ההבדל בין PAdES, CAdES ו-XAdES: איזו חתימה דיגיטלית מתי?
PAdES מטמיעה את החתימה ב-PDF, XAdES ב-XML, ו-CAdES חותמת על כל קובץ. ההבדלים, הרמות מ-B-B עד B-LTA ואיזה פורמט מתאים לאיזו עבודה.
PAdES, CAdES ו-XAdES עושות את אותה עבודה: הן יוצרות חתימה אלקטרונית מתקדמת שמוכיחה מי חתם על מסמך, מתי, ושהמסמך לא השתנה לאחר החתימה. ההבדל הוא היכן החתימה נמצאת ולאיזה סוג מסמך היא מתאימה. שלושתן שייכות למשפחת AdES (Advanced Electronic Signature) של ETSI, ארגון התקינה האירופי.
התשובה הקצרה
| פורמט | תקן | היכן נמצאת החתימה? | העבודה המתאימה ביותר |
|---|---|---|---|
| PAdES | ETSI EN 319 142 | בתוך קובץ ה-PDF | מסמך שאנשים יפתחו ויקראו: חוזה, דוח, בקשה |
| CAdES | ETSI EN 319 122 | במעטפה העוטפת את המסמך או בקובץ .p7s נפרד | כל סוג קובץ; התכתבות רשמית אלקטרונית |
| XAdES | ETSI EN 319 132 | בתוך מסמך ה-XML או לצדו | מסמכים בין מערכות: קובצי XML כמו UBL-TR e-Fatura (פורמט ה-XML הטורקי לחשבונית אלקטרונית) |
| ASiC | ETSI EN 319 162 | במכל ZIP שנושא את המסמך ואת החתימה יחד | חתימה על כמה קבצים בחבילה אחת |
מהי PAdES?
PAdES (PDF Advanced Electronic Signatures) מטמיעה את החתימה במבנה של קובץ ה-PDF עצמו. המסמך החתום נשאר PDF: הנמען פותח אותו ללא תוכנה נוספת בקורא PDF כמו Adobe Acrobat Reader, ורואה בחלונית החתימות מי חתם והאם המסמך השתנה. היא יכולה לשאת גם שדה חתימה גלוי בעמוד.
מכיוון ש-PDF מאפשר עדכונים מצטברים, כמה אנשים יכולים לחתום על מסמך בזה אחר זה; כל חתימה משמרת את המצב שקדם לה. לכן זו בחירה מעשית לחוזים עם שרשרת אישורים. מכאן נובעת גם המגבלה: PAdES חותמת על PDF בלבד.
מהי CAdES?
CAdES (CMS Advanced Electronic Signatures) מבוססת על מבנה CMS (RFC 5652) ואינה מתחשבת בסוג הקובץ: Word, Excel, תמונה, ZIP – הכול ניתן לחתימה. החתימה נישאת בשתי צורות: כמעטפה שהמסמך נמצא בתוכה, או כקובץ נפרד (.p7s) לצד המסמך.
החיסרון נמצא בצד הנמען: כדי לפתוח קובץ חתום שבתוך מעטפה ולאמת את החתימה נדרשת אפליקציית חתימה אלקטרונית. בטורקיה, CAdES הוא הפורמט הנפוץ ביותר בהתכתבות רשמית בחתימה אלקטרונית.
מהי XAdES?
XAdES (XML Advanced Electronic Signatures) בנויה על תקן חתימת ה-XML של W3C (XMLDSig) ומיועדת למסמכי XML. החתימה יכולה להיות מוטמעת בתוך ה-XML (enveloped), לעטוף את ה-XML (enveloping) או לעמוד בנפרד (detached). היא תוכננה למצבים שבהם תוכנה, ולא אדם, קוראת את המסמך; היא משמשת במסמכים מבוססי XML כמו e-Fatura בפורמט UBL-TR.
למה משמש ASiC?
ASiC (Associated Signature Containers) נושא את המסמך החתום ואת החתימה שלו יחד במכל ZIP אחד. ASiC-S מיועד למסמך אחד, ו-ASiC-E לכמה מסמכים. החתימה שבתוכו יכולה להיות CAdES או XAdES; ASiC אינו סוג חתימה חדש אלא צורת העברה.
רמות: B-B, B-T, B-LT, B-LTA
הפורמט עונה על השאלה „היכן נמצאת החתימה”, והרמה על השאלה „כמה זמן אפשר לאמת את החתימה”. לפרופילי הבסיס (baseline) של ETSI יש ארבע רמות:
- B-B (Basic): החתימה, תעודת החותם והמאפיינים החתומים. ניתנת לאימות כל עוד התעודה בתוקף.
- B-T (Timestamp): נוספת חותמת זמן אמינה; מוכח באיזה רגע לכל המאוחר נחתמה החתימה.
- B-LT (Long-Term): שרשרת התעודות ומצב הביטול (CRL, OCSP) מוטמעים בחתימה; גם אם תוקף התעודה יפוג בהמשך, נתוני האימות נשארים עם המסמך.
- B-LTA (Long-Term Archive): נוספת חותמת זמן ארכיונית שניתן לחדש; ערך ההוכחה של החתימה נשמר גם אם האלגוריתמים הקריפטוגרפיים שבהם נעשה שימוש מתיישנים.
בשמות הישנים של ETSI אותם שלבים נקראים BES, EPES, T, C, X, XL ו-A; יישומים ומסמכים רבים בטורקיה עדיין משתמשים בשמות אלה. למסמך שיישמר שנים (חוזה, ארכיון, תלושי שכר) בוחרים לפחות B-LT, ועדיף B-LTA; לאישור יומיומי קצר מועד B-T מספיקה לרוב.
איזה לבחור?
- אם אדם יפתח ויקרא את המסמך והוא PDF: PAdES. הנמען לא מתקין תוכנה נוספת.
- אם המסמך הוא XML ותוכנה תעבד אותו: XAdES.
- אם הקובץ אינו PDF או XML, או שהצד השני דורש CAdES: CAdES.
- אם כמה קבצים ייחתמו בחבילה אחת: ASiC-E.
- אם מכתב רשמי נשלח למוסד ציבורי בטורקיה: הפורמט אינו בחירה שלכם; הוא נקבע על פי כללי e-Yazışma (תקן החבילה הטורקי להתכתבות רשמית אלקטרונית).
האם התוקף המשפטי תלוי בפורמט?
לא. בטורקיה, לפי חוק החתימה האלקטרונית מס׳ 5070, לחתימה אלקטרונית מאובטחת יש אותה תוצאה משפטית כמו לחתימת יד. מה שקובע זאת הוא פחות הפורמט ויותר השאלה אם החתימה נעשתה באמצעות תעודה אלקטרונית מאושרת ובאמצעי מאובטח ליצירת חתימה (כרטיס חכם, טוקן, HSM או חתימה ניידת). PAdES, CAdES ו-XAdES הן מכלים שונים הנושאים את החתימה הזו.
בצד של ELPO
למשתמשים שרוצים לחתום בשולחן העבודה בלי לכתוב קוד, İmzacı חותמת על PDF ו-XML בכרטיס חכם, מכינה חבילות e-Yazışma ומבצעת חתימה המונית לפי תיקיות. לצוותים שרוצים לשלב את החתימה בתוכנה שלהם, ספריית החתימה האלקטרונית eSignature יוצרת ומאמתת את הפורמטים CAdES, XAdES, PAdES ו-ASiC עד לרמת ארכיון לטווח ארוך; מכיוון שכל פורמט הוא חבילה נפרדת, רק מה שבשימוש נכנס לפרויקט. הצגה כללית של שני המוצרים נמצאת בדף e-İmza.
