用 RSA 或椭圆曲线密码学，而大型量子计算机能够攻破它们。PQC Imza 使用 ML-DSA 签名，这是 NIST 于 2024 年发布的后量子标准，因此在文档的整个生命周期内，这些答案都始终成立。这里解释了为什么这一点很重要。
一份简短的检查清单
无论您使用哪种服务，都可以问它以下这些问题：
- 身份：签署人是依据官方证件验证的，还是仅凭一个电子邮箱地址？
- 完整性：签名是否绑定到确切的文件？日后任何人都能核验这一点吗？
- 时间：是否有关于签署时间的独立记录？
- 长期有效性：十年之后，这个签名是否仍然无法伪造？
某个签名是否满足某项特定的法律要求，取决于它在何处、以何种方式使用。对于法律要求特定类型签名的文档，请咨询您的法律顾问。