Knihovna a API elektronického podpisu

PAdES (PDF Advanced Electronic Signatures) je formát elektronického podpisu, při kterém je podpis vložen přímo do souboru PDF; definuje ho norma ETSI EN 319 142. Podepsaný dokument zůstává PDF, ověřuje se v panelu podpisů čteček PDF, jako je Adobe Reader, a může mít na stránce viditelné pole podpisu. Úrovně stoupají od B-B přes B-T (s časovým razítkem) a B-LT po B-LTA (dlouhodobý archiv).

CAdES (CMS Advanced Electronic Signatures) je formát elektronického podpisu založený na struktuře CMS/PKCS#7; definuje ho norma ETSI EN 319 122. Lze jím podepsat soubor jakéhokoli typu; podpis obvykle putuje s dokumentem jako .p7s nebo v podepsané obálce. V Turecku je to nejrozšířenější formát v úřední korespondenci s elektronickým podpisem.

XAdES (XML Advanced Electronic Signatures) je formát elektronického podpisu vyvinutý pro dokumenty XML; definuje ho norma ETSI EN 319 132. Podpis může být vložen do XML, nebo uložen samostatně. Používá se u dokumentů XML, jako je elektronická faktura ve formátu UBL-TR.

Knihovna elektronického podpisu je komponenta pro vývojáře (SDK), která do vašeho vlastního softwaru přidá vytváření a ověřování elektronických podpisů. Hotová podpisová aplikace nabízí uživateli obrazovku; knihovna je stavební kámen bez obrazovky — podepisuje vaše aplikace, ve vašem procesu. Pracuje s čipovou kartou, tokenem nebo HSM a vytváří a ověřuje formáty CAdES, XAdES a PAdES.

Balíček e-Yazışma je standardní balíček používaný v úřední elektronické korespondenci s tureckými veřejnými institucemi: podepsaný dokument, soubor metadat a případné přílohy se spojí do jediného balíčku. Mezi institucemi se obvykle posílá přes KEP (registrovanou elektronickou poštu).

Úřední balíček e-Yazışma tvoří soubor metadat a podepsaný dokument zabalené dohromady. Knihovna to udělá jedním voláním: podepíše dokument ve formátu CAdES nebo XAdES, vytvoří metadata podle schématu a balíček uzavře. Podporovány jsou verze e-Yazışma 1.3 a 2.0, kořenový certifikát KamuSM je vestavěný. Když zadáte složku, dokumenty v ní podepíše hromadně.

Knihovna se stává součástí vašeho softwaru: podepisování spouští váš proces a rozhraní je vaše. Hotová aplikace (İmzacı) běží na desktopu: uživatel vybere soubor a podepíše ho. Obě používají stejnou podpisovou infrastrukturu; co se vám hodí, závisí na tom, kdo podpis spouští — váš software, nebo uživatel.

CAdES (BES, EPES, T, C, X, XL, A), XAdES (BES, T, C, X, XL, A), PAdES (B-B, B-T, B-LT, B-LTA) a ASiC-S a ASiC-E. S jedinou knihovnou se dostanete až na úroveň dlouhodobého archivu.

Ne. Knihovna je modulární; pro PDF stačí balíček eSignature.PAdES. Standardy, TSA a poskytovatelé hardwaru, které nepoužíváte, se do projektu vůbec nedostanou.

Podpis nevzniká v prohlížeči, ale na serverové straně vaší webové aplikace: zavolá se balíček eSignature.PAdES a podepsané PDF se vrátí uživateli. Rozhoduje, kde je uložen klíč — s cloudovým HSM, síťovým HSM nebo mobilním podpisem má server ke klíči přístup, takže celý proces běží přes web. Je-li klíč na čipové kartě uživatele, prohlížeč ke kartě přistoupit nemůže; v takovém případě se podepisuje na desktopu pomocí İmzacı.

Ano. Zdroj podpisu je abstrahován: čipová karta a USB token (CNG/PKCS#11), síťová HSM, cloudové služby HSM a mobilní podpis se používají stejným postupem. Každý poskytovatel je nezávislý balíček.

Ano. Ověření řetězce certifikátů podle RFC 5280, CRL, OCSP, Delta CRL a ověření offline jsou součástí knihovny; podpis vytváří i ověřuje stejná komponenta.

Ano. Desktopová aplikace, kterou lze používat bez psaní kódu, je İmzacı: podepisuje PDF a XML čipovou kartou, vytváří balíčky e-Yazışma a hromadně podepisuje celé složky.

Přidat do projektu balíček potřebného standardu: eSignature.PAdES pro podpis PDF, balíček XAdES pro XML. Protože je knihovna rozdělena do 39 balíčků NuGet, instalujete jen to, co používáte; do projektu se nedostane jedna velká závislost.

Přes Windows CNG a PKCS#11 jsou podporována zařízení jako AKİS, SafeNet/eToken, Gemalto/Thales, IDEMIA, Feitian, YubiKey a Nitrokey. Každý poskytovatel je samostatný, nezávislý balíček; ovladače, které nepoužíváte, se do projektu nedostanou.

Ano. Podporována jsou síťová HSM Thales Luna, Utimaco a Entrust nShield i AWS CloudHSM/KMS, Azure Key Vault HSM a Google Cloud KMS. Tak se na serveru staví automatické podepisování bez uživatele s kartou.

Ne; podpis vytváří i ověřuje stejná komponenta. Ověření řetězce certifikátů podle RFC 5280, CRL, OCSP, Delta CRL a ověření offline jsou součástí knihovny.