说明：
电子签名行业进入飞速发展阶段，从业者和应用者越来越多，出于不同角度和目的给出的体系解读或者是技术解读都不尽相同，甚至还有很多相悖的地方，在电子签名行业平民化的发展进程中，有必要对相关问题刨根溯源一下，在技术上做到认清本质，在应用上做到智慧灵活。从本文开始，作者将不定期分享电子签名行业一些技术本质，消解一些认识误区。
1、电子签名必须使用数字证书：
电子签名在技术规范中提及两种签名形式，可以理解为使用数字证书（pkcs#7）和不使用数字证书（pkcs#1）。鉴于当下电子签名是数字证书的一种应用，而数字证书在我国市场化较早，所以大家形成了电子签名就必须使用数字证书的误区。在某些具体的应用场景下电子签名是可以不采用数字证书。使用数证证书与否要视具体应用场景而定，这就要体现电子签名应用的智慧和灵活。
2、电子签名的核心是算法以及实现算法的设备或系统：
电子签名是一种密码算法的应用，算法和实现算法的设备或系统是核心的认识没有错误，但是不全面。同样是受市场化的影响，电子签名中还有一个更重要的环节就是密钥。算法也好，系统也罢仅是运算和实现单元（本文统称为计算资源），而密钥才是电子签名的基础，所以在电子签名应用中，需要综合考虑计算资源和密钥两个核心问题，比如在云化部署上，实现计算资源云化是常规做法，但是密钥的云化就是需要区别设计，否则会导致电子签名整体违背初心，责权利不分，后续会问题多多。
签名验签服务器，是当下电子签名最常用的一种方式，国家主管单位也有相关的标准和型号审批机制。由于服务器的设计者和实现者将签名和验签两个功能都在一台设备中完成，加之市场上的引导，在但实际使用过程中，就形成了一台签名验签服务器即做签名又做验签，这也形成了一种约定的事实。其实这种用法是值得商榷的，签名是私有行为（源于私钥的私有性）应该相对专用，而验签是公有行为（源于公钥的公有性）可以多用，如果在一个复杂的多方参与的应用场景下将私有行为和公有行为混在一起，将面临很多职权和责任纠纷。作者认为，签名验签服务器虽然功能全面，但在应用体系设计上必须考虑签名和验签不同的特质。公用不是不可以，是需要解决责权利的问题，此部分可参加作者以往的文章。
时间戳也是一种典型的电子签名应用，重点是保障一个数据在某一个时间点后就存在了，并且是完整的。随着电子化的持续推进，时间戳的应用也会越来越多。“时间戳”的概念源于unix系统设计中，其中代表的仅是一个时间数据，而在电子签名行业赋予了另外的内涵。也许是因为认识的问题，或许因为市场因素影响，电子签名附属内的时间戳可以时间ok的问题成为一种认识，这个是错误的。忽略了需要保障时间数据客观可靠不是时间戳本身的职责。虽然有很多机构提出了可信时间戳的概念或者是系统，但大家的认识和应用还存在偏差。正确的认识请大家参见作者以往《什么是可信时间戳》的文章。
随着云技术的成熟和云应用的普及，业务纷纷上云成为趋势也是国家提倡的发展思路。电子签名行业也出现了众多的云签系统或者是服务，这些系统在设计过程中沿用了云的基本思想，计算资源集中云化，这就忽略了上述提及的私钥私有化的问题。诸如签名、验签、时间戳等隶属计算的东西云化集中没有问题，但是私钥云化是需要审慎对待的。相关思路大家也可以参见作者以往《云/集中模式下的安全设计思想》的文章。
密钥是电子签名行业必须重点关注的问题，大家都知道，密钥既可以实现签名又同时能实现加密，所以在应用过程中就将一个密钥实现两个功能，这个问题是需要正确认识和对待的。在我国先行管理体系和多样的应用场景下，必须将密钥在加密和签名两种差异性很大的应用场景下做区分，特别提醒设计者这个问题很重要。