איך בודקים שהסכם חתום לא שונה?

הכלל היחיד: משווים לדבר שאיש לא יכול היה לערוך בהמשך

אפשר לבדוק עותק רק מול דבר שנקבע כשחתמתם ושאיש מכם לא יכול היה לשנות לאחר מכן. שני עותקים שנמצאים בידי אדם אחד מוכיחים מעט, מפני שאותו אדם יכול היה לשנות את שניהם. השאלה המועילה תמיד זהה: מה נקבע בעת החתימה, ומי מחזיק בו?

יש שלוש תשובות נפוצות: המקור של כל צד, הרשומה ששומר שירות החתימה האלקטרונית שבו השתמשתם, וטביעת אצבע שנרשמה בתאריך ידוע במקום שאינו בשליטת אף אחד מכם. החלקים הבאים עוברים עליהן אחת אחת.

נייר: השוו את שני המקורות עמוד מול עמוד

אם כל אחד שמר מקור חתום על נייר, הניחו אותם זה לצד זה ובדקו כל עמוד: הנוסח, המספרים, התאריכים, שינויים בכתב יד וראשי התיבות של החותמים לידם, ומספר העמודים. החלפת עמודים ושינויים קטנים במספרים הם המקומות שבהם עותקים נבדלים בדרך כלל.

אם קיים רק מקור אחד, האפשרות הבאה הטובה ביותר היא סריקה או תמונה שהאדם השני קיבל בדוא״ל או בהודעת טקסט בעת החתימה, מפני שלהודעה יש תאריך משלה. השוו את הנייר אליה.

קובץ PDF משירות חתימה אלקטרונית

רוב שירותי החתימה האלקטרונית מספקים שני דברים לצד הקובץ החתום. הראשון הוא אישור השלמה או יומן פעילות: עמוד שמציין את המסמך, את כתובת הדוא״ל של כל חותם ומתי כל אחד צפה וחתם. בשירותים רבים נוסף גם חותם דיגיטלי בקובץ ה־PDF עצמו.

פתחו את ה־PDF החתום בתוכנה שתומכת בחתימות דיגיטליות וחפשו את לוח החתימות שלה. אם הקובץ נושא חותם, הלוח מציין אם המסמך שונה לאחר החתימה. לאחר מכן השוו את העותק שלכם לעותק שקיבל האדם השני ולעותק שעדיין נמצא בשירות, אם החשבון שלכם מאפשר להוריד אותו.

מיקום האישור ולוח החתימות משתנה משירות לשירות, ולכן כדאי לעיין בדפי העזרה של השירות שלכם. זכרו על מה הבדיקה נשענת: התאריכים ויומן הפעילות מגיעים מהשירות, ולכן כל אדם אחר מסתמך על הדיווח שלו.

הסכם TrustChain, שלב אחר שלב

ב־TrustChain הבדיקה הזאת מיועדת לרשומה שעוגנה. העיגון רושם את טביעת האצבע של הרשומה בעסקת Polygon מתוארכת, ורק ברשומה שעוגנה אפשר לזהות שינוי באמצעות אי התאמה: אם משנים אותה, היא כבר אינה תואמת. הקישור הציבורי פועל לאחר ששניכם חתמתם ואינו דורש חשבון.

לשלבים 1 עד 3 נדרש רק דפדפן. לשלב 4 נדרשת התקנת Node.js במחשב. אם תרצו לדלג עליו, העמוד ״בדיקת רשומה״ בכתובת trustchain.biz/verify-signature משווה בתוך הדפדפן בין טביעת אצבע שאתם מדביקים לבין זו שמופיעה ברשומה הציבורית של TrustChain עבור אותו מזהה רשומה.

1. פתחו את הרשומה הציבורית. פתחו את הקישור הציבורי של הרשומה, שמסתיים במזהה הרשומה בן 8 התווים. הוא נפתח ללא חשבון, ורשומה שעוגנה מציינת שהיא מעוגנת בבלוקצ׳יין Polygon.
2. רשמו את טביעת האצבע ואת העסקה. העתיקו את טביעת האצבע ואת התאריך ״עוגן בתאריך״, ולאחר מכן פתחו את ״צפייה ב־Polygonscan״ כדי לראות את עסקת Polygon שקובעת את התאריך שלה.
3. מצאו את אותה טביעת אצבע בבלוקצ׳יין Polygon. בסייר הבלוקים בדקו שהעסקה הצליחה וקראו את התאריך שלה. הזמן שלה עשוי להיות מוקדם בכמה שניות מהשעה ״עוגן בתאריך״ בעמוד הרשומה, שהיא השעה שבה TrustChain שמרה את העיגון. לאחר מכן מצאו בנתוני הקלט את אותם 64 תווים של טביעת האצבע.
4. הפעילו את כלי הבדיקה הפתוח. הפעילו את trustchain-verify מהמאגר הפתוח של TrustChain ב־GitHub עם מזהה הרשומה. הוא קורא את הרשומה הציבורית ואת הבלוקצ׳יין Polygon, משווה ביניהם ומציג כל בדיקה שביצע וגם מה הבדיקות אינן מוכיחות.

נסו על רשומת הדוגמה

הרשומה בכתובת trustchain.biz/verify/5c79fbb0 היא דוגמה: רשומת בדיקה של TrustChain עצמה, שנוצרה בזמן הפיתוח, ולא הסכם של לקוח. היא מעוגנת בבלוקצ׳יין Polygon, ולכן אפשר לבצע עליה את כל השלבים שלעיל, וגם הבדיקות של הכלי הפתוח עצמו תועדו באמצעותה.

עם Node.js בגרסה 18 ומעלה, שלוש הפקודות הבאות מורידות את הכלי ומפעילות אותו על הדוגמה:

1. git clone https://github.com/TRUSTCHAIN-creator-KK/trustchain-protocol.git
2. cd trustchain-protocol
3. node verify/bin/trustchain-verify.js 5c79fbb0

• trustchain-verify ב־GitHub: קוד המקור, כל הבדיקות שהכלי מבצע ומה תוצאה תקינה אינה מוכיחה

מה כלי הבדיקה הפתוח בודק

trustchain-verify מיועד לקריאה בלבד. הוא פונה פעם אחת ל־TrustChain, לאותה נקודת קצה ציבורית שבה משתמש עמוד הרשומה, וקורא את כל השאר מצמתים ציבוריים של Polygon. הוא לעולם אינו שולח עסקה ואינו דורש מפתחות או חשבון.

הכלי מסיים עם קוד יציאה. 0 פירושו שכל הבדיקות עברו, ו־1 פירושו שבדיקה נכשלה. 2 פירושו שהכלי לא הצליח להשלים את הפעולה, למשל בגלל תקלה ברשת, ולעולם אינו קביעה לגבי הרשומה.

תוצאה תקינה פירושה שכל התנאים הבאים התקיימו:

1. הרשומה הציבורית מציינת עיגון: טביעת אצבע ועסקת Polygon.
2. העסקה הצליחה בבלוקצ׳יין Polygon ונשלחה לחוזה העיגון של TrustChain, שהקוד שלו תואם לקוד המקור שפורסם במאגר.
3. היא נשלחה מארנק העיגון של TrustChain. כל אדם יכול לכתוב לחוזה, ולכן הבדיקה הזאת חשובה.
4. טביעת האצבע שנכתבה בעסקה תואמת לזו שמוצגת ברשומה, וגם הרישום שלה ביומן של החוזה עצמו תואם.
5. החוזה עדיין שומר את אותה טביעת אצבע עם אותו זמן, וגם זמן הבלוק תואם.

מהי טביעת אצבע

טביעת אצבע היא קוד קצר שמחושב מתוך נתונים. אותם נתונים תמיד מפיקים אותה טביעת אצבע, ושינוי של תו אחד מפיק טביעה שונה לחלוטין. לכן התאמה מעידה שהנתונים שמהם חושבה לא השתנו.

טביעת האצבע של TrustChain כוללת את המזהה הפנימי של הרשומה, הכותרת, התנאים, הסכום ומזהי שני החשבונות. מזהי החשבונות אינם מוצגים באף עמוד ציבורי, ולכן אי אפשר לחשב מחדש את טביעת האצבע מתוך טקסט ההסכם בלבד. הכנסת הטקסט לכלי לחישוב טביעות אצבע לעולם לא תפיק את הערך של TrustChain.

כלי הבדיקה יכול גם לחשב מחדש טביעת אצבע מתוך קובץ רשומה שמכיל בדיוק את הנתונים האלה. כל אחד משני הצדדים להסכם שעוגן יכול להוריד אותו מהלשונית Proof של ההסכם, שבה בדיקת Polygon מבצעת אותה השוואה בדפדפן. PDF או אישור אינם מספיקים, מפני שאף אחד מהם אינו מכיל את מזהי החשבונות.

העיגון רושם יותר מטביעת אצבע: עסקת Polygon מכילה את טביעת האצבע לצד המזהה של TrustChain עבור הרשומה, עם שני שדות ריקים של כתובות ארנק. טקסט ההסכם, שמות וכתובות דוא״ל אינם נכתבים בבלוקצ׳יין. האופן שבו TrustChain שומרת ומעגנת רשומות מתואר בכתובת trustchain.biz/security.

מה הבדיקות האלה אינן מוכיחות

התאמה מראה שטביעת האצבע הזאת נכתבה בבלוקצ׳יין Polygon באותו זמן באמצעות ארנק העיגון של TrustChain, ושהרשומה הציבורית של TrustChain עדיין מציגה אותה טביעה. בחוזה אין פעולה לשינוי או למחיקה של רישום. גם כשיש התאמה, השאלות הבאות נשארות פתוחות, והכלי מציג אותן בכל הפעלה:

1. מי האנשים או שמישהו אכן חתם. החתימה מתבצעת באפליקציה של TrustChain, והחתימות והזמנים שלהן מגיעים מהרשומות של TrustChain עצמה.
2. שמזהה הרשומה בן 8 התווים שייך לעיגון הזה, מעבר לדיווח של TrustChain. מזהה הרשומה הזה אינו נכתב בבלוקצ׳יין: המזהה שנכתב שם הוא המזהה הפנימי של TrustChain, קוד אחר. הקשר ביניהם הוא העסקה שמחזירה נקודת הקצה הציבורית של TrustChain.
3. מאילו נתונים נוצרה טביעת האצבע, אלא אם יש לכם את קובץ הרשומה, שרק שני האנשים בהסכם יכולים להוריד.
4. שהתנאים הוגנים, או מה משמעותם במקום שבו אתם גרים.
5. דבר כלשהו על רשומה שמעולם לא עוגנה. ללא עיגון אין טביעת אצבע ציבורית, והרשומה נשענת על יומן הפעילות המתוארך של TrustChain עצמה.

כשהעותקים אינם תואמים

אל תשליכו אף אחד מהעותקים ואל תערכו אחד כדי שיתאים לשני. שמרו את שניהם בדיוק כפי שהם, רשמו מתי ואיך הבחנתם בהבדל ושמרו את ההודעות שצורפו לכל עותק.

לאחר מכן השוו כל עותק למה שנקבע בעת החתימה: המקור האחר, האישור של השירות או טביעת האצבע שעוגנה. הבדל שאפשר להצביע עליו, בצירוף תאריכים, הוא נקודת המוצא לשיחה הבאה. אם הדבר הופך למחלוקת על מה שהוסכם, המדריך הבא מסביר איזו תשובה ראשונה לשלוח:

• הלקוח אומר ״זה לא מה שסיכמנו״. מה עכשיו?