Jak sprawdzić, czy podpisana umowa nie została zmieniona?

Jedna zasada: porównuj z czymś, czego nie dało się później edytować

Kopię można sprawdzić tylko względem czegoś utrwalonego w chwili podpisania, czego żadna strona nie mogła później zmienić. Dwie kopie w rękach jednej osoby dowodzą niewiele, bo mogła zmienić obie. Przydatne pytanie jest zawsze to samo: co utrwalono przy podpisaniu i kto to posiada?

Są trzy częste odpowiedzi: własny oryginał każdej strony, zapis przechowywany przez używaną usługę e-podpisu oraz odcisk zapisany w znanym dniu w miejscu niekontrolowanym przez żadną ze stron. Poniższe części omawiają je kolejno.

Papier: porównaj oba oryginały strona po stronie

Jeśli każde zachowało podpisany papierowy oryginał, połóż je obok siebie i porównaj każdą stronę: brzmienie, liczby, daty, odręczne zmiany i inicjały obok nich oraz liczbę stron. Podmienione strony i drobne zmiany liczb to typowe miejsca rozbieżności.

Jeśli istnieje tylko jeden oryginał, kolejnym najlepszym materiałem jest skan lub zdjęcie otrzymane przez drugą osobę przy podpisaniu e-mailem lub wiadomością, bo wiadomość ma własną datę. Porównaj z nim papier.

PDF z usługi e-podpisu

Większość usług e-podpisu daje z podpisanym plikiem dwie rzeczy. Pierwszą jest certyfikat ukończenia lub dziennik audytu: strona wymieniająca dokument, e-mail każdego podpisującego oraz czas wyświetlenia i podpisania. Drugą, w wielu usługach, jest cyfrowa pieczęć samego PDF.

Otwórz podpisany PDF w czytniku obsługującym podpisy cyfrowe i znajdź panel podpisu. Jeśli plik ma pieczęć, panel informuje, czy dokument zmieniono po podpisaniu. Potem porównaj kopię z tą otrzymaną przez drugą osobę i z kopią nadal przechowywaną przez usługę, jeśli konto pozwala ją pobrać.

Miejsce certyfikatu i panelu zależy od usługi, więc sprawdź jej strony pomocy. Pamiętaj, na czym opiera się kontrola: daty i dziennik pochodzą od usługi, więc inni przyjmują je z jej raportu.

Umowa TrustChain krok po kroku

W TrustChain ta kontrola dotyczy zakotwiczonego zapisu. Kotwiczenie zapisuje odcisk w datowanej transakcji Polygon. Tylko zakotwiczony zapis wykazuje ingerencję: po zmianie przestaje pasować. Publiczny link działa po obu podpisach i nie wymaga konta.

Kroki od 1 do 3 wymagają tylko przeglądarki. Krok 4 wymaga Node.js na komputerze. Jeśli wolisz go pominąć, strona Sprawdź zapis pod trustchain.biz/verify-signature porówna w przeglądarce wklejony odcisk z odciskiem podanym w publicznym zapisie TrustChain dla danego identyfikatora.

1. Otwórz publiczny zapis. Otwórz publiczny link kończący się 8-znakowym identyfikatorem zapisu. Działa bez konta, a zakotwiczony zapis informuje o kotwiczeniu w Polygon.
2. Zanotuj odcisk i transakcję. Skopiuj odcisk i datę kotwiczenia, a następnie użyj Zobacz w Polygonscan, aby otworzyć datującą go transakcję Polygon.
3. Znajdź ten sam odcisk w Polygon. W eksploratorze sprawdź powodzenie transakcji i jej datę. Czas może być o kilka sekund wcześniejszy niż czas kotwiczenia na stronie zapisu, oznaczający chwilę zapisania kotwiczenia przez TrustChain. Następnie znajdź te same 64 znaki odcisku w danych wejściowych.
4. Uruchom otwarty weryfikator. Uruchom trustchain-verify z otwartego repozytorium TrustChain na GitHub, podając identyfikator zapisu. Odczytuje publiczny zapis i Polygon, porównuje je i wypisuje każdą kontrolę oraz to, czego nie wykazuje.

Wypróbuj na przykładowym zapisie

Zapis pod trustchain.biz/verify/5c79fbb0 jest przykładem: własnym testowym zapisem TrustChain utworzonym podczas prac, nie umową klienta. Jest zakotwiczony w Polygon, więc wszystkie powyższe kroki na nim działają. Na jego podstawie zapisano też testy otwartego weryfikatora.

Przy użyciu Node.js 18 lub nowszego te trzy polecenia pobierają weryfikator i uruchamiają go dla przykładu:

1. git clone https://github.com/TRUSTCHAIN-creator-KK/trustchain-protocol.git
2. cd trustchain-protocol
3. node verify/bin/trustchain-verify.js 5c79fbb0

• trustchain-verify na GitHub: kod źródłowy, wszystkie kontrole i to, czego nie dowodzi pozytywny wynik

Co sprawdza otwarty weryfikator

trustchain-verify działa tylko do odczytu. Wysyła jedno żądanie do TrustChain, do tego samego publicznego punktu API co strona zapisu, a resztę odczytuje z publicznych węzłów Polygon. Nigdy nie wysyła transakcji i nie wymaga kluczy ani konta.

Kończy się kodem wyjścia. 0 oznacza, że wszystkie kontrole przeszły, a 1, że jedna zawiodła. 2 oznacza, że narzędzie nie mogło zakończyć pracy, na przykład przez brak sieci, i nigdy nie jest oceną zapisu.

Pozytywny wynik oznacza spełnienie wszystkich warunków:

1. Publiczny zapis zawiera kotwiczenie: odcisk i transakcję Polygon.
2. Transakcja powiodła się w Polygon i trafiła do kontraktu kotwiczącego TrustChain, którego kod odpowiada kodowi opublikowanemu w repozytorium.
3. Wysłał ją portfel kotwiczący TrustChain. Każdy może zapisać do kontraktu, więc ta kontrola ma znaczenie.
4. Odcisk zapisany w transakcji odpowiada odciskowi w zapisie, podobnie jak dziennik samego kontraktu.
5. Kontrakt nadal przechowuje ten odcisk z tym samym czasem, zgodnym z czasem bloku.

Czym jest odcisk

Odcisk to krótki kod obliczany z danych. Te same dane zawsze dają ten sam odcisk, a zmiana jednego znaku daje zupełnie inny. Zgodność oznacza więc, że dane za nim się nie zmieniły.

Odcisk TrustChain obejmuje wewnętrzny identyfikator zapisu, tytuł, warunki, kwotę i identyfikatory obu kont. Identyfikatory kont nie pojawiają się na publicznych stronach, więc odcisku nie można obliczyć z samego tekstu umowy. Wklejenie tekstu do narzędzia obliczającego odcisk nigdy nie da wartości TrustChain.

Weryfikator może też ponownie obliczyć odcisk z pliku zapisu zawierającego dokładnie te dane wejściowe. Każda strona zakotwiczonej umowy może pobrać go z karty Dowód, gdzie kontrola Polygon wykonuje takie samo porównanie w przeglądarce. PDF lub certyfikat nie wystarczą, bo nie zawierają identyfikatorów kont.

Kotwiczenie zapisuje więcej niż odcisk: transakcja Polygon zawiera go wraz z identyfikatorem zapisu TrustChain i dwoma pustymi polami portfeli. Tekst umowy, nazwiska i e-maile nie trafiają do blockchaina. Przechowywanie i kotwiczenie zapisów opisano na trustchain.biz/security.

Czego te kontrole nie pokazują

Zgodność pokazuje, że portfel kotwiczący TrustChain zapisał ten odcisk w Polygon w danym czasie i że publiczny zapis TrustChain nadal podaje ten sam. Kontrakt nie ma funkcji zmiany lub usunięcia wpisu. Zgodność pozostawia otwarte poniższe kwestie, które weryfikator wypisuje za każdym razem:

1. Kim są osoby lub czy ktokolwiek podpisał. Podpisywanie odbywa się w aplikacji TrustChain, a podpisy i czasy pochodzą z jego własnych zapisów.
2. Że 8-znakowy identyfikator należy do tego kotwiczenia, poza zapewnieniem TrustChain. Ten identyfikator nie trafia do blockchaina (zapisany tam identyfikator jest innym, wewnętrznym kodem TrustChain). Łączy je transakcja zwracana przez publiczne API TrustChain.
3. Z czego obliczono odcisk, chyba że masz plik zapisu, który mogą pobrać tylko obie strony umowy.
4. Czy warunki są uczciwe lub co znaczą w miejscu zamieszkania.
5. Cokolwiek o zapisie, którego nigdy nie zakotwiczono. Bez kotwiczenia nie ma publicznego odcisku, a zapis opiera się na dzienniku audytu TrustChain ze znacznikami czasu.

Gdy kopie się nie zgadzają

Nie wyrzucaj żadnej kopii i nie edytuj jednej, by pasowała do drugiej. Zachowaj obie dokładnie w obecnym stanie, zapisz, kiedy i jak zauważono różnicę, i zachowaj wiadomości, z którymi przyszły.

Następnie porównaj każdą z tym, co utrwalono przy podpisaniu: drugim oryginałem, certyfikatem usługi lub zakotwiczonym odciskiem. Różnica, którą można wskazać wraz z datami, jest początkiem następnej rozmowy. Jeśli powstanie spór o ustalenia, ten poradnik opisuje pierwszą odpowiedź:

• Klient mówi, że ustalenia były inne. Co teraz?