PAdES, CAdES, XAdES: в чём разница и что выбрать
PAdES встраивает подпись в PDF, XAdES — в XML; CAdES подписывает любой файл. Различия, уровни от B-B до B-LTA и какой формат выбрать для какой задачи.
PAdES, CAdES и XAdES делают одно и то же: создают усиленную электронную подпись, которая доказывает, кто и когда подписал документ и что после подписания документ не изменился. Разница в том, где находится подпись и для какого вида документа она подходит. Все три относятся к семейству AdES (Advanced Electronic Signature) европейской организации по стандартизации ETSI.
Короткий ответ
| Формат | Стандарт | Где находится подпись? | Для чего подходит лучше всего |
|---|---|---|---|
| PAdES | ETSI EN 319 142 | Внутри PDF-файла | Документ, который люди откроют и прочитают: договор, отчёт, заявление |
| CAdES | ETSI EN 319 122 | В конверте вокруг документа или в отдельном файле .p7s | Файлы любого типа; официальная электронная переписка |
| XAdES | ETSI EN 319 132 | Внутри XML-документа или рядом с ним | Документы между системами: XML, например турецкий e-счёт в UBL-TR |
| ASiC | ETSI EN 319 162 | В ZIP-контейнере, где документ и подпись хранятся вместе | Подписание нескольких файлов одним пакетом |
Что такое PAdES?
PAdES (PDF Advanced Electronic Signatures) встраивает подпись в собственную структуру PDF-файла. Подписанный документ остаётся PDF: получатель открывает его без дополнительной программы в PDF-просмотрщике, например Adobe Acrobat Reader, и на панели подписей видит, кто подписал и изменялся ли документ. На странице может быть и видимое поле подписи.
Поскольку PDF допускает инкрементальные обновления, один документ могут последовательно подписать несколько человек; каждая подпись сохраняет предыдущее состояние. Поэтому это практичный выбор для договоров с цепочкой согласования. Отсюда же и ограничение: PAdES подписывает только PDF.
Что такое CAdES?
CAdES (CMS Advanced Electronic Signatures) основан на структуре CMS (RFC 5652) и не зависит от типа файла: Word, Excel, изображение, ZIP — подписать можно всё. Подпись хранится в одном из двух видов: как конверт, содержащий документ, или как отдельный файл (.p7s) рядом с документом.
Недостаток — на стороне получателя: чтобы открыть подписанный файл в виде конверта и проверить подпись, нужно приложение для электронной подписи. В Турции CAdES — самый распространённый формат официальной переписки с электронной подписью.
Что такое XAdES?
XAdES (XML Advanced Electronic Signatures) построен на стандарте XML-подписи W3C (XMLDSig) и предназначен для XML-документов. Подпись может быть встроена в XML (enveloped), охватывать XML (enveloping) или храниться отдельно (detached). Формат создан для случаев, когда документ читает программа, а не человек; он используется в XML-документах, таких как турецкий e-счёт (e-Fatura) в формате UBL-TR.
Зачем нужен ASiC?
ASiC (Associated Signature Containers) хранит подписанный документ и его подпись вместе в одном ZIP-контейнере. ASiC-S предназначен для одного документа, ASiC-E — для нескольких. Подпись внутри может быть CAdES или XAdES; ASiC — это не новый вид подписи, а способ её упаковки.
Уровни: B-B, B-T, B-LT, B-LTA
Формат отвечает на вопрос «где находится подпись», а уровень — на вопрос «как долго подпись можно проверить». Базовые профили (baseline) ETSI включают четыре уровня:
- B-B (Basic): подпись, сертификат подписанта и подписанные атрибуты. Проверяется, пока сертификат действителен.
- B-T (Timestamp): добавляется доверенная метка времени; она доказывает, не позднее какого момента была поставлена подпись.
- B-LT (Long-Term): цепочка сертификатов и статус отзыва (CRL, OCSP) встраиваются в подпись; даже если сертификат позже истечёт, данные для проверки остаются вместе с документом.
- B-LTA (Long-Term Archive): добавляется архивная метка времени, которую можно обновлять; даже если использованные криптографические алгоритмы устареют, доказательная сила подписи сохраняется.
В старой терминологии ETSI те же ступени называются BES, EPES, T, C, X, XL и A; многие приложения и документы в Турции до сих пор используют эти названия. Для документа, который будет храниться годами (договор, архив, расчётная ведомость), выбирают как минимум B-LT, лучше B-LTA; для повседневного, недолговечного согласования обычно достаточно B-T.
Что выбрать?
- Документ откроет и прочитает человек, и это PDF: PAdES. Получателю не нужно устанавливать дополнительную программу.
- Документ в XML, и его будет обрабатывать программа: XAdES.
- Файл не PDF и не XML, или другая сторона требует CAdES: CAdES.
- Нужно подписать несколько файлов одним пакетом: ASiC-E.
- Официальное письмо отправляется в турецкое государственное учреждение: формат выбираете не вы; его определяют правила пакета e-Yazışma (турецкого пакета электронной служебной переписки).
Зависит ли юридическая сила от формата?
Нет. В Турции, согласно Закону об электронной подписи № 5070, безопасная электронная подпись имеет ту же юридическую силу, что и собственноручная. Это определяет не столько формат, сколько то, что подпись поставлена с квалифицированным электронным сертификатом и безопасным средством создания подписи (смарт-карта, токен, HSM или мобильная подпись). PAdES, CAdES и XAdES — разные контейнеры для этой подписи.
Со стороны ELPO
Для пользователей, которые хотят подписывать на компьютере без написания кода, İmzacı подписывает PDF и XML смарт-картой, готовит пакеты e-Yazışma и выполняет пакетное подписание по папкам. Для команд, которые хотят встроить подпись в собственное программное обеспечение, библиотека электронной подписи eSignature создаёт и проверяет форматы CAdES, XAdES, PAdES и ASiC вплоть до уровня долгосрочного архива; поскольку каждый формат — отдельный пакет, в проект попадает только то, что используется. Общий обзор обоих продуктов — на странице e-подпись.
