Så verifierar du en BankID-signatur

En underskrift är värdelös om den inte går att kontrollera. Här är vad en BankID-signatur faktiskt innehåller - och hur du själv bevisar att den är äkta.

Tre frågor en verifiering ska svara på

När du ska lita på ett signerat avtal vill du egentligen veta tre saker: vem skrev under, vad skrev de under, och var underskriften giltig vid tillfället? En riktig BankID-signatur svarar på alla tre.

1. Vem - identiteten

BankID-signaturen levereras med ett certifikat som utfärdats av undertecknarens bank. I det står namn och personnummer. Certifikatet är i sin tur signerat av bankens utfärdarcertifikat, som går att spåra upp till BankID:s rot. Det är den juridiskt starka delen: en svensk bank intygar att just den här personen autentiserade sig.

2. Vad - innehållet

Det här är den del som många missar. BankID signerar en datastruktur som omsluter två fält: det som visades för användaren (userVisibleData) och dold data (userNonVisibleData). AirSign lägger hela avtalstexten i det synliga fältet och dokumentets SHA-256-hash i det dolda. Underskriften binder alltså exakt det innehållet.

För att verifiera: räkna ut avtalets hash och jämför med den hash som låg i signaturen.

3. Giltighet - var BankID:t aktivt?

Vid signeringen hämtas ett OCSP-svar som visar att BankID:t var giltigt och inte spärrat just då. Det sparas tillsammans med signaturen och tidsstämplas. Så även om certifikatet senare löper ut går det att bevisa att det var giltigt vid signeringsögonblicket.

Var hittar jag allt detta?

I AirSign följer ett signaturcertifikat med varje signerat avtal - en egen sida i PDF:en med undertecknarens namn, personnummer, metod, IP, betrodd tidsstämpel och en aktivitetslogg. Du behöver inget konto: ladda bara upp PDF:en på verifieringssidan så jämförs hashen automatiskt och du ser hela beviskedjan.