本篇文章目录
01一、电子签名的“靠谱”与“真假”02二、识别电子签名的“靠谱”抑或“真假”01一、电子签名的“靠谱”与“真假”
电子签名是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。
《电子签名法》第13条规定：电子签名同时符合下列条件的，视为可靠的电子签名：（一）电子签名制作数据用于电子签名时，属于电子签名人专有；（二）签署时电子签名制作数据仅由电子签名人控制；（三）签署后对电子签名的任何改动能够被发现；（四）签署后对数据电文内容和形式的任何改动能够被发现。
之所以使用“可靠的”这一限定词，直白的说是“靠谱”，主要考虑到技术上的中立性，以适应不断发展的技术环境；在商务上增强用户对电子签名的信任，推动电子商务和电子政务的广泛应用。《电子签名法》使用“可靠的”一词，也明确了电子签名的法律效力，只要满足特定条件（如签名人身份可识别、签名受控等），即可具备与手写签名同等的法律效力。换言之，不满足可靠性要求的电子签名，不具有法律效力。
“假电子签名”是未经合法授权或通过伪造、篡改等技术手段生成的电子签名。“假电子签名”一定是不可靠电子签名，不可靠电子签名不一定是“假电子签名”，但两种电子签名都不具有法律效力——“签名无效”。
02二、识别电子签名的“靠谱”抑或“真假”
（一）“可靠的”电子签名是按照以下步骤生成：
1.身份实名认证方式：通过人脸识别、身份证验证、手机号验证、银行卡绑定等方式确认用户真实身份，确保电子签名人与实际签署人一致。
2.生成数字证书。由依法设立的电子认证服务机构（CA机构）签发数字证书。数字证书包含签名人的公钥、身份信息、证书有效期等，并通过CA机构的数字签名保证证书的权威性。
3. 私钥的生成、控制。私钥由签名人通过安全设备（如USB Key、手机加密芯片）本地生成，不得由第三方存储或控制。签署时需通过签名人本人授权（如密码、指纹、人脸识别等），确保私钥仅由签名人控制。
4.签署过程。使用私钥对文档进行哈希运算并加密，生成唯一的电子签名。其中记录签署时间、IP地址、设备信息等，并通过可信时间戳固化时间点，防止事后篡改。
5.存证签署后的文档、签名数据、时间戳等信息由中立第三方（如公证机构、司法存证平台）保存。
（二）对照正常的电子签名生成步骤，技术陷阱下“不可靠”“不真实”的电子签名的操作方式是：
1.未经授权的证书生成。利用用户已提交的身份证、手机号等信息，直接向CA机构申请数字证书。
2.私钥由商家控制。商家代用户生成并保管私钥，通过后台系统直接操作签署。用户对私钥无控制权，签署过程完全由商家主导。
3.滥用“人脸识别”绑定证书。以“身份核验”为名要求用户刷脸，实际将人脸数据用于生成数字证书。用户误以为人脸识别仅用于身份验证，未被告知该数据将被用于签署合同。
4.伪造签署时间戳。商家通过篡改系统时间或使用非权威时间戳服务机构，伪造签署时间。用户实际未签署时，合同已显示“有效签署”。
5.隐藏式授权。在冗长的用户协议中嵌入“同意授权生成电子签名”的条款，用户未阅读即勾选同意。
识别电子签名的“靠谱”“真假”，核心把握两点：一是按照《电子签名法》第20条规定，“电子认证服务提供者收到电子签名认证证书申请后，应当对申请人的身份进行查验，并对有关材料进行审查”。数字证书的签发机构——电子认证服务机构（CA）需对用户身份进行查验，在证书签发前直接对用户完成生物识别或短信验证记录；二是私钥存储于何处，是否为电子签名人所控制。
由于电子签名有较强的专业技术成分，对其“靠谱”“真假”与否，可以由专业的鉴定机构进行鉴定后确定。