Здравствуйте.

Рассмотрите обратный процесс:
Докажите корректность отсоединенной ЭП.

Можете описать?

Что будете делать, если потребуется в форму добавить еще поле?
Процесс проверки - изменится?

Объясню подробно.
Появляется форма.
Например ФИО и копию паспорта.
Снизу кнопка подписать.
Пользователь заполнил данные.
Он нажимает кнопку подписать.
Генерируется строка md5 например.
Появляется iframe со списоком сертификатов. В url фрейма входит строка md5.
Которую мы получаем через JS.
Фрейм - эту строку подписал.
Сразу же через AJAX все проверил, то есть действительность сертификата, и т. д.
Если ответ положительный. Он в БД создает запись с ID, сертификатом, временем, строкой.
Потом этот идентификатор мы отправляем форме. Чтоб знать в случае чего на какую подпись ссылаться.

Потом отправляем данные формы, и идентификатор. Записав все в БД. Мне кажется будет сложно что-то подделать.
При том, что новая строка так же после получения данных будет снова проверятся на наличие в бД и т. д.

Там никаких хешей. Рандомная строка и ее md5. Обе переменные уходят с формой.

Просто в этом, то и заключается моя позиция. А если кто-то и собирается что-то поделлывать это УК. Обычный пользователь должен разобраться.
Подход такой, потому, что форм подписывать будет много. И на разных проектах. А у это будет типо единная БД подписей.

А какие конфликтные ситуации могут возникнуть? Просто я думаю пора в государстве разработать стандарты по вебформам.