PAdES, CAdES, XAdES: rozdíl a volba elektronického podpisu
PAdES vkládá podpis do PDF, XAdES do XML; CAdES podepíše jakýkoli soubor. Rozdíly, úrovně od B-B po B-LTA a kdy zvolit který formát.
PAdES, CAdES a XAdES dělají totéž: vytvářejí zaručený elektronický podpis, který prokazuje, kdo dokument podepsal, kdy, a že se dokument po podpisu nezměnil. Rozdíl je v tom, kde podpis leží a pro jaký typ dokumentu se hodí. Všechny tři patří do rodiny AdES (Advanced Electronic Signature) evropské normalizační organizace ETSI.
Krátká odpověď
| Formát | Norma | Kde podpis leží? | Nejvhodnější použití |
|---|---|---|---|
| PAdES | ETSI EN 319 142 | Uvnitř souboru PDF | Dokumenty, které lidé otevírají a čtou: smlouvy, zprávy, podání |
| CAdES | ETSI EN 319 122 | V obálce, která dokument obaluje, nebo v samostatném souboru .p7s | Jakýkoli typ souboru; úřední elektronická korespondence |
| XAdES | ETSI EN 319 132 | Uvnitř dokumentu XML nebo vedle něj | Dokumenty mezi stroji: XML jako e-Fatura ve formátu UBL-TR (turecká elektronická faktura v XML) |
| ASiC | ETSI EN 319 162 | V kontejneru ZIP, který nese dokument i podpis společně | Podepsání více souborů v jednom balíčku |
Co je PAdES?
PAdES (PDF Advanced Electronic Signatures) vkládá podpis do vlastní struktury souboru PDF. Podepsaný dokument zůstává PDF: příjemce jej bez dalšího programu otevře v prohlížeči PDF, například v Adobe Acrobat Reader, a v panelu podpisů vidí, kdo podepsal a zda se dokument změnil. Na stránce může mít i viditelné pole podpisu.
Protože PDF umožňuje přírůstkové aktualizace, může dokument postupně podepsat více osob; každý podpis zachová předchozí stav. Proto je praktickou volbou u smluv se schvalovacím řetězcem. Odtud plyne i jeho omezení: PAdES podepisuje pouze PDF.
Co je CAdES?
CAdES (CMS Advanced Electronic Signatures) vychází ze struktury CMS (RFC 5652) a typ souboru neřeší: Word, Excel, obrázek, ZIP — podepsat lze cokoli. Podpis se přenáší ve dvou podobách: jako obálka, která dokument obsahuje, nebo jako samostatný soubor (.p7s) uložený vedle dokumentu.
Nevýhoda je na straně příjemce: k otevření podepsaného souboru v obálce a k ověření podpisu potřebuje aplikaci pro elektronický podpis. V Turecku je CAdES nejrozšířenějším formátem v elektronicky podepsané úřední korespondenci.
Co je XAdES?
XAdES (XML Advanced Electronic Signatures) stojí na standardu W3C pro podpis XML (XMLDSig) a je určen pro dokumenty XML. Podpis může být vložen do XML (enveloped), může XML obalit (enveloping) nebo stát samostatně (detached). Je navržen pro situace, kdy dokument nečte člověk, ale software; používá se u dokumentů založených na XML, jako je e-Fatura ve formátu UBL-TR.
K čemu slouží ASiC?
ASiC (Associated Signature Containers) přenáší podepsaný dokument a jeho podpis společně v jednom kontejneru ZIP. ASiC-S je pro jeden dokument, ASiC-E pro více dokumentů. Podpis uvnitř může být CAdES nebo XAdES; ASiC není nový typ podpisu, ale způsob přenosu.
Úrovně: B-B, B-T, B-LT, B-LTA
Formát odpovídá na otázku „kde podpis leží“; úroveň na otázku „jak dlouho lze podpis ověřovat“. Základní (baseline) profily ETSI mají čtyři úrovně:
- B-B (Basic): podpis, certifikát podepisujícího a podepsané atributy. Ověřitelný, dokud je certifikát platný.
- B-T (Timestamp): přidá se důvěryhodné časové razítko; prokazuje nejpozdější okamžik, kdy byl podpis vytvořen.
- B-LT (Long-Term): řetězec certifikátů a stav zneplatnění (CRL, OCSP) se vloží do podpisu; i když certifikát později vyprší, data pro ověření zůstávají s dokumentem.
- B-LTA (Long-Term Archive): přidá se archivní časové razítko, které lze obnovovat; důkazní hodnota podpisu zůstává zachována, i když použité kryptografické algoritmy zastarají.
Ve starším pojmenování ETSI se tytéž stupně označují jako BES, EPES, T, C, X, XL a A; mnoho aplikací a dokumentů v Turecku tyto názvy stále používá. U dokumentů uchovávaných léta (smlouvy, archiv, mzdové podklady) se volí alespoň B-LT, nejlépe B-LTA; pro běžné, krátkodobé schválení často stačí B-T.
Který zvolit?
- Pokud dokument otevře a přečte člověk a jde o PDF: PAdES. Příjemce nic dalšího neinstaluje.
- Pokud je dokument XML a zpracuje jej software: XAdES.
- Pokud soubor není PDF ani XML, nebo protistrana vyžaduje CAdES: CAdES.
- Pokud se má podepsat více souborů v jednom balíčku: ASiC-E.
- Pokud jde úřední dopis turecké veřejné instituci: formát si nevybíráte vy; určují ho pravidla balíčku e-Yazışma (turecký úřední standard elektronické korespondence).
Závisí právní platnost na formátu?
Ne. V Turecku má podle zákona č. 5070 o elektronickém podpisu bezpečný elektronický podpis stejné právní účinky jako vlastnoruční podpis. Rozhoduje o tom méně formát a více to, že byl podpis vytvořen s kvalifikovaným elektronickým certifikátem a bezpečným prostředkem pro vytváření podpisu (čipová karta, token, HSM nebo mobilní podpis). PAdES, CAdES a XAdES jsou různé obaly, které tento podpis nesou.
Co nabízí ELPO
Pro uživatele, kteří chtějí podepisovat na počítači bez psaní kódu, İmzacı podepisuje PDF a XML čipovou kartou, připravuje balíčky e-Yazışma a hromadně podepisuje celé složky. Pro týmy, které chtějí podepisování začlenit do vlastního softwaru, knihovna pro elektronický podpis eSignature vytváří a ověřuje formáty CAdES, XAdES, PAdES a ASiC až po úroveň dlouhodobé archivace; každý formát je samostatný balíček, takže do projektu přijde jen to, co se používá. Obecné představení obou produktů najdete na stránce e-İmza.
