PAdES Nedir? PAdES, CAdES ve XAdES Farkı, Hangisi Ne Zaman
PAdES imzayı PDF'e, XAdES XML'e gömer; CAdES her dosyayı imzalar. Farkları, B-B'den B-LTA'ya seviyeler ve hangi işte hangisi seçilir.
PAdES, CAdES ve XAdES aynı işi yapar: bir belgeye kimin, ne zaman imza attığını ve imzadan sonra belgenin değişmediğini kanıtlayan gelişmiş elektronik imza üretir. Fark, imzanın nerede durduğu ve hangi tür belgeye uygun olduğudur. Üçü de Avrupa standart kuruluşu ETSI'nin AdES (Advanced Electronic Signature) ailesindendir.
Kısa cevap
| Format | Standart | İmza nerede durur? | En uygun olduğu iş |
|---|---|---|---|
| PAdES | ETSI EN 319 142 | PDF dosyasının içinde | İnsanların açıp okuyacağı belge: sözleşme, rapor, dilekçe |
| CAdES | ETSI EN 319 122 | Belgeyi saran zarfta ya da ayrı bir .p7s dosyasında | Her tür dosya; resmî e-yazışma |
| XAdES | ETSI EN 319 132 | XML belgenin içinde ya da yanında | Makineler arası belge: UBL-TR e-Fatura gibi XML'ler |
| ASiC | ETSI EN 319 162 | Belge ve imzayı birlikte taşıyan ZIP kapsayıcıda | Birden çok dosyayı tek pakette imzalamak |
PAdES nedir, PAdES imza ne işe yarar?
PAdES (PDF Advanced Electronic Signatures), imzayı PDF dosyasının kendi yapısına gömer. İmzalı belge yine bir PDF'tir: alıcı ek bir programa ihtiyaç duymadan Adobe Acrobat Reader gibi bir PDF okuyucuyla açar, imza panelinden kimin imzaladığını ve belgenin değişip değişmediğini görür. Sayfa üzerinde görünür bir imza alanı da taşıyabilir.
PDF artımlı güncellemeye izin verdiği için bir belgeye sırayla birden fazla kişi imza atabilir; her imza kendinden önceki hâli korur. Bu yüzden onay zinciri olan sözleşmelerde pratik bir seçimdir. Sınırı da buradan gelir: PAdES imzalama yalnız PDF dosyalarında yapılır.
CAdES nedir, CAdES imza ne işe yarar?
CAdES (CMS Advanced Electronic Signatures), CMS (RFC 5652) yapısına dayanır ve dosya türüne bakmaz: Word, Excel, görsel, ZIP — her şey imzalanabilir. İmza iki biçimde taşınır: belgeyi içine alan bir zarf olarak ya da belgenin yanında duran ayrı bir dosya (.p7s) olarak.
Dezavantajı alıcı tarafındadır: zarf hâlindeki imzalı dosyayı açmak ve imzayı doğrulamak için bir e-imza uygulaması gerekir. Türkiye'de e-imzalı resmî yazışmalarda en yaygın biçim CAdES imzadır.
XAdES nedir, XAdES imza ne işe yarar?
XAdES (XML Advanced Electronic Signatures), W3C'nin XML imza standardı (XMLDSig) üzerine kuruludur ve XML belgeler içindir. İmza XML'in içine gömülebilir (enveloped), XML'i sarabilir (enveloping) ya da ayrı durabilir (detached). Belgeyi bir insanın değil bir yazılımın okuyacağı durumlar için tasarlanmıştır; UBL-TR biçimindeki e-Fatura gibi XML tabanlı belgelerde XAdES imza kullanılır.
ASiC ne işe yarar?
ASiC (Associated Signature Containers), imzalı belgeyi ve imzasını tek bir ZIP kapsayıcıda bir arada taşır. ASiC-S tek belge, ASiC-E birden fazla belge içindir. İçindeki imza CAdES ya da XAdES olabilir; ASiC yeni bir imza türü değil, bir taşıma biçimidir.
Seviyeler: B-B, B-T, B-LT, B-LTA
Format "imza nerede durur" sorusunu cevaplar; seviye ise "imza ne kadar süre doğrulanabilir" sorusunu. ETSI'nin temel (baseline) profilleri dört seviyedir:
- B-B (Basic): imza, imzacının sertifikası ve imzalanan özellikler. Sertifika geçerliyken doğrulanır.
- B-T (Timestamp): güvenilir bir zaman damgası eklenir; imzanın en geç hangi anda atıldığı kanıtlanır.
- B-LT (Long-Term): sertifika zinciri ve iptal durumu (CRL, OCSP) imzanın içine gömülür; sertifika sonradan sona erse de doğrulama verisi belgeyle birlikte durur.
- B-LTA (Long-Term Archive): arşiv zaman damgası eklenir ve yenilenebilir; kullanılan kriptografik algoritmalar eskise bile imzanın kanıt değeri korunur.
Eski ETSI adlandırmasında aynı basamaklar BES, EPES, T, C, X, XL ve A olarak geçer; Türkiye'deki birçok uygulama ve doküman hâlâ bu adları kullanır. Yıllarca saklanacak belgede (sözleşme, arşiv, bordro) en az B-LT, tercihen B-LTA seçilir; günlük, kısa ömürlü bir onay için B-T çoğu zaman yeterlidir.
Hangisini seçmeli?
- Belgeyi bir insan açıp okuyacak ve PDF ise: PAdES. Alıcı ek program kurmaz.
- Belge XML ve bir yazılım işleyecekse: XAdES.
- Dosya PDF ya da XML değilse ya da karşı taraf CAdES istiyorsa: CAdES.
- Birden çok dosya tek pakette imzalanacaksa: ASiC-E.
- Kamu kurumuna resmî yazı gidecekse: format sizin seçiminiz değildir; e-Yazışma paketinin kuralları belirler.
Hukuki geçerlilik formata bağlı mı?
Hayır. Türkiye'de 5070 sayılı Elektronik İmza Kanunu'na göre güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur. Bunu belirleyen formattan çok, imzanın nitelikli bir elektronik sertifikayla ve güvenli imza oluşturma aracıyla (akıllı kart, token, HSM ya da mobil imza) atılmış olmasıdır. PAdES, CAdES ve XAdES bu imzayı taşıyan farklı kaplardır.
ELPO tarafında
Kod yazmadan masaüstünde imzalamak isteyen kullanıcılar için İmzacı, akıllı kartla PDF ve XML imzalar, e-Yazışma paketi hazırlar ve klasör bazlı toplu imzalama yapar. İmzayı kendi yazılımının içine almak isteyen ekipler için eSignature e-imza kütüphanesi, CAdES, XAdES, PAdES ve ASiC formatlarını uzun süreli arşiv seviyesine kadar üretir ve doğrular; her format ayrı paket olduğu için projeye yalnız kullanılan girer. İki ürünün genel tanıtımı e-İmza sayfasında.
