近日，國內出臺了電子簽章技術國家標準--GB/T 38540-2020《信息安全技術 安全電子簽章密碼技術規范》，此技術標準將于10月1日正式實施。本標準有全國信息安全標準化技術委員會（SAC/TC 260）提出并歸口。

本標準由多個單位協同起草，規定了采用密碼技術實現電子印章和電子簽章的數據結構定義，以及相應的生成與驗證流程，同時，適用于電子印章的開發和使用，也可以用于指導該類系統的檢測。

《標準》中給出了電子簽章相關術語的定義：

一、電子印章：一種由電子印章制章者數字簽名的安全數據。

二、電子簽章：使用電子印章簽署電子文件的過程。

三、電子簽章數據：電子簽章過程產生的包含電子印章、原文信息和數字簽名等信息的數據。

四、電子印章系統：電子印章管理系統和電子簽章軟件的統稱。

安全電子簽章是通過采用PKI公鑰密碼技術，將數字圖像處理技術與電子簽名技術進行結合，以電子形式對加蓋印章圖像數據的電子文檔進行數字簽名，以確保文檔來源的真實性以及文檔的完整性，防止對文檔未經授權的篡改，并確保簽章行為的不可否認性。

為了確保電子印章的完整性，不可偽造性，以及合法用戶才能使用，需要定義一個安全的電子印章數據格式。通過數字簽名將印章圖像數據與簽章者等印章屬性進行安全綁定，形成安全電子印章。在使用印章過程中，應對電子印章進行安全性驗證。

在使用電子印章對各種文檔進行電子簽章過程中，簽章者通過數字簽名對文檔數據進行簽章處理，從而達到與傳統紙質文件蓋章操作相同的可視化效果，同時又利用數字簽名技術保障了文檔數據的真實性，完整性以及簽章者行為的不可否認性。

《標準》中給出了詳細的電子印章生成流程、驗證流程，以及對應的標準，電子簽章也是一樣。電子簽章的流程也比較復雜，我們簡化一下，電子簽章生成流程分為兩大步，又有9個小步：

一、準備電子印章，并驗證電子印章的正確性和有效性：

1.驗證電子印章；

2.驗證簽章者證書的有效性，包括證書有效期、證書密鑰等等；

3.根據電子印章中的簽章者證書列表類型，提取電子印章中的簽章者證書信息列表，并用來驗證證書有效性。

二、對原文進行電子簽章，步驟如下：

1.按照propertyinfo中的簽名保護范圍來準備待簽名原文；

2.將待簽名原文數據進行雜湊運算，形成原文雜湊值；

3.按照電子簽章數據格式組成簽章信息；

4.簽章者對簽章信息進行數字簽名，生成簽名值；

5.如果需要加蓋時間戳，則利用上述簽名值產生相應的時間戳；

6.將步驟3、4、5以及簽章者信息，簽名算法標識組成電子簽章數據。

最后，我們來大體上梳理一下電子簽章是如何驗證的：

一、驗證電子簽章數據格式的正確性；

二、驗證電子簽章簽名值是否正確；

三、驗證簽章者證書與電子印章的匹配性；

四、驗證電子印章的有效性；

五、驗證簽章者證書有效性；

六、驗證簽章時間的有效性；

七、驗證原文雜湊；

八、驗證時間戳有效性。

雖然電子簽章的應用流程看上去很復雜，但是在實際使用上，用戶是不需要去考慮流程問題的，因為第三方電子簽章平臺已經將流程全部放在后臺運行，電子簽章在文件上的表現只是一個圖片。

以微簽電子合同平臺為例，我們看下用戶是如何進行電子簽章的。

首先，用戶登錄微簽電子合同平臺，進行企業認證。

其次，在線制作電子印章/電子簽名，導入至微簽電子簽章平臺

最后，用戶上傳需簽署的文件，在簽署頁面添加簽章和時間戳。

電子簽章的數據驗證其實已經在后臺驗證完畢，大家只需要按照平臺指導進行使用，就可以簽署一份安全的電子合同了。