Як перевірити, чи не змінювали підписану угоду?

Єдине правило: порівнюйте з тим, що ніхто не міг змінити пізніше

Копію можна перевірити лише відносно чогось, зафіксованого під час підписання, що жоден із вас не міг змінити після цього. Дві копії в однієї людини мало що доводять, адже вона могла змінити обидві. Корисне запитання завжди однакове: що було зафіксовано під час підписання й у кого воно зберігається?

Є три поширені відповіді: власний оригінал кожної сторони, запис у використаному сервісі електронного підпису та відбиток, записаний на відому дату десь поза контролем обох сторін. Далі розглянуто кожен варіант.

Папір: порівняйте два оригінали посторінково

Якщо кожен зберіг підписаний паперовий оригінал, покладіть їх поруч і порівняйте сторінка за сторінкою: формулювання, числа, дати, рукописні зміни й ініціали біля них та кількість сторінок. Саме в підмінених сторінках і невеликих правках чисел копії найчастіше відрізняються.

Якщо оригінал лише один, наступний найкращий варіант є скан або фото, яке інша людина отримала під час підписання електронною поштою чи повідомленням, адже повідомлення має власну дату. Порівняйте папір із ним.

PDF із сервісу електронного підпису

Більшість сервісів електронного підпису дають із підписаним файлом дві речі. Перша є сертифікатом завершення або журналом аудиту: сторінкою з документом, електронною адресою кожного підписанта та часом перегляду й підписання. Друга, у багатьох сервісів, є цифровою печаткою на самому PDF.

Відкрийте підписаний PDF у програмі, яка підтримує цифрові підписи, і знайдіть панель підписів. Якщо файл має печатку, панель повідомляє, чи змінювався документ після підписання. Потім порівняйте свою копію з копією іншої людини та з копією, яку досі зберігає сервіс, якщо ваш обліковий запис дозволяє її завантажити.

Розташування сертифіката й панелі залежить від сервісу, тому зверніться до його довідки. Пам’ятайте, на чому ґрунтується перевірка: дати й журнал аудиту надходять від сервісу, тож інші люди отримують їх із його звіту.

Угода TrustChain, крок за кроком

У TrustChain ця перевірка стосується закріпленого запису. Закріплення записує відбиток у датовану транзакцію Polygon. Лише закріплений запис дає змогу виявити зміни: змінений запис перестає збігатися з відбитком. Публічне посилання працює після підписання обома сторонами й не потребує облікового запису.

Для кроків від 1 до 3 потрібен лише браузер. Для кроку 4 потрібен Node.js на комп’ютері. Якщо ви волієте його пропустити, сторінка перевірки запису на trustchain.biz/verify-signature порівняє вставлений відбиток із відбитком, указаним у публічному записі TrustChain для цього ідентифікатора, у вашому браузері.

1. Відкрийте публічний запис. Відкрийте публічне посилання запису, яке закінчується його 8-символьним ідентифікатором. Воно відкривається без облікового запису, а закріплений запис повідомляє про закріплення в Polygon.
2. Занотуйте відбиток і транзакцію. Скопіюйте відбиток і дату закріплення, а потім натисніть «Переглянути на Polygonscan», щоб відкрити транзакцію Polygon, яка фіксує дату.
3. Знайдіть той самий відбиток у Polygon. В оглядачі перевірте успішність транзакції та її дату. Її час може бути на кілька секунд ранішим за час закріплення на сторінці запису, який означає момент збереження закріплення в TrustChain. Потім знайдіть ті самі 64 символи відбитка у вхідних даних транзакції.
4. Запустіть відкритий засіб перевірки. Запустіть trustchain-verify з відкритого репозиторію TrustChain на GitHub з ідентифікатором запису. Він читає публічний запис і Polygon, порівнює їх та друкує всі виконані перевірки й те, чого вони не показують.

Спробуйте на прикладі запису

Запис на trustchain.biz/verify/5c79fbb0 є прикладом: це власний тестовий запис TrustChain, створений під час розробки, а не угода клієнта. Він закріплений у Polygon, тому на ньому працює кожен описаний крок, а власні тести відкритого засобу перевірки були записані на його основі.

За наявності Node.js 18 або новішого ці три команди завантажують засіб перевірки й запускають його на прикладі:

1. git clone https://github.com/TRUSTCHAIN-creator-KK/trustchain-protocol.git
2. cd trustchain-protocol
3. node verify/bin/trustchain-verify.js 5c79fbb0

• trustchain-verify на GitHub: код, усі перевірки, які він виконує, і те, чого успішний результат не показує

Що перевіряє відкритий засіб

trustchain-verify працює лише на читання. Він робить один запит до TrustChain, до тієї самої публічної точки доступу, що й сторінка запису, а все інше читає з публічних вузлів Polygon. Він ніколи не надсилає транзакцій і не потребує ключів або облікового запису.

Робота завершується кодом виходу. 0 означає, що всі перевірки пройдено, а 1 означає невдалу перевірку. 2 означає, що засіб не зміг завершити роботу, наприклад через недоступну мережу. Це ніколи не є висновком про запис.

Успішний результат означає виконання всіх цих умов:

1. Публічний запис містить закріплення: відбиток і транзакцію Polygon.
2. Транзакція успішна в Polygon і надійшла до контракту закріплення TrustChain, код якого відповідає опублікованому в репозиторії.
3. Її надіслав гаманець закріплення TrustChain. Записувати до контракту може будь-хто, тому ця перевірка важлива.
4. Відбиток у транзакції збігається з відбитком запису, як і власний журнал контракту.
5. Контракт досі зберігає цей відбиток із тим самим часом, і час блоку збігається.

Що таке відбиток

Відбиток є коротким кодом, обчисленим із даних. Однакові дані завжди дають однаковий відбиток, а зміна одного символу дає зовсім інший, тож збіг означає, що дані, з яких його отримано, не змінилися.

Відбиток TrustChain охоплює внутрішній ідентифікатор запису, назву, умови, суму та ідентифікатори обох облікових записів. Ідентифікатори облікових записів не показуються на жодній публічній сторінці, тому відбиток не можна повторно обчислити лише з тексту угоди. Вставлення тексту в інструмент відбитків ніколи не дасть значення TrustChain.

Засіб перевірки також може повторно обчислити відбиток із файлу запису, який містить саме ці вхідні дані. Кожна сторона закріпленої угоди може завантажити його з вкладки доказів, де перевірка Polygon виконує те саме порівняння в браузері. PDF або сертифіката недостатньо, оскільки жоден не містить ідентифікаторів облікових записів.

Закріплення записує не лише відбиток: транзакція Polygon містить відбиток разом з ідентифікатором запису TrustChain і двома порожніми полями гаманців. Текст угоди, імена й електронні адреси в блокчейн не записуються. Зберігання та закріплення записів TrustChain описано на trustchain.biz/security.

Чого ці перевірки не показують

Збіг показує, що цей відбиток записано в Polygon у той час гаманцем закріплення TrustChain і що публічний запис TrustChain досі повідомляє той самий відбиток. Контракт не має функції зміни або видалення запису. Збіг залишає відкритими такі питання, і засіб щоразу їх друкує:

1. Хто ці люди або чи взагалі хтось підписав. Підписання відбувається в застосунку TrustChain, а підписи та їхній час походять із власних записів TrustChain.
2. Що 8-символьний ідентифікатор запису відповідає цьому закріпленню поза твердженням TrustChain. Цей ідентифікатор не записується в блокчейн (там записано інший код, внутрішній ідентифікатор TrustChain). Зв’язком між ними є транзакція, яку повертає публічна точка доступу TrustChain.
3. З чого отримано відбиток, якщо у вас немає файлу запису, який можуть завантажити лише дві сторони угоди.
4. Чи справедливі умови або що вони означають за місцем вашого проживання.
5. Будь-що про запис, який ніколи не закріплювали. Без закріплення публічного відбитка немає, і запис спирається на власний журнал аудиту TrustChain із часовими позначками.

Коли копії не збігаються

Не викидайте жодну копію й не редагуйте одну, щоб вона відповідала іншій. Збережіть обидві як є, запишіть, коли й як ви помітили відмінність, і збережіть повідомлення, з якими надійшла кожна копія.

Потім порівняйте кожну копію з тим, що було зафіксовано під час підписання: іншим оригіналом, сертифікатом сервісу або закріпленим відбитком. Конкретна відмінність із датами є початком наступної розмови. Якщо це переросте у спір про домовленість, цей посібник допоможе з першою відповіддю:

• Клієнт каже, що ми домовлялися про інше. Що тепер?