PAdES, CAdES, XAdES: verschil en welke e-handtekening?

PAdES, CAdES en XAdES doen hetzelfde: ze maken een geavanceerde elektronische handtekening die bewijst wie een document heeft ondertekend, wanneer, en dat het document daarna niet is gewijzigd. Het verschil zit in waar de handtekening staat en voor welk soort document ze geschikt is. Alle drie behoren tot de AdES-familie (Advanced Electronic Signature) van de Europese normalisatie-instelling ETSI.

Kort antwoord

Wat is PAdES?

PAdES (PDF Advanced Electronic Signatures) verwerkt de handtekening in de structuur van het PDF-bestand zelf. Het ondertekende document blijft een PDF: de ontvanger opent het zonder extra programma in een PDF-lezer zoals Adobe Acrobat Reader en ziet in het handtekeningenpaneel wie heeft ondertekend en of het document is gewijzigd. Het kan ook een zichtbaar handtekeningveld op de pagina hebben.

Omdat PDF incrementele updates toestaat, kunnen meerdere mensen na elkaar hetzelfde document ondertekenen; elke handtekening bewaart de versie ervoor. Daarom is het een praktische keuze voor contracten met een goedkeuringsketen. Daar komt ook de grens vandaan: PAdES ondertekent alleen PDF.

Wat is CAdES?

CAdES (CMS Advanced Electronic Signatures) is gebaseerd op de CMS-structuur (RFC 5652) en kijkt niet naar het bestandstype: Word, Excel, afbeelding, ZIP — alles kan worden ondertekend. De handtekening komt in twee vormen: als envelop waarin het document zit, of als apart bestand (.p7s) naast het document.

Het nadeel ligt bij de ontvanger: om een ondertekend bestand in envelopvorm te openen en de handtekening te controleren, is een e-handtekeningapplicatie nodig. In Turkije is CAdES de meest gebruikte vorm voor officiële correspondentie met e-handtekening.

Wat is XAdES?

XAdES (XML Advanced Electronic Signatures) is gebouwd op de XML-handtekeningnorm van het W3C (XMLDSig) en is bedoeld voor XML-documenten. De handtekening kan in de XML worden opgenomen (enveloped), de XML omsluiten (enveloping) of los staan (detached). Het is ontworpen voor situaties waarin software het document leest en niet een mens; het wordt gebruikt bij XML-documenten zoals de Turkse e-Factuur (e-Fatura) in het UBL-TR-formaat.

Waarvoor dient ASiC?

ASiC (Associated Signature Containers) bundelt het ondertekende document en de handtekening samen in één ZIP-container. ASiC-S is voor één document, ASiC-E voor meerdere documenten. De handtekening erin kan CAdES of XAdES zijn; ASiC is geen nieuw type handtekening maar een manier van verpakken.

Niveaus: B-B, B-T, B-LT, B-LTA

Het formaat beantwoordt de vraag "waar staat de handtekening"; het niveau de vraag "hoe lang kan de handtekening worden gecontroleerd". De basisprofielen (baseline) van ETSI kennen vier niveaus:

• B-B (Basic): de handtekening, het certificaat van de ondertekenaar en de ondertekende eigenschappen. Controleerbaar zolang het certificaat geldig is.
• B-T (Timestamp): er wordt een betrouwbaar tijdstempel toegevoegd; zo is bewezen op welk moment de handtekening uiterlijk is gezet.
• B-LT (Long-Term): de certificaatketen en de intrekkingsstatus (CRL, OCSP) worden in de handtekening opgenomen; ook als het certificaat later verloopt, blijven de controlegegevens bij het document.
• B-LTA (Long-Term Archive): er wordt een archieftijdstempel toegevoegd dat kan worden vernieuwd; zelfs als de gebruikte cryptografische algoritmen verouderen, blijft de bewijswaarde van de handtekening behouden.

In de oudere ETSI-benaming heten dezelfde stappen BES, EPES, T, C, X, XL en A; veel toepassingen en documenten in Turkije gebruiken deze namen nog. Voor documenten die jaren bewaard worden (contract, archief, loonstrook) kiest men minstens B-LT, bij voorkeur B-LTA; voor een dagelijkse, kortlevende goedkeuring is B-T meestal voldoende.

Welke kiezen?

• Een mens opent en leest het document en het is een PDF: PAdES. De ontvanger hoeft geen extra programma te installeren.
• Het document is XML en software verwerkt het: XAdES.
• Het bestand is geen PDF of XML, of de andere partij vraagt CAdES: CAdES.
• Meerdere bestanden moeten in één pakket worden ondertekend: ASiC-E.
• Er gaat een officiële brief naar een Turkse overheidsinstelling: het formaat is niet uw keuze; de regels van het e-Yazışma-pakket (het Turkse pakket voor elektronische overheidscorrespondentie) bepalen het.

Hangt de juridische geldigheid af van het formaat?

Nee. In Turkije heeft een veilige elektronische handtekening volgens de Wet op de Elektronische Handtekening nr. 5070 hetzelfde rechtsgevolg als een handgeschreven handtekening. Dat wordt minder door het formaat bepaald dan door het feit dat de handtekening is gezet met een gekwalificeerd elektronisch certificaat en een veilig middel voor het aanmaken van handtekeningen (smartcard, token, HSM of mobiele handtekening). PAdES, CAdES en XAdES zijn verschillende verpakkingen voor die handtekening.

Bij ELPO

Voor gebruikers die zonder te programmeren op de desktop willen ondertekenen, ondertekent İmzacı PDF en XML met een smartcard, stelt het e-Yazışma-pakketten samen en ondertekent het in bulk per map. Voor teams die de handtekening in hun eigen software willen inbouwen, maakt en controleert de eSignature e-handtekeningbibliotheek de formaten CAdES, XAdES, PAdES en ASiC tot op het niveau van langetermijnarchief; omdat elk formaat een apart pakket is, komt alleen wat gebruikt wordt in het project. De algemene presentatie van beide producten staat op de pagina e-Handtekening.