巴塞尔一家律师事务所里，一位名叫玛拉的律师助理第一次打开一份封存的证书。页面很清楚，却满是她工作中从未用过的词：哈希、时间戳、印章、托管（escrow）。她必须在一小时内向客户解释这份文件。封存是我们为此使用的动词，给一个文件封存，就是把它的指纹和时间固定下来，让这个文件之后可以核对。这些词你会在证书本身、帮助页面，以及任何牵涉到这个文件的争议中遇到。本术语表为每个词给出一句平实的话，并附上背后规则或标准的链接，让你不必有法学学位也能读懂一份封存文件。
如何使用这份清单
下面每个词先有一句平实的话，再有一条简短说明，附上背后规则或标准的链接。
你不必按顺序读。直接跳到你证书上出现的那个词。凡提到法律处，链接都会打开官方文本，方便你自己核对措辞。如果这里某个词没有出现在你的证书上，你可以放心跳过。这些是一般性说明，不是针对你个案的法律意见。
哈希，也叫指纹
哈希是从一个文件算出的一段短代码，文件只要有任何改动，哪怕一个字母，就会得到不同的代码。
由于这段代码只对应这一个确切文件，它就像数据的指纹。它由公开的方法生成，例如 NIST FIPS 180-4 规定的 SHA 函数。两个不同的文件几乎从不会有相同的代码，所以它是文件未被改动的可靠检验。同一个文件总会得出同样的代码，所以任何人都可以重复这项检验并得到相同结果。文件被封存时，只有这段哈希被发送给时间戳机构，文件本身不会发送。
合格时间戳
合格时间戳是对某个文件此前已经存在的确切时间的可信记录。
在欧盟，合格电子时间戳的规则定在 eIDAS 第 42 条，大多数工具遵循的技术方法写在 RFC 3161。合格一词意味着它由可信服务商按既定规则签发，因此比你自己电脑上的时钟更有分量。它证明的是一个时间点，而不是文件的内容。于是时间戳能很好地回答一个问题：这个文件在这一刻之前是否已经存在？
合格电子签名（QES）与电子印章
合格电子签名把一份文件与一个经过核验的身份绑定，法律把它当作亲笔签名一样对待。
依据欧盟 eIDAS 条例 和瑞士 联邦电子签名法（ZertES），合格电子签名与亲笔签名具有相同的法律效力。合格一词是关键：在签发签名之前，签名人的身份已由可信服务商核验。像键入姓名这样的普通电子签名，达不到这一级别。电子印章做的是同样的事，只是面向的是一个组织，而不是单个个人。
KYC，身份核验
KYC，即 know your customer，意思是核验某次注册背后是一个真实、有名有姓的人。
正是这一步，把一个匿名账户变成一个与经过核验的个人绑定的账户。在实践中，它可能意味着查看一份官方文件或一次经过核验的登录，使账户上的名字是一个真名。签名的强度，取决于对背后是谁的证明，所以这项核验垫在证书上其他一切之下。
托管（Escrow）
托管是一条恢复途径，在你丢失访问权限时可以帮你重新取得。
它是另置一旁的一重保障，与你日常登录分开，使丢失密码不至于等于丢失记录。在设有托管之处，它是事先安排好的，只在界定的情形下使用，例如某人已无法再登录。把它当作一条备用路径，而不是对某个具体结果的承诺。
证明证书
证明证书是记录封存了什么、以及何时封存的文件，而不是谁写的。
它把哈希和时间戳放在一张可读的页面上，并配有一个公开链接，任何人无需账户即可打开核对。若日后有人声称文件不同，证书可以让任何人把保存的指纹与手里的文件相比对。页面上没有任何内容会向公众泄露文件的内容。把它读作一个时刻的记录：这个文件在这个时间以这个确切形态存在过，仅此而已。
手握这些词去读一份证书
有了这六个词，一份封存证书就不再是一堵术语之墙。
- 哈希：文件的指纹。
- 时间戳：它存在的那一刻。
- 签名或印章：它背后经过核验的身份。
- 证书：把这三者放在一起的那一页。
下次收到封存文件时，打开它的公开验证链接，逐行读那份证书。哈希是指纹，时间戳是时刻，签名是身份，证书把它们连在一起。你可以在 swisstrustlayer.com 进一步了解这个平台，然后打开一份证书，自己读一读。
