हस्ताक्षरकर्ता पूरी तरह विश्वसनीय नहीं: इस चेतावनी का मतलब

सीधा जवाब: दस्तावेज़ पर डिजिटल हस्ताक्षर है और हस्ताक्षर के बाद उसमें कोई बदलाव नहीं हुआ। VeriPatra बस यह नहीं जोड़ पाया कि हस्ताक्षर वाला प्रमाणपत्र किसी मान्यता प्राप्त प्राधिकरण से आया है। यानी आप जानते हैं कि किसी कुंजी से हस्ताक्षर हुआ है, पर केवल फ़ाइल से यह पता नहीं चलता कि वह कुंजी असल में किसकी है।

इसीलिए नतीजा पीला है — सावधानी ज़रूरी — न हरा, न लाल। ऐप में आपको दिखेगा "हस्ताक्षर है, पर हस्ताक्षरकर्ता पूरी तरह विश्वसनीय नहीं", और जाँच-सूची में लिखा होगा कि हस्ताक्षर वाला प्रमाणपत्र किसी मान्यता प्राप्त प्रमाणन प्राधिकरण का नहीं है।

इसका मतलब क्या है

डिजिटल हस्ताक्षर दो अलग सवालों का जवाब देता है:

• क्या हस्ताक्षर के बाद फ़ाइल बदली? यह सीधा गणित है। अगर यह जाँच पास हुई, तो जवाब है — नहीं।
• हस्ताक्षर किसने किया? यह उस प्रमाणपत्र पर निर्भर है जो हस्ताक्षर के साथ आता है, और इस पर कि वह प्रमाणपत्र किसने जारी किया।

कोई भी व्यक्ति अपने कंप्यूटर पर प्रमाणपत्र बना सकता है और उसमें कोई भी नाम लिख सकता है, किसी बड़ी कंपनी का नाम भी। जो प्रमाणपत्र उसके मालिक ने ख़ुद ही हस्ताक्षरित किया हो, उसे सेल्फ़-साइन्ड (self-signed) कहते हैं। वह पहचान के बारे में कुछ साबित नहीं करता, क्योंकि किसी स्वतंत्र संस्था ने उसकी जाँच नहीं की।

भारत में हस्ताक्षर-प्रमाणपत्र जारी करने से पहले पहचान जाँचना लाइसेंस प्राप्त प्रमाणन प्राधिकरणों (Certifying Authorities, CA) का काम है। ये प्रमाणन प्राधिकरण नियंत्रक (Controller of Certifying Authorities, CCA) के अधीन काम करते हैं। CCA भारत का रूट प्रमाणन प्राधिकरण (Root Certifying Authority of India) चलाता है, जो लाइसेंस प्राप्त CA की सार्वजनिक कुंजियों पर डिजिटल हस्ताक्षर करता है। eSign — वह ऑनलाइन हस्ताक्षर सेवा जो e-KYC से आपकी पहचान जाँचती है — भी लाइसेंस प्राप्त CA ही देते हैं।

तो "पूरी तरह विश्वसनीय नहीं" का मतलब आमतौर पर इनमें से कोई एक होता है:

• प्रमाणपत्र सेल्फ़-साइन्ड है;
• उसे किसी संस्था के अपने आंतरिक प्राधिकरण ने, या ऐसे प्राधिकरण ने जारी किया है जिसे VeriPatra नहीं पहचानता;
• फ़ाइल में पूरी कड़ी मौजूद नहीं है, इसलिए मान्यता प्राप्त रूट तक जोड़ नहीं बन सका।

इनमें से कोई भी बात अकेले यह नहीं बताती कि दस्तावेज़ ग़लत है। कई असली संस्थाएँ आंतरिक प्रमाणपत्रों से हस्ताक्षर करती हैं। इसका मतलब बस इतना है कि फ़ाइल यह साबित नहीं करती कि हस्ताक्षर किसने किया, इसलिए यह बात आपको किसी और तरीक़े से पक्की करनी होगी।

क्या करें

1. देखें कि प्रमाणपत्र ख़ुद को कौन बताता है

पूरी तकनीकी रिपोर्ट खोलें और हस्ताक्षरकर्ता का नाम, संस्था और जारीकर्ता देखें। क्या हस्ताक्षरकर्ता वही है जिसने आपको दस्तावेज़ भेजा? अगर प्रमाणपत्र पर किसी बैंक या विभाग का नाम है पर जारीकर्ता अनजान है, तो उस पर ज़्यादा शक करें, कम नहीं।

2. देखें कि बाक़ी कुछ विफल तो नहीं हुआ

अगर "हस्ताक्षर के बाद दस्तावेज़ में कोई बदलाव नहीं हुआ है" पास है और सिर्फ़ प्राधिकरण वाली पंक्ति पीली है, तो फ़ाइल सुरक्षित है। अगर दूसरी पंक्तियाँ भी विफल हैं, तो दस्तावेज़ को सत्यापन संभव नहीं मानें। तीन नतीजे पृष्ठ यह अंतर समझाता है।

3. अपने चुने हुए रास्ते से पुष्टि करें

संस्था को उसकी आधिकारिक वेबसाइट पर दिए नंबर या ईमेल से संपर्क करें, दस्तावेज़ में छपे नंबर से नहीं। पूछें कि क्या यह दस्तावेज़ उन्होंने ही भेजा है।

4. ज़रूरी मामलों में सही हस्ताक्षर वाली प्रति माँगें

पैसे, नौकरी, संपत्ति या सरकारी काम से जुड़े किसी भी दस्तावेज़ के लिए ऐसी प्रति माँगना उचित है जिस पर लाइसेंस प्राप्त CA के प्रमाणपत्र से, या eSign से, हस्ताक्षर हुआ हो।

आम सवाल

क्या पीले नतीजे का मतलब है कि किसी ने दस्तावेज़ से छेड़छाड़ की?

नहीं। अगर बदलाव वाली जाँच पास है, तो हस्ताक्षरित सामग्री ठीक वही है जिस पर हस्ताक्षर हुए थे। पीला रंग पहचान के बारे में है: फ़ाइल यह साबित नहीं कर सकती कि हस्ताक्षरकर्ता कौन है।

कोई दूसरा PDF रीडर अलग नतीजा क्यों दिखाता है?

हर रीडर की अपनी सूची होती है कि वह किन प्राधिकरणों पर भरोसा करता है, इसलिए एक ही फ़ाइल एक ऐप में विश्वसनीय और दूसरे में अनजान दिख सकती है। VeriPatra की सूची में भारत सरकार के CCA ट्रस्ट रूट शामिल हैं।

क्या भेजने वाला इसे ठीक कर सकता है?

हाँ। वह दस्तावेज़ पर लाइसेंस प्राप्त CA के प्रमाणपत्र से, या eSign से, दोबारा हस्ताक्षर कर सकता है। तब नई प्रति डिजिटल हस्ताक्षर सत्यापित — कोई बदलाव नहीं के रूप में आनी चाहिए।

और पढ़ें: डिजिटल हस्ताक्षर आपके नाम की तस्वीर क्यों नहीं है और रद्दीकरण की जाँच नहीं हो सकी।