事件證書的含義-事件證書不是兼容的數字證書類型。
根據國家市場監督管理總局和國家標準化管理委員會發布的GB/T 25056-2018《信息安全技術證書認證系統密碼及相關安全技術規範3.9》的定義，數字證書的類型可分為簽名證書和加密證書兩種，個人證書、機構證書和設備證書三種。
根據技術文件“GM/Z 0001-2013”第2.115條對數字證書的定義，“數字證書又稱為公鑰證書，由證書頒發機構(CA)簽署，包含公鑰持有人信息、公鑰、頒發者信息和信息。按類別可分為個人證書、機構證書和設備證書，按用途可分為簽名證書和加密證書，不存在所謂的“事件證書”。由此可見，所謂的事項證書，並不是壹個有正規合法來源和合規依據的證書類型；
那麽什麽是“事件證明”呢？
參考北京CA在其電子認證業務規則(CPS)第1.4.1條D項中的定義，“事件型數字證書是北京CA針對簽名行為業務場景頒發的數字證書。在業務過程中，根據相關信息(如電子文檔、簽名行為特征信息、筆跡或其他簽名行為證據信息等)自動固化到數字證書的擴展域中。)由訂戶提交，並已發行。事件型數字證書對應的私鑰為壹次性使用，業務場景信息數據為電子簽名，使用後銷毀”；CPS第6.1.1和6.1.2條進壹步規定“事件證書的簽名密鑰對由簽名設備生成和保存”。
上海CA的CPS中沒有事件證書的相關內容，但專門出臺了事件證書政策電子認證的業務規則，其中第1.6.13條給出了定義，“事件數字證書是上海CA為即時業務或特定業務場景設計的基於事件證書專利技術的特殊數字證書。在業務流程中，業務場景中的相關信息(電子文檔、簽名行為特征信息、筆跡或其他簽名行為證據信息等。)自動關聯數字證書擴展域，發布事件數字證書，實現業務流程中可靠的電子簽名。事件數字證書對應的私鑰壹般使用壹次，使用壹次後銷毀”；
參考CFCA(中國金融認證中心)的CPS，CFCA的業務規則中沒有“事件證書”，但在1.4.1.2中提出了“CFCA場景證書”，指出“CFCA場景證書是適用於即時業務或特定場景業務簽名認證的數字證書。在業務結束時自動申請，整合業務場景中的所有信息，形成數字證書的擴展域信息。使用場景證書對即時業務或場景業務的證據進行簽名，可以證明證據在取證結束後沒有被篡改，保證多個證據之間的關聯性和壹致性。場景證書在使用時不限制簽名數量或具體文件，可分別用於即時業務或場景業務中所有證據的簽名。離開現場後，證件就不能用了。第6.1.1章“密鑰對的生成”進壹步明確“場景證書的密鑰生成由負責場景業務的服務提供商產生，並負責保護場景證書私鑰的安全”。
從幾個典型CA機構的電子認證業務規則中可以看出，“事件證書”本身並不是壹個正式的證書類型，而是各個CA機構為了市場拓展而衍生出來的營銷定義。綜合分析這些定義，無論是“事件證書”還是“情景證書”，我們可以發現它們有以下相似之處:
1.事件證書的生命周期極短。如果證書是在事件發生時頒發的，則事件結束證書將被終止。
2.事件證書的私鑰不是由用戶(證書上記錄的簽名人)控制，而是由簽名場景的服務提供者實際控制。
事件證明的法律性質——沒有預期的法律效力。
事件證書雖然不是壹種有合規依據的證書類型，但由於其易於獲取，實際上已經成為市場上最廣泛存在的數字證書形式。大量的電子合同SaaS平臺正在使用事件證書提供電子簽名服務。那麽，基於事件證書的電子簽名是否如有關方面所期待的那樣具有“等同於紙質簽名”的法律效力呢？
簽名的法律含義是“簽名人對簽名內容的認可”，所以壹個具有預期法律效力的電子簽名需要滿足三個條件:1，文檔中含有電子簽名的事實，2，簽名人的身份可以確定，3，簽名人(即實際完成對文檔進行簽名操作的人)與“文檔上註明的電子簽名人”的身份壹致。
根據數字證書簽名的基本原理，簽名是通過“私鑰”的運算來完成的，掌握“私鑰”是電子簽名的前提，換句話說，誰掌握了“私鑰”，誰就有可能成為實際的簽名人；
在事件證書電子簽名的場景中，根據北京CA、CFCA、上海CA的CPS規則，事件證書的“私鑰”不受用戶控制，用戶不可能成為實際的電子簽名人，簽名行為實際上是由提供簽名系統的業務方完成的；雖然事件證書的有效期很短，但短的有效期只是降低了其他第三方竊取私鑰偽造簽名的風險，並不能阻止提供簽名系統的業務方濫用用戶的簽名能力。對此，CFCA在其CPS中特別強調“場景證書的密鑰生成由負責場景業務的業務提供商產生，並負責保護場景證書私鑰的安全”；可以看出，簽名系統的業務端可以隨時以用戶的名義從CA機構獲得事件證書，使得業務端具有隨時以用戶的名義在任何文件上偽造簽名的能力。
因此，從法律角度來看，基於該事件證書的電子簽名無法在簽名行為與簽名人身份之間建立不可否認的、唯壹的約束力，因此不符合“電子認證”的基本原則，不能顯示“簽名人對簽名內容的認可”，也不具備當事人等同於紙質簽名的預期法律效力。
事件證書的實用價值
-用於確保簽名數據的防篡改性。
正如CFCA在其CPS中所言，“現場證書用於簽署即時業務或場景業務證據後，能夠證明證據在取證後未被篡改……”；雖然北京CA的CPS中沒有事件證書的具體作用，但在北京市高級人民法院的(2021)京刑終字第905號行政判決書中，也明確認定“北京數字認證公司於2018年2月為平安科技公司出具了……的事件證書，通過證書簽名固化了平安科技公司與用戶簽訂電子合同的業務場景信息，證明了相關信息的完整性。...符合《電子簽名法》第三十四條規定的“電子簽名人”為平安科技....
結合上述分析和上述CA機構的自述，我們可以得出以下結論:
1.使用事件證書的實際“簽名人”不是“事件證書上記載的證書持有人”，而是提供簽名系統的業務方；
2.事件證書中記載的證書持有人只是“名義簽名人”，由於實際簽名行為並非名義簽名人所為，根據電子簽名法的規定，不屬於“需要對電子簽名行為承擔法律後果的電子簽名人”，使用事件證書簽署的電子文件對名義簽名人不具有法律約束力；
3.事件證書的主要作用是通過電子簽名技術保證事件現場相關電子數據的完整性，防止數據生成後被篡改。但是數據生成的過程和數據本身是否真實無關，所以事件證書的電子簽名不具有不可否認性。
濫用事件證書的風險
-事故證明的濫用及其嚴重後果。
從上壹篇文章可以看出，事件證書的主要作用是將事件場景中形成的電子數據以簽名的形式固定下來，防止數據被篡改，而不是保證電子簽名的不可否認性。因此，事件證書的電子簽名本身並不是電子簽名法意義上的“具有法律約束力”的電子簽名，更多地表現為壹種技術工具，利用證書簽名技術實現電子數據的防篡改功能。
然而，在實踐中，事件證書的實際使用是非常不同的。大量的事件證書被直接應用於電子合同等法律文書的簽署，服務提供者公開宣稱其具有《電子簽名法》意義上的可靠電子簽名的效力，對用戶、名義簽名人、簽名依賴人乃至電子認證行業造成了極大的誤導，也給工信部的行業監管帶來了負擔。
如上文提到的北京市高級人民法院“(2021)京905號”“薛某某”訴工信部行政訴訟案就是典型案例。本案中，平安科技公司誤將北京CA出具的事件證明用於簽署“銀行與薛某某”之間的法律文書，而實際上“薛某某”從未向北京CA申請。為此，“薛某某”向工信部投訴平安科技公司和北京CA的違法做法，但工信部未能妥善處理，最終導致“薛某某”向法院提起行政訴訟，法院判決工信部敗訴。此外，還有更多當事人通過工信部監管平臺，向工信部舉報電子合同SaaS平臺擅自發放數字證書的事件...這壹系列現象直接說明，事件證書的濫用其實是不爭的事實。
就像公安備案企業印章壹樣，電子認證的本質是在壹個“外部標識”和壹個特定的“人”(包括自然人和法人)之間建立綁定關系，從而獲得壹個權威的電子身份證書；至於具有身份識別功能的標準數字證書，其發放過程通常和“居民身份證”壹樣嚴肅。事件證書不是標準的數字證書，但它的主要作用是防止篡改而不是身份識別，所以在實踐中事件證書的頒發過程要比標準數字證書容易得多。然而，事件證書與標準數字證書在外觀上並無區別，這給事件證書的濫用帶來了動機和隱患。
許多CA機構片面追求證書頒發數量和市場回報，向公眾兜售事件證書的頒發渠道，控制事件證書的實際使用，甚至有意無意地合作，使得越來越多的事件證書被錯誤地用作簽署法律文件的標準數字證書。原本以“信譽”為基礎，以嚴謹審慎為支撐的電子認證，變成了“橡皮圖章”的刻章單位，無視法律風險，變成了“認錢不認人”的賣證機構。
事件證書申請的泛濫嚴重影響了行業的健康發展。
事件證書的風險對策——解決事件證書濫用的幾項措施
作為CA公司市場化的證書業務創新，其發展中的問題應從CA行業著手解決，包括但不限於以下措施。
壹、主觀上充分認識“電子認證”服務的嚴重性。
“身份”是壹切法律行為的基礎，電子認證行業的存在是因為需要壹個“可信”的權威機構，能夠獨立、審慎地將壹個“外部身份”與壹個“特定對象”的“真實身份”綁定，從而賦予特定對象壹個可靠的電子身份。CA雖然以“公司”的形式存在，但卻是“社會信用”建設的重要組成部分。電子認證不僅是壹種市場化的技術服務，還承載著相應的公信功能。每個數字證書的可靠性可能對簽名人、簽名依賴方和其他相關方的權益產生重大影響。因此，保證數字證書頒發過程的嚴肅性和結果的可靠性，是每個CA組織的天然職責。《電子簽名法》也明確規定，“電子認證服務提供者收到電子簽名認證證書申請後，應當核對申請人身份，審查相關材料”，“電子認證服務提供者出具的電子簽名認證證書應當準確”。
然而，在實踐中，許多操作違反了這樣的要求。壹些CA公司將法律賦予的身份驗證權有償轉讓給其他業務夥伴。只要合作方願意付費，合作方的業務系統可以與CA系統(RA)對接。CA收到合作夥伴向“特定主體”頒發證書的指令後，會直接頒發證書，不僅不驗證特定主體是否實際提交了證書申請，而且，數字證書直接交付給合作夥伴，而不是證書所有者。正是這種做法，使得業務夥伴成為了實際意義上的“電子認證”的提供者，而CA則成為了只關心證書頒發的“數字證書代工廠”，這也使得業務夥伴能夠以任何人的名義實際獲得CA頒發的“數字證書”，進而獲得偽造任何人的電子簽名的能力。在北京市高級人民法院“(2021)京刑終第905號”壹案中，平安科技公司正是因為這種經營模式，才得以取得“薛某某”的證明，並以“薛某某”的名義完成電子簽名。
進壹步分析造成這壹現象的原因表明，對“電子認證”服務的嚴肅性認識不足是壹個重要因素；
在現實物理世界中，個人和企業的身份由公安機關和工商機關認證，單位的公章由行政許可、公安機關備案的專用刻章機構制作。“認證、刻章、歸檔”構成了物理世界中可靠的身份管理的有機整體；電子認證本質上是電子世界中的身份認證、印章制作、備案“三位壹體”。簽發數字證書就像刻制印章，證書鏈和公共證書列表就像公安備案印章，有效的身份認證是數字證書可靠性的來源，就像公安機關在向他人簽發身份證時不能轉移身份驗證的功能壹樣。頒發數字證書時，身份認證不僅僅是CA的權利。這也是CA的基本義務，因此我們必須充分認識到可靠的身份認證在“電子認證服務”中的關鍵作用，堅決糾正某些CA因片面追求市場利益而將身份認證的主動權、數字證書的可靠性和CA行業的權威性出賣給業務夥伴的錯誤做法。
二、禁止使用“名義簽名人”的身份簽發事件證書。
根據《電子簽名法》第三十四條的規定，“電子簽名人是指持有電子簽名制作數據，並以自己的身份或者以所代表的人的名義進行電子簽名的人”。因此，只有持有證書私鑰的人，才有可能成為法律意義上的“電子簽名人”。在事件證書場景中，無論是業務夥伴的信息系統直接生成“私鑰”，還是業務系統中的特定設備生成“私鑰”。“私鑰”不能由“名義簽名人”持有，實際的電子簽名人永遠只能是業務夥伴，所以向業務夥伴或夥伴的設備頒發事件證書是妥當的。以名義簽名者的身份簽發證書，不僅涉嫌違規，而且容易混淆用戶，給行業監管帶來負擔，也為合作方的不當使用提供了可乘之機。
第三，提供特殊的OCSP證書狀態列表用於事件證書驗證。
由於事件證書有效期短、數量多，且事件證書的主要功能是數據防篡改，與標準數字證書的抵賴有顯著區別，因此需要區分事件證書的公共證書狀態列表和標準數字證書狀態列表，不僅可以有效優化證書列表的整體查詢性能，還可以明確告知用戶事件證書的屬性。
四、公開表達事件證書的功能是防篡改的。
事件證書在實踐中被濫用的壹個主要原因是事件證書的功能具有誤導性。盡管壹些CA機構在其CPS中明確規定了事件證書的用途，但並不是每個證書用戶或電子簽名依賴者都是行業專家，能夠真正理解事件證書和標準數字證書的區別。為了避免事件證書在法律文書的電子簽名等非防篡改應用場景中被不當使用，需要在每個事件證書的擴展中明確聲明該功能只是防篡改的，並在各種事件證書的產品頁面上說明其功能的限制，進壹步杜絕事件證書的不當使用。
動詞 （verb的縮寫）糾正濫用事件證書的業務合作場景
對於已經開展的事件證明業務，需要根據實際業務場景進行梳理。對於符合事件證書功能要求的，使用事件證書簽署法律文件有偷換概念的，有條件改用標準數字證書的，應改變合作方式，不具備轉換條件的，應停止使用事件證書。