6大主流电子签名技术区别对比分析
互联网金融、B2B电子商务、旅游、教育等互联网应用的迅猛发展，带动了在线电子签名的应用需求，为了使互联网商务行为有法可依、有据可循，越来越多的互联网平台积极寻求合法有效的在线电子签名方案。近两年，无数相关服务商涌入电子签名领域，提供电子签名的方式也是多种多样，如果用户错误选择了不符合自身业务的电子签名方案，不仅无法实现业务提升，还极有可能使业务陷入困境。市面上的电子签名方案都是一样的合法有效吗?电子签名都有哪些相关技术呢?
本文分析对比目前6大主流电子签名技术，解释不同电子签名技术存在的差异，从安全性和信任度、法律接受、易用性、互操作性和成本方面进行比较和评估，从而帮助用户正确选择适合自身业务的技术方案。
1、基本电子签名
基本电子签名可以是放置在文档上表示签名者同意签署的任何标记，例如鼠标波纹、在触摸屏上绘制的签名、上传的图像(手写签名的图片或红色印章)、以特殊脚本字体键入的签名、键入的名称甚至电子邮件地址。
安全性与信任度 1星
基本的电子签名几乎没有安全性!它可以容易地从一个文档复制到另一个文档。应用基本电子签名后，并不能保护文档免受非法篡改，它也无法实现签名者身份唯一性的验证，可以很轻易地被否认“这不是我的签名”。
合法性 1星
虽然基本电子签名也会在法庭被接受作为证据，但这些签名标记不提供任何确凿的证据，缺乏安全和可信，很容易引起争议，无法真正帮助到案件的审判。
易用性 4星
基本电子签名易于应用，没有必要提前注册用户或请求他们登录，不需要验证用户真实身份，文档可以简单地在web浏览器中呈现，并要求用户键入或绘制他们的签名。
互操作性 1星
因为基本电子签名只是一个图像或其他标记，没有机制使验证者确定电子签名是否可信，因此互操作性非常低。
成本 4星
基本电子签名应用成本比较低。除非您希望最终用户在签名板上绘制签名，在这种情况下，需要通用移动设备(例如iPad)或专用签名板(例如Wacom，Signotec)。
总体结论 1星
基本电子签名不提供任何有意义的安全机制或身份追溯机制，不适用于任何比较严谨的在线交易或在线应用，仅适用于低价值应用，或已经有其他的情境证据，或没有文件需要持续保护的应用场景。
2、生物特征电子签名
生物特征电子签名是通过收集用户特有的一些生物特征信息，并将其附加到文档中来创建电子签名。生物特征信息可能包括指纹、虹膜扫描，而 最常见的例子是测量实际签名绘制过程的物理性质，例如：使用专门的硬件平板和触针测量签名的速度、压力、笔斜度和形状/尺寸。
安全与信任 2星
虽然生物特征电子签名听起来很安全，但是他们实际上很容易受到重放攻击的欺骗。生物特征电子签名的样本数据库最初是如何生成并防止黑客攻击的?如何验证是谁安全持有这些样本数据，可以比对捕获的生物特征数据?生物特征具备唯一性，一旦生物特征库被攻破，将无法通过更新数据来防止盗用。当攻击者也持有相同的样本数据库，生物特征电子签名的安全性将大打折扣。
合法性 2星
生物特征电子签名在法庭上是可以接受的，但是就像基本电子签名一样，它们的弱安全性和互操作性不能提供令人信服的证据。
易用性 1星
需要专用设备来捕获生物特征信息并验证数据，这是一个大问题，使其在远程环境下很难得到有效应用，例如移动办公签署文档。
互操作性 1星
互操性上的主要问题是，生物识别签名基于专有技术，主流的文档查看程序(如Adobe Reader)根本无法验证签名，需要专用的软件来签署并验证这些签名，大大限制了这类方案的普遍应用。
成本 1星
生物特征签名方案相对昂贵，因为它们需要专业的硬件和软件。
总体结论 1星
由于基本的安全性、互操作性和成本问题，这种类型的电子签名不能推荐用于通用电子商务应用。它们在某些特定的使用环境下是有用的，如签名者和验证者在受控环境中操作并具备必要设备和软件。
3、具有见证数字签名的电子签名
让用户先创建一个基本电子签名，然后由服务提供商添加一个长期数字签名，由此创建了见证数字签名。使用服务提供商的见证签名密钥对整个文档进行数字签名后，见证数字签名可以保护用户的电子签名和文档，并通过时间戳鉴定用户签名的精确时间。
特性
• 用户电子签名操作的日期/时间由见证签名时间戳鉴定并记录
• 由于文档受到数字见证签名的保护，因此无法进行更改
安全与信任 2星
服务提供商使用单因素或多因素认证技术来认证用户，将用户制作的电子签名标记(绘制签名或印章图片等)绑定到文档中，用服务提供商的数字见证签名密钥签名文档，保护用户电子签名标记不被篡改，同时确保文档的完整性，在不被发现的情况下无法对文档进行任何更改。
这种方法的弱点是数字签名本身不认证实际用户，因此接收者/验证者需要依赖于服务提供商的日志。如果这些签名没有正确实施，可能会有争议，而且签名本身无法提供期望的完全安全和信任，每个电子签名都必须由数字见证签名长期保护。
合法性 2星
这类电子签名在法庭上可以被接受，但取决于服务提供商的日志记录在细节和防篡改方面做得是否充足。但是，您需要注意，当您不再使用服务提供商的服务或服务提供商停业时，支持您签名文档的法律证据将何去何从!没有服务提供商的日志，就没有证据表明是否是特定用户执行了签名操作!
易用性 4星
这种方法与基本电子签名具有相同的易用性，从用户角度看没有区别(服务提供商签名是可以自动应用的)，文档可以随时在任何地方签名。
互操作性 2星
使用标准数字签名(如PAdES)保护的基本电子签名在许多第三方PDF文档阅读器(如Adobe®Reader)中可被识别和执行。然而，由于签名不包含用户强身份认证信息，这种电子签名技术在互操作性方面不具备优势，长期数字见证签名仅在未来数年保护文档。
成本 4星
有一个很大的优点在于，不需要向最终用户提供专门的硬件设备或软件，也不需要为每个终端用户签发证书，只需要采用一个服务提供商的数字见证签名证书即可，这使得这种签名技术成本更低。
总体结论 2星半
建议将其作为入门级电子签名方案，如果服务提供商在认证用户和管理相关日志方面能够确保安全，那这类方案还是可以提供合理的有效保证。这类方案可以为每个用户的电子签名标记提供识别和保护，保护文档的完整性并提供精准的签名时间戳，但是对服务提供商的依赖性比较强，需要服务提供商的数字见证签名才能长期有效地保护文档。
4、带有个人数字签名的电子签名
带有个人数字签名的电子签名是一种特殊类型的加密数字签名，它是使用签名者唯一控制的签名密钥创建的，签名者的数字证书清楚地标识了签名者真实身份。这类方案需要认证每个最终用户的身份，并提供唯一签名密钥。用户使用唯一密钥签名文档，还可附带可视化的签名外观，展示用户的电子签名和其他文本，标识签名者的名字、签名的原因和日期/时间，所有这些都安全绑定在原始文档中。
特性
• 签名者的身份在文档中绑定 – 无法由其他人代替签名
• 在不破坏签名的情况下，不能以任何方式更改文档
• 签名这无法否认签名文档
安全与信任 5星
这类方案提供高度的安全性。经过数字签名的文档，无法在不被发现的情况下做任何更改;创建数字签名需要用户控制下的唯一密钥，因此数字签名只能由用户创建，签名者身份可追溯;用户需要经过可信任机构的强身份验证，将用户信息绑定到其签名证书上，证书可以由组织或可信第三方证书颁发机构颁发;签名证书可以存储在智能卡或令牌上，集中安全地保存在硬件安全模块(HSM)或加密数据库中，或在用户的移动设备内，确保证书高强度安全。
合法性 4星
这类方案在适当实施时在法院提供了高度保证和强烈的不可否认性。权威时间戳为签名时间提供证明，签名时签署者的证书没有被撤销等证据，都直接嵌入到文档中，签名者很难辩称他们没有签署文档。这种签名不需要强烈依赖服务提供商日志，日志只在必要的时候提供辅助作用。
易用性 4星
这类电子签名方案需要为每个最终用户提供身份认证及签名证书，因此常被误认为是操作复杂度很高的方案，但一些新技术的出现使得身份认证、证书获取和文档签署过程变得更加方便快捷，比如电子签名平台的服务方式，只需用户使用浏览器或移动应用即可完成身份认证、证书获取、查看或签署文档。用户的签名密钥使用HSM或受保护的数据库进行集中安全管理，使用只有每个签名密钥所有者才知道的密码进行加密。总体易用性和具有见证数字签名的电子签名方案基本相同。
互操作性 5星
使用工业标准数字签名技术，如ISO 32000，ISO 19005，PAdES格式，使得这类方案具有非常好的互操作性。用户身份可以通过知名的证书颁发机构(CA)来确保，数字签名可以直接由Adobe®Reader等文档查看程序自动验证。
成本 4星
集中保存密钥和证书成本较低，如果需要将密钥和证书存储在智能卡上，则需要一定的硬件成本，此外通过可信第三方CA机构为每个用户提供唯一身份认证的证书也需要一定的成本。
总体结论 4星
这是值得推荐的解决方案，但值得注意的是其实施的方式可多种多样，如何验证用户身份、如何创建证书、如何设置证书生命周期、如何使用和保存密钥等实施细节，对方案最终的有效性会产生很大的影响。比如：采用自建CA签发的用户证书，在合规性及法律有效性等方面将大打折扣，远不如可信第三方CA提供的用户证书合法有效。
5、合格的电子签名
上一节描述的带个人数字签名的电子签名，实施的方式多种多样，要使其达到合格电子签名的标准，还需要满足更高级别的安全性，比如：用户证书必须由我国依法成立的电子认证服务机构颁发，才能受到我国《电子签名法》保护;签名方法应遵循国际标准才能满足互操作性;证书颁发机构(CA)必须在主流文档查看程序(如Adobe Reader)的可信任CA列表中，才能确保文档在查看时自动验证数字签名。满足以上条件的个人数字证书电子签名才是合格的电子签名。
安全与信任 5星
合格的电子签名提供最高级别的安全性，因为签名和验证的整个过程是标准化的，指定受信任的CA机构验证最终用户身份后颁发签名证书，确保身份认证、证书创建等过程标准化、合法化，用户签名密钥在经过认证的硬件设备内得到高度保护，试图否认自己的电子签名行为也是没有用的。
合法性 5星
《电子签名法》 规定，可靠的电子签名与手写签名或者盖章具有同等的法律效力;电子签名需要第三方认证的，由依法设立的电子认证服务提供者提供认证服务。这意味着，可靠电子签名可以直接作为证据提交给法院，而无需进行昂贵的公证流程。
易用性 3星
通过云服务平台来创建合格的电子签名，使得这类方案易用性和数字见证签名方案相同。
互操作性 5星
使用工业标准数字签名技术，如ISO 32000，ISO 19005，PAdES格式，使得这类方案具有非常好的互操作性。用户身份可以通过知名的证书颁发机构(CA)来确保，数字签名可以直接由Adobe®Reader等文档查看程序自动验证。
成本3星
这类合格电子签名方案需要为每个最终用户提供身份认证及签名证书，从合格的证书颁发机构(CA)获取合格的数字证书需要一定的成本。但购买合格证书不再是唯一的收费模式，随着云服务平台的应用，出现更多灵活的收费模式，比如：按使用次数收费或按年收费不限制签名数量等，让应用量较大的客户可以随需选择，大大降低应用成本。
总体结论 4星半
建议客户选择符合《电子签名法》的电子认证服务机构及合格的云服务平台获取合格的电子签名，实现更高的安全性和合法性。这类合格电子签名方案，适用于签署严肃谨慎的电子合同或法律文件，与手写签名或者盖章具有同等的法律效力。
总体对比
6、沃通我签文件(WoSignDoc)电子签名平台
我签文件(WoSignDoc)电子签名平台是沃通CA提供的电子签名云服务平台，用户可直接在平台上签署文档，或使用电子签名API接口将在线电子签名方案无缝集成到现有的业务平台中。
沃通CA是我国工信部许可的合法电子认证服务机构，提供的可靠电子签名受我国 《电子签名法》保护，与手写签名和盖章具有同等法律效力;沃通遵循工业标准数字签名技术，签发的数字证书符合国际标准;沃通CA根证书已列入Adobe可信任的CA列表中，签发的数字证书受Adobe信任，可通过Adobe文档查看程序自动验证数字签名的有效性。因此，沃通CA可提供完全符合合格电子签名要求的在线电子签名方案，此外，还可根据用户需求提供其他多种类型的电子签名方案，供用户合理选择。
1、平台签署
用户可直接注册登录我签文件(WoSignDoc)电子签名平台，完成在线身份验证、在线签署文档、邀请其他签署方签署文档等流程。平台签署仅支持合格电子签名方案，合格电子签名方案具有唯一性、保密性、完整性和不可抵赖性等特征。
• 每一个签名者(个人或单位)都必须经过真实身份认证并获颁数字证书(唯一身份密钥), 未完成真实身份认证，无法在平台上签署文档;
• 签名者使用自己的数字证书签署文档，签名者身份绑定在文档中，签署行为不可否认;
• 沃通CA使用自己的数字证书，对已签署的文档进行见证数字签名，并生成签署日志嵌入到文档中，可作为辅助证据加强签署行为的可追溯性;
• 在不破坏签名的情况下，无法以任何方式更改文档，保护文档完整性;
• 已签署的文档以PDF格式输出，Adobe文档查看程序可自动验证数字签名有效性。
2、API接口集成
互联网金融平台、在线旅游平台、O2O平台、供应链平台、电商平台等各类互联网平台，可通过API接口将在线电子签名方案无缝集成到现有业务平台上，不影响平台原有的架构和功能，不改变现有业务流程，快速安全地应用权威第三方的电子签名服务。
通过API接口集成的在线电子签名方案，支持3种电子签名方案：
1) 合格电子签名方案：API接入方(各类互联网平台或信息系统)及其终端用户(平台用户或信息系统用户)都必须完成真实身份认证并获颁数字证书(唯一身份密钥)，使用数字证书签署文档。
2) 基本电子签名方案A：仅对API接入方进行真实身份认证;其终端用户仅验证电子邮箱，获颁免费电子邮件证书用于签署文档，使用电子邮箱作为终端用户同意签署的标记。
3) 基本电子签名方案B：仅对API接入方进行真实身份认证;其终端用户无需验证任何信息或仅提供手写签名的图片等基本电子签名标记，即可签署文档。
沃通原创整理，转载请注明出处 http://www.wosign.com/news/2017-0420-01.htm