Firme digitali e validazione reale di ciò che è stato effettivamente accettato

Il tuo sistema presuppone che ti stiano dando accesso alla loro chiave privata. Se lo fanno, allora le cose sono già rotte e la chiave potrebbe probabilmente essere dichiarata come compromessa e non vincolante (a seconda della giurisdizione). Una chiave privata deve essere sempre controllata dall'utente a cui appartiene e deve rifiutarsi di consentire all'utente di firmare qualcosa per suo conto.

Invece, lavorando correttamente, dovresti dare loro una copia del documento da firmare, che firmerebbero loro stessi e ti restituirebbero una copia. Altrimenti, in realtà stai solo attestando che hanno "firmato" il documento e quasi certamente non sarebbe un documento vincolante dal momento che in realtà lo stai firmando.

Questo è effettivamente l'equivalente di te che componi un documento e poi firmi il mio nome su di esso. È un falso e non è vincolante. Potrebbe esserci un caso legale a riguardo, ma è molto probabile che vada a loro favore.

Sembra che quello di cui stai parlando sia una firma elettronica piuttosto che digitale. Non è possibile avere l'autenticazione crittografica di una firma digitale per chiunque non sia il titolare della chiave privata e solo il titolare di una chiave privata può firmare qualcosa. Se un'azienda lo firma per tuo conto, non è una firma digitale, ma piuttosto elettronica. Non verifica che sia stato effettivamente tu a firmarlo e in genere non ha una maggiore legittimità rispetto a "Accetto" su un EULA. In molti casi, per poter reggere in tribunale, l'azienda deve essere in grado di dimostrare che sei stato tu a fare effettivamente clic sul pulsante e che è su di loro dimostrare che il documento non è cambiato. (Il millesimo può variare a seconda della giurisdizione, e io non sono un avvocato.) Questo può essere piuttosto difficile da fare.

Se l'altra parte del documento ha un senso, rileverà rapidamente il tuo comportamento nefasto. L'intero punto delle firme digitali è che qualcuno può verificare che il documento e la firma coincidano.

Facciamo un esempio. Sto registrando un contratto sul tuo sito web. Si visualizza il contratto (documento A) e io sono d'accordo. Quindi si modificano i termini del documento a proprio vantaggio (creazione del documento B) e si firma. Poi mi mandi un messaggio per posta (ho intenzione di insistere su questo).

• Se mi mandi un documento A per posta elettronica, la firma digitale non corrisponderà quando la verificherò, quindi i miei sospetti sono suscitati.
• Se mi mandi un documento B per posta, allora vedo che i termini sono cambiati e lo sfido.

L'unico modo per inviarmi il documento A e una firma che corrisponde al documento B è trovare una collisione nel processo di firma, che se un processo appropriato è seguito, sarà più o meno impossibile.

how can we truly validate that the data/contract that I present to the user for review is the same as the data/contract that has been signed?

Per quanto ho capito, questo è il problema di integrità di base. Solitamente è risolto come segue: decifrare la firma con la chiave pubblica per ottenere l'hash originale, confrontarlo con l'hash effettivo. Se differiscono, il documento è stato manomesso (e, si spera, con una funzione hash adeguata, l'inverso è vero).

L'integrità non è basata su ciò che vedo o mostro ma su ciò che posso calcolare. Questo mi rende scomodo con il software proprietario che fa tutto per me, anche se il software può anche essere firmato o certificato.

struggling to understand how anything can be more secure than taking my word as a provider that I will not alter the data/contract that is shown to the user.

Se si tratta di un'applicazione web, userai ovviamente https per evitare l'uomo nel mezzo e suppongo che tu possa richiedere una certificazione dei tuoi metodi da parte di terzi. Questo ti costerà molto a causa del lavoro richiesto e del rischio.