Библиотека и API электронной подписи

PAdES (PDF Advanced Electronic Signatures) — формат электронной подписи, при котором подпись встраивается в сам PDF-файл; он определён стандартом ETSI EN 319 142. Подписанный документ остаётся PDF, проверяется на панели подписей в программах для чтения PDF, например Adobe Reader, и может содержать видимое поле подписи на странице. Уровни растут от B-B к B-T (с меткой времени), B-LT и B-LTA (долгосрочный архив).

CAdES (CMS Advanced Electronic Signatures) — формат электронной подписи на основе структуры CMS/PKCS#7; он определён стандартом ETSI EN 319 122. Им можно подписать файл любого типа; подпись обычно передаётся вместе с документом в виде .p7s или в подписанном конверте. В Турции это самый распространённый формат в официальной переписке с электронной подписью.

XAdES (XML Advanced Electronic Signatures) — формат электронной подписи, разработанный для XML-документов; он определён стандартом ETSI EN 319 132. Подпись может быть встроена в XML или храниться отдельно. Используется для XML-документов, например электронных счетов в формате UBL-TR.

Библиотека электронной подписи — это компонент для разработчиков (SDK), который встраивает создание и проверку электронной подписи в ваше собственное ПО. Готовое приложение для подписи показывает пользователю экран; библиотека — это строительный блок без экрана: подписывает ваше приложение, в вашем процессе. Она работает со смарт-картой, токеном или HSM и создаёт и проверяет форматы CAdES, XAdES и PAdES.

Пакет e-Yazışma — стандартный пакет для официальной электронной переписки с государственными учреждениями Турции: подписанный документ, файл метаданных и вложения, если они есть, объединяются в один пакет. Между учреждениями он обычно передаётся через KEP (зарегистрированную электронную почту).

Официальный пакет e-Yazışma — это файл метаданных и подписанный документ, упакованные вместе. Библиотека делает это одним вызовом: подписывает документ в формате CAdES или XAdES, формирует метаданные по схеме и закрывает пакет. Поддерживаются версии e-Yazışma 1.3 и 2.0, корневой сертификат KamuSM встроен. Если указать папку, документы в ней будут подписаны пакетно.

Библиотека встраивается в ваше ПО: подписание запускает ваш процесс, интерфейс ваш. Готовое приложение (İmzacı) работает на рабочем столе: пользователь выбирает файл и подписывает его. Оба используют одну и ту же инфраструктуру подписи; что вам подходит, зависит от того, кто запускает подпись — ваше ПО или пользователь.

CAdES (BES, EPES, T, C, X, XL, A), XAdES (BES, T, C, X, XL, A), PAdES (B-B, B-T, B-LT, B-LTA), а также ASiC-S и ASiC-E. С одной библиотекой вы доходите до уровня долгосрочного архива.

Нет. Библиотека модульная; для PDF достаточно пакета eSignature.PAdES. Стандарты, TSA и поставщики оборудования, которые вы не используете, в проект не попадают.

Подпись создаётся не в браузере, а на серверной стороне вашего веб-приложения: вызывается пакет eSignature.PAdES, и подписанный PDF возвращается пользователю. Решающее значение имеет то, где хранится ключ: при облачном HSM, сетевом HSM или мобильной подписи сервер имеет доступ к ключу, поэтому весь процесс идёт через веб. Если ключ на смарт-карте пользователя, браузер не может обратиться к карте; в этом случае подписание выполняется на рабочем месте с помощью İmzacı.

Да. Источник подписи абстрагирован: смарт-карта и USB-токен (CNG/PKCS#11), сетевые HSM, облачные HSM-сервисы и мобильная подпись используются в одном и том же процессе. Каждый поставщик — независимый пакет.

Да. Проверка цепочки сертификатов по RFC 5280, CRL, OCSP, Delta CRL и офлайн-проверка входят в библиотеку; подпись создаёт и проверяет один и тот же компонент.

Да. Настольное приложение, которым пользуются без программирования, — İmzacı: оно подписывает PDF и XML смарт-картой, создаёт пакеты e-Yazışma и выполняет пакетное подписание по папкам.

Добавить в проект пакет нужного стандарта: eSignature.PAdES для подписи PDF, пакет XAdES для XML. Поскольку библиотека разделена на 39 пакетов NuGet, вы устанавливаете только то, что используете; одна большая зависимость в проект не попадает.

Через Windows CNG и PKCS#11 поддерживаются такие устройства, как AKİS, SafeNet/eToken, Gemalto/Thales, IDEMIA, Feitian, YubiKey и Nitrokey. Каждый поставщик — отдельный независимый пакет; драйверы, которые вы не используете, в проект не попадают.

Да. Поддерживаются сетевые HSM Thales Luna, Utimaco и Entrust nShield, а также AWS CloudHSM/KMS, Azure Key Vault HSM и Google Cloud KMS. Так строится автоматическое подписание на сервере без пользователя с картой.

Нет; подпись создаёт и проверяет один и тот же компонент. Проверка цепочки сертификатов по RFC 5280, CRL, OCSP, Delta CRL и офлайн-проверка входят в библиотеку.