電子簽名需要滿足法律的規(guī)定，才能被視為是一個可靠的電子簽名，才可以與手寫簽名或者蓋章具有同等效力。但是，由于電子簽名屬于數(shù)據(jù)電文，具有天然的易篡改性，所以需要由依法設(shè)立的電子認(rèn)證服務(wù)提供者提供電子簽名認(rèn)證服務(wù)。根據(jù)國標(biāo)GB/T25064《電子簽名格式標(biāo)準(zhǔn)》，我國的電子簽名由可信服務(wù)提供者提供，包括提供數(shù)字證書的機(jī)構(gòu)CA和提供可信時間戳的專業(yè)時間戳服務(wù)機(jī)構(gòu)TSA。

    一、電子簽名的主要參與方

    電子簽名在其產(chǎn)生和使用的過程中，要涉及多方面的機(jī)構(gòu)和角色，主要是四個電子簽名主要參與方：

    （1）簽名者。簽名者是指創(chuàng)建電子簽名的實體，當(dāng)簽名者使用預(yù)定義的格式對數(shù)據(jù)進(jìn)行數(shù)字簽名時，就代表了它對被簽名數(shù)據(jù)的一種承諾。

    （2）驗證者。驗證者是指對電子簽名進(jìn)行合法性驗證的實體，它可以是單個實體，也可以是多個實體。

    （3）可信服務(wù)提供者（TSP）。可信服務(wù)提供者是指幫助簽名者和驗證者建立信任關(guān)系的一個或多個實體。它們?yōu)楹灻吆万炞C者提供了建立信任關(guān)系的可信服務(wù)，例如證書、交叉證書、時間戳、證書撤銷列表、在線證書查詢等等。

    以下列表列出了一些主要的TSP:

    a）認(rèn)證機(jī)構(gòu)（CA），為用戶提供公鑰證書。

    b）注冊機(jī)構(gòu)（RA），在CA給用戶頒發(fā)證書前對用戶進(jìn)行認(rèn)證和注冊。

    c）時間戳機(jī)構(gòu)（TSA）證明數(shù)據(jù)在某個確定時間前產(chǎn)生。

    （4）仲裁者。仲裁者是指在簽名者和驗證者之間發(fā)生爭論時，進(jìn)行裁決的實體。

    二、電子簽名的格式類型

    （1）基本電子簽名（BES），這類電子簽名主要包含數(shù)字簽名和其他簽名者提供的基本信息。

    （2）帶時間戳的電子簽名（ES-T），這類電子簽名在基本電子簽名的基礎(chǔ)上添加了時間戳，其目的是保證一定程度的長時間的有效性。

    （3）帶完全驗證數(shù)據(jù)的電子簽名（ES-C），這類電子簽名在ES-T的基礎(chǔ)上，添加了一套完整的用來驗證電子簽名的數(shù)據(jù)，例如證書撤銷參考信息等等。但其中可能包括了一些參考信息，如一個網(wǎng)址，需要驗證者去該網(wǎng)址獲得具體數(shù)據(jù)。

    （4）帶擴(kuò)展的驗證數(shù)據(jù)的電子簽名（ES-X），這類電子簽名在ES-C的基礎(chǔ)上，添加了一些額外數(shù)據(jù)，以適應(yīng)一些特殊情況。

    （5）帶歸檔時間戳的電子簽名（ES-A），這類電子簽名是在上述各種電子簽名基礎(chǔ)上形成的，主要是為長期歸檔保存電子簽名，所以對整個電子簽名添加時間戳，以保證長期安全性。

    簽名者在提交電子簽名時，至少應(yīng)給出BES格式的簽名在某些情況下可以決定是否提供ES-T格式的電子簽名，在某些極端情況下可以提供ES-C格式的電子簽名。

    如果簽名者沒有提供ES-T,則驗證者可在收到電子簽名時立即自行創(chuàng)建一個ES-T或者保存一個接收簽名時間的安全記錄。驗證者的這二種方法都可以為驗證時間提供一個獨(dú)立的證據(jù)，而驗證時間實際上應(yīng)接近電子簽名的創(chuàng)建時間，使得其可以有足夠證據(jù)來防止對簽名的否認(rèn)。如果簽名者沒有提供ES-C,驗證者可在BES基礎(chǔ)上自行創(chuàng)建一個ES-C,前提是其可以獲得相應(yīng)的驗證數(shù)據(jù)。除此三種外，ES-X和ESA均為可選支持格式。

    三、電子簽名驗證的目標(biāo)

    對電子簽名的驗證必須符合電子簽名策略，驗證的結(jié)果有3種情況：

    （1）簽名有效。這個結(jié)果意味著該電子簽名通過了驗證，并且符合電子簽名策略的所有要求。

    （2）簽名無效。簽名無效基于以下二種情況：

    a）電子簽名的格式錯誤；

    b）數(shù)字簽名驗證失敗，例如：數(shù)字簽名完整性檢測失敗；驗證過程中所使用的數(shù)字證書已經(jīng)無效或者被撤銷；

    （3）不完全驗證。這個結(jié)果意味著電子簽名的格式?jīng)]有錯誤，數(shù)字簽名也已經(jīng)通過驗證，但是沒有足夠的信息判斷該電子簽名是否符合其簽名策略的要求。例如，簽名策略需要一些附加信息，這些信息對數(shù)字簽名的有效性沒有任何影響，但是現(xiàn)在因為無法獲得，所以無法判斷是否符合簽名策略。在這種情況下，驗證者應(yīng)根據(jù)策略要求用戶自行處理“部分正確”的電子簽名，也可在信息足夠時再度對電子簽名進(jìn)行驗證。

    四、電子簽名必須由第三方電子認(rèn)證服務(wù)機(jī)構(gòu)簽發(fā)認(rèn)證證書嗎？

    根據(jù)《電子簽名法》第16條規(guī)定：“電子簽名需要第三方認(rèn)證的，由依法設(shè)立的電子認(rèn)證服務(wù)提供者提供認(rèn)證服務(wù)。”

    根據(jù)《電子認(rèn)證服務(wù)管理辦法》第2條規(guī)定：“本辦法所稱電子認(rèn)證服務(wù)，是指為電子簽名相關(guān)各方提供真實性、可靠性驗證的活動。本辦法所稱電子認(rèn)證服務(wù)提供者，是指為需要第三方認(rèn)證的電子簽名提供認(rèn)證服務(wù)的機(jī)構(gòu)（以下稱為‘電子認(rèn)證服務(wù)機(jī)構(gòu)’）。向社會公眾提供服務(wù)的電子認(rèn)證服務(wù)機(jī)構(gòu)應(yīng)當(dāng)依法設(shè)立。”

    《電子認(rèn)證服務(wù)管理辦法》第17條規(guī)定：“電子認(rèn)證服務(wù)機(jī)構(gòu)應(yīng)當(dāng)保證提供下列服務(wù)：（一）制作、簽發(fā)、管理電子簽名認(rèn)證證書。（二）確認(rèn)簽發(fā)的電子簽名認(rèn)證證書的真實性。（三）提供電子簽名認(rèn)證證書目錄信息查詢服務(wù)。（四）提供電子簽名認(rèn)證證書狀態(tài)信息查詢服務(wù)。”

    根據(jù)《電子合同取證流程規(guī)范》（GB/T39321-2020）第3.6條的規(guī)定，電子認(rèn)證服務(wù)機(jī)構(gòu)是負(fù)責(zé)創(chuàng)建、分發(fā)證書在必要時提供驗證以證用戶身份的機(jī)構(gòu)。

    因此，如果一份采用電子簽名方式簽署的合同由電子認(rèn)證服務(wù)機(jī)構(gòu)簽發(fā)了認(rèn)證證書的，通常代表著使用電子簽名的簽署方身份已經(jīng)經(jīng)過合理的驗證。