אימות מסמך חתום

מה חתם תקף מוכיח

שהממצאים, ערכי הביטחון שלהם, הסדר שלהם וכל ערך שנשמר, הם בדיוק כפי שהונפקו, בזמן שצוין. לכל ממצא יש ערך hash משלו, כך שערך בודד שהשתנה מאותר במדויק במקום לבטל את הקובץ כולו.

מה הוא לא מוכיח

שהמידע שבבסיס נכון. שלמות ודיוק הן שאלות שונות. מסמך חתום משחזר בנאמנות מה שהמקורות אמרו בזמן האיסוף; הערכה אם המקורות האלה צדקו נותרת תפקידו של האנליסט — ולכן לכל ממצא בדוח Blackout יש דירוג מקור משלו.

למה לא סתם checksum

כי hash ללא מפתח מגן מפני תאונות, לא מפני אנשים. כל מי שעורך מסמך יכול לחשב מחדש את ה-checksum שלו. החותמות האלה חתומות במפתח שנמצא רק בשרתים שלנו, כך שמקבל יכול לאמת מסמך אך לא יכול לזייף אותו.

איך לבדוק מסמך שנשלח אליכם

1. בקשו מהשולח את הדוח את הייצוא החתום שלו — קובץ JSON שנוצר מאותו חיפוש. PDF הוא תצוגה של הקובץ הזה ואי אפשר לבדוק אותו במכונה בעצמו, לכן PDF לבדו אינו מספיק.
2. הדביקו את הקובץ כולו בתיבה שלמעלה. דבר אינו מועלה לחשבון ואין צורך בכניסה.
3. השוו את ההפניה ואת זמן ההנפקה המוצגים לאלה המודפסים במסמך שקיבלתם. חתם תקף עבור מסמך אחר אינו אומר לכם דבר על המסמך שבידיכם.

אם האימות נכשל

כישלון אינו הוכחה לכוונה רעה, וכדאי לקבוע איזה סוג של כישלון זה לפני שמתייחסים אליו ככזה. הסיבות הנפוצות רגילות לחלוטין: הקובץ הועתק מלקוח דואר שעיצב אותו מחדש, הודבק רק חלק מהייצוא, או שהמסמך נערך לאחר ההנפקה מסיבה לגיטימית כמו הסתרת פרטים של צד שלישי. הקונסולה מציינת את הממצאים הספציפיים שכבר אינם תואמים, לכן בקשו את הייצוא המקורי והשוו. מסמך שנכשל גם בעותק נקי הוא כזה שתוכנו אינו ניתן לייחוס ל-Blackout Intelligence, ויש להתייחס אליו כאל חסר מקור.

מי משתמש בזה

בנקים וספקי תשלום הבודקים את תיק הקליטה של לקוח, מבטחים וחתמים הבוחנים הגשה של מתווך, עורכי דין שמקבלים גילוי מהצד השני, וצוותי רכש שמקבלים הערכת ספק שלא הזמינו. בכל מקרה לקורא יש סיבה טובה לרצות שהמסמך ייבדק, ואין לו קשר לפלטפורמה שהפיקה אותו, ולכן האימות פומבי וחינמי.

שימוש תכנותי

POST /api/verify עם { seal, cards, collection } נלקח ישירות מהייצוא. ללא אימות, אותה תוצאה. השמיטו collection והמקוריות מדווחת כבלתי נבדקת ולא כמאומתת.