Как проверить, что подписанное соглашение не изменяли?

Главное правило: сравнивайте с тем, что никто не мог изменить позже

Копию можно проверить только по тому, что было зафиксировано при подписании и не могло быть позднее изменено ни одним из вас. Две копии у одного человека мало что доказывают, поскольку он мог изменить обе. Полезный вопрос всегда один: что было зафиксировано при подписании и у кого это хранится?

Обычных ответов три: собственный оригинал каждой стороны, запись использованного сервиса электронной подписи и отпечаток, записанный на известную дату там, где ни одна сторона его не контролирует. Ниже они разобраны по очереди.

Бумага: сравните два оригинала постранично

Если у каждого сохранился подписанный бумажный оригинал, положите их рядом и сравнивайте страницу за страницей: формулировки, числа, даты, рукописные изменения и инициалы рядом, число страниц. Различия чаще всего скрываются в заменённых страницах и небольших изменениях чисел.

Если оригинал один, следующий по ценности вариант, скан или фото, полученные другим человеком при подписании по почте или в сообщении, поскольку сообщение имеет собственную дату. Сравните бумагу с ним.

PDF из сервиса электронной подписи

Большинство сервисов дают с подписанным файлом две вещи. Первая, сертификат завершения или журнал действий: страница с документом, почтой каждого подписанта и временем просмотра и подписи. Вторая, во многих сервисах, цифровая печать на самом PDF.

Откройте подписанный PDF в программе с поддержкой цифровых подписей и найдите панель подписей. Если файл имеет печать, панель сообщит, менялся ли документ после подписания. Затем сравните свою копию с полученной другим участником и с копией сервиса, если ваш аккаунт позволяет её скачать.

Расположение сертификата и панели различается, поэтому обратитесь к справке своего сервиса. Помните, на чём основана проверка: даты и журнал действий поступают от сервиса, и остальные принимают их из его отчёта.

Соглашение TrustChain, пошагово

В TrustChain эта проверка предназначена для закреплённой записи. Закрепление записывает отпечаток в транзакцию Polygon с датой. Только закреплённая запись позволяет выявить изменения: изменённая запись перестаёт совпадать. Публичная ссылка работает после обеих подписей и не требует аккаунта.

Для шагов с 1 по 3 нужен только браузер. Для шага 4 нужен Node.js на компьютере. Если хотите его пропустить, страница «Проверить запись» на trustchain.biz/verify-signature сравнит в браузере вставленный отпечаток с указанным в публичной записи TrustChain для этого ID.

1. Откройте публичную запись. Откройте публичную ссылку, заканчивающуюся 8-символьным ID записи. Аккаунт не нужен. Закреплённая запись указывает закрепление в Polygon.
2. Сохраните отпечаток и транзакцию. Скопируйте отпечаток и дату «Закреплено», затем откройте датирующую транзакцию Polygon через «Посмотреть в Polygonscan».
3. Найдите тот же отпечаток в Polygon. В обозревателе проверьте успешность транзакции и её дату. Время может быть на несколько секунд раньше времени «Закреплено» на странице: это момент сохранения закрепления TrustChain. Затем найдите те же 64 символа отпечатка во входных данных транзакции.
4. Запустите открытый инструмент проверки. Запустите trustchain-verify из открытого репозитория TrustChain на GitHub с ID записи. Он прочитает публичную запись и Polygon, сравнит их и перечислит все выполненные проверки и то, чего они не показывают.

Попробуйте на примере записи

Запись trustchain.biz/verify/5c79fbb0 является примером: собственной тестовой записью TrustChain, созданной при разработке, а не соглашением клиента. Она закреплена в Polygon, поэтому все шаги работают, и собственные тесты открытого инструмента записаны по ней.

С Node.js 18 или новее эти три команды скачивают инструмент и запускают его для примера:

1. git clone https://github.com/TRUSTCHAIN-creator-KK/trustchain-protocol.git
2. cd trustchain-protocol
3. node verify/bin/trustchain-verify.js 5c79fbb0

• trustchain-verify на GitHub: исходный код, все проверки и то, чего успешный результат не показывает

Что проверяет открытый инструмент

trustchain-verify работает только на чтение. Он делает один запрос в TrustChain к тому же публичному адресу API, что и страница записи, а всё остальное читает из публичных узлов Polygon. Он никогда не отправляет транзакций и не требует ключей или аккаунта.

Работа завершается кодом выхода. 0 означает успех всех проверок, 1 означает провал проверки. 2 означает, что инструмент не смог завершиться, например из-за отсутствия сети, и никогда не является оценкой записи.

Успех означает выполнение всех условий:

1. Публичная запись содержит закрепление: отпечаток и транзакцию Polygon.
2. Транзакция успешна в Polygon и направлена контракту закрепления TrustChain, код которого соответствует исходникам в репозитории.
3. Её отправил кошелёк закрепления TrustChain. Записывать в контракт может любой, поэтому эта проверка важна.
4. Отпечаток транзакции соответствует показанному в записи, как и собственный журнал контракта.
5. Контракт по-прежнему хранит этот отпечаток с тем же временем, и время блока совпадает.

Что такое отпечаток

Отпечаток представляет собой короткий код, вычисленный из данных. Одинаковые данные всегда дают одинаковый отпечаток, а изменение одного символа даёт совершенно другой, поэтому совпадение означает отсутствие изменений в исходных данных.

Отпечаток TrustChain охватывает внутренний ID записи, название, условия, сумму и ID обоих аккаунтов. ID аккаунтов не показываются на публичных страницах, поэтому отпечаток нельзя вычислить только по тексту соглашения. Вставка текста в инструмент вычисления отпечатков никогда не даст значение TrustChain.

Инструмент также может заново вычислить отпечаток из файла записи с этими входными данными. Любой участник закреплённого соглашения может скачать его на вкладке «Доказательства», где проверка Polygon выполняет то же сравнение в браузере. PDF или сертификата недостаточно, поскольку они не содержат ID аккаунтов.

Закрепление записывает не только отпечаток: транзакция Polygon содержит его вместе с ID записи TrustChain и двумя пустыми полями кошельков. Текст соглашения, имена и электронная почта в блокчейн не записываются. Хранение и закрепление описаны на trustchain.biz/security.

Чего эти проверки не показывают

Совпадение показывает, что кошелёк закрепления TrustChain записал этот отпечаток в Polygon в указанное время и публичная запись TrustChain по-прежнему сообщает тот же отпечаток. Контракт не имеет функции изменения или удаления записи. Остаются открытыми следующие вопросы, которые инструмент печатает каждый раз:

1. Кто эти люди и подписывал ли кто-либо. Подписание происходит в приложении TrustChain, а подписи и их время берутся из собственных записей TrustChain.
2. Принадлежность 8-символьного ID записи этому закреплению сверх слова TrustChain. Этот ID не записывается в блокчейн: там находится другой код, внутренний ID TrustChain. Связь устанавливается транзакцией, возвращаемой публичным API TrustChain.
3. Из чего вычислен отпечаток, если нет файла записи, который могут скачать только два участника соглашения.
4. Справедливость условий или их значение по вашему местному праву.
5. Что-либо о незакреплённой записи. Без закрепления публичного отпечатка нет, а запись опирается на собственный журнал TrustChain с временными метками.

Когда копии не совпадают

Не выбрасывайте ни одну копию и не исправляйте одну под другую. Сохраните обе как есть, запишите, когда и как заметили отличие, и сохраните сообщения, с которыми пришла каждая копия.

Затем сравните каждую копию с зафиксированным при подписании: другим оригиналом, сертификатом сервиса или закреплённым отпечатком. Следующий разговор начинается с конкретного различия и дат. Если спор касается содержания договорённости, это руководство поможет с первым ответом:

• Клиент говорит, что мы договаривались не так. Что дальше?