PAdES, CAdES, XAdES: forskel og valg af digital signatur
PAdES indlejrer signaturen i PDF, XAdES i XML; CAdES signerer enhver fil. Forskelle, niveauerne B-B til B-LTA og hvornår du vælger hvilket format.
PAdES, CAdES og XAdES gør det samme: de skaber en avanceret elektronisk signatur, der beviser, hvem der har underskrevet et dokument, hvornår, og at dokumentet ikke er ændret efter underskriften. Forskellen er, hvor signaturen ligger, og hvilken type dokument den passer til. Alle tre tilhører AdES-familien (Advanced Electronic Signature) fra den europæiske standardiseringsorganisation ETSI.
Kort svar
| Format | Standard | Hvor ligger signaturen? | Passer bedst til |
|---|---|---|---|
| PAdES | ETSI EN 319 142 | Inde i PDF-filen | Dokumenter, som mennesker åbner og læser: kontrakter, rapporter, ansøgninger |
| CAdES | ETSI EN 319 122 | I en kuvert, der omslutter dokumentet, eller i en separat .p7s-fil | Alle filtyper; officiel e-korrespondance |
| XAdES | ETSI EN 319 132 | Inde i XML-dokumentet eller ved siden af det | Dokumenter mellem maskiner: XML-filer som e-Fatura i UBL-TR-format (Tyrkiets e-faktura i XML) |
| ASiC | ETSI EN 319 162 | I en ZIP-container, der bærer dokument og signatur sammen | Signering af flere filer i én pakke |
Hvad er PAdES?
PAdES (PDF Advanced Electronic Signatures) indlejrer signaturen i PDF-filens egen struktur. Det signerede dokument er stadig en PDF: modtageren åbner det uden ekstra program i en PDF-læser som Adobe Acrobat Reader og ser i signaturpanelet, hvem der har underskrevet, og om dokumentet er ændret. Det kan også have et synligt signaturfelt på siden.
Da PDF tillader inkrementelle opdateringer, kan flere personer underskrive et dokument efter tur; hver signatur bevarer den foregående tilstand. Derfor er det et praktisk valg til kontrakter med en godkendelseskæde. Herfra kommer også begrænsningen: PAdES signerer kun PDF.
Hvad er CAdES?
CAdES (CMS Advanced Electronic Signatures) bygger på CMS-strukturen (RFC 5652) og er ligeglad med filtypen: Word, Excel, billeder, ZIP — alt kan signeres. Signaturen bæres i to former: som en kuvert, der indeholder dokumentet, eller som en separat fil (.p7s) ved siden af dokumentet.
Ulempen ligger hos modtageren: for at åbne den signerede fil i kuvertform og verificere signaturen kræves et e-signaturprogram. I Tyrkiet er CAdES det mest udbredte format i e-signeret officiel korrespondance.
Hvad er XAdES?
XAdES (XML Advanced Electronic Signatures) bygger på W3C's standard for XML-signaturer (XMLDSig) og er beregnet til XML-dokumenter. Signaturen kan indlejres i XML'en (enveloped), omslutte XML'en (enveloping) eller stå separat (detached). Den er designet til tilfælde, hvor dokumentet læses af software frem for et menneske; den bruges i XML-baserede dokumenter som e-Fatura i UBL-TR-format.
Hvad bruges ASiC til?
ASiC (Associated Signature Containers) bærer det signerede dokument og dets signatur sammen i én ZIP-container. ASiC-S er til ét dokument, ASiC-E til flere dokumenter. Signaturen indeni kan være CAdES eller XAdES; ASiC er ikke en ny signaturtype, men et transportformat.
Niveauer: B-B, B-T, B-LT, B-LTA
Formatet svarer på spørgsmålet "hvor ligger signaturen"; niveauet på spørgsmålet "hvor længe kan signaturen verificeres". ETSI's grundprofiler (baseline) har fire niveauer:
- B-B (Basic): signaturen, underskriverens certifikat og de signerede attributter. Kan verificeres, så længe certifikatet er gyldigt.
- B-T (Timestamp): et betroet tidsstempel tilføjes; det beviser det seneste tidspunkt, hvor signaturen blev sat.
- B-LT (Long-Term): certifikatkæden og tilbagekaldelsesstatus (CRL, OCSP) indlejres i signaturen; selv hvis certifikatet senere udløber, bliver verifikationsdata hos dokumentet.
- B-LTA (Long-Term Archive): et arkivtidsstempel tilføjes og kan fornyes; signaturens bevisværdi bevares, selv når de anvendte kryptografiske algoritmer bliver forældede.
I ETSI's ældre navngivning hedder de samme trin BES, EPES, T, C, X, XL og A; mange programmer og dokumenter i Tyrkiet bruger stadig disse navne. Til dokumenter, der opbevares i årevis (kontrakter, arkiv, lønsedler), vælges mindst B-LT, helst B-LTA; til en daglig, kortlivet godkendelse er B-T ofte nok.
Hvilket skal man vælge?
- Hvis et menneske skal åbne og læse dokumentet, og det er en PDF: PAdES. Modtageren installerer intet ekstra program.
- Hvis dokumentet er XML og skal behandles af software: XAdES.
- Hvis filen hverken er PDF eller XML, eller modparten kræver CAdES: CAdES.
- Hvis flere filer skal signeres i én pakke: ASiC-E.
- Hvis en officiel skrivelse skal til en tyrkisk offentlig myndighed: formatet er ikke dit valg; reglerne for e-Yazışma-pakken (Tyrkiets officielle standard for e-korrespondance) bestemmer det.
Afhænger den juridiske gyldighed af formatet?
Nej. I Tyrkiet har en sikker elektronisk signatur ifølge lov nr. 5070 om elektroniske signaturer samme retsvirkning som en håndskrevet underskrift. Det afgøres mindre af formatet end af, at signaturen er sat med et kvalificeret elektronisk certifikat og en sikker signaturgenereringsenhed (chipkort, token, HSM eller mobil signatur). PAdES, CAdES og XAdES er forskellige beholdere, der bærer denne signatur.
Hos ELPO
For brugere, der vil signere på skrivebordet uden at skrive kode, signerer İmzacı PDF og XML med chipkort, forbereder e-Yazışma-pakker og udfører mappebaseret massesignering. For teams, der vil bygge signering ind i deres egen software, skaber og verificerer e-signaturbiblioteket eSignature formaterne CAdES, XAdES, PAdES og ASiC op til niveauet for langtidsarkivering; da hvert format er en separat pakke, kommer kun det, der bruges, ind i projektet. En generel præsentation af begge produkter findes på siden e-İmza.
