Khác biệt PAdES, CAdES, XAdES: chọn định dạng chữ ký số
PAdES nhúng chữ ký vào PDF, XAdES vào XML; CAdES ký mọi loại tệp. Khác biệt, các cấp độ từ B-B đến B-LTA và nên chọn định dạng nào cho từng việc.
PAdES, CAdES và XAdES làm cùng một việc: tạo chữ ký điện tử nâng cao, chứng minh ai đã ký tài liệu, ký vào lúc nào và tài liệu không bị thay đổi sau khi ký. Khác biệt nằm ở chỗ chữ ký được đặt ở đâu và phù hợp với loại tài liệu nào. Cả ba đều thuộc họ AdES (Advanced Electronic Signature) của ETSI, tổ chức tiêu chuẩn châu Âu.
Trả lời ngắn
| Định dạng | Tiêu chuẩn | Chữ ký nằm ở đâu? | Phù hợp nhất cho việc gì |
|---|---|---|---|
| PAdES | ETSI EN 319 142 | Bên trong tệp PDF | Tài liệu con người mở ra đọc: hợp đồng, báo cáo, đơn từ |
| CAdES | ETSI EN 319 122 | Trong phong bì bao quanh tài liệu hoặc trong một tệp .p7s riêng | Mọi loại tệp; công văn điện tử chính thức |
| XAdES | ETSI EN 319 132 | Bên trong hoặc bên cạnh tài liệu XML | Tài liệu trao đổi giữa các máy: các tệp XML như e-Fatura (hóa đơn điện tử của Thổ Nhĩ Kỳ) định dạng UBL-TR |
| ASiC | ETSI EN 319 162 | Trong vùng chứa ZIP mang cả tài liệu và chữ ký | Ký nhiều tệp trong một gói |
PAdES là gì?
PAdES (PDF Advanced Electronic Signatures) nhúng chữ ký vào chính cấu trúc của tệp PDF. Tài liệu đã ký vẫn là một tệp PDF: người nhận mở bằng trình đọc PDF như Adobe Acrobat Reader mà không cần chương trình bổ sung, và xem trong bảng chữ ký ai đã ký và tài liệu có bị thay đổi hay không. Nó cũng có thể mang một ô chữ ký hiển thị trên trang.
Vì PDF cho phép cập nhật gia tăng, nhiều người có thể lần lượt ký trên cùng một tài liệu; mỗi chữ ký giữ nguyên trạng thái trước nó. Vì vậy đây là lựa chọn thiết thực cho các hợp đồng có chuỗi phê duyệt. Giới hạn cũng đến từ đây: PAdES chỉ ký PDF.
CAdES là gì?
CAdES (CMS Advanced Electronic Signatures) dựa trên cấu trúc CMS (RFC 5652) và không quan tâm đến loại tệp: Word, Excel, hình ảnh, ZIP — thứ gì cũng có thể ký. Chữ ký được mang theo hai cách: dưới dạng phong bì chứa tài liệu bên trong, hoặc dưới dạng một tệp riêng (.p7s) nằm cạnh tài liệu.
Nhược điểm nằm ở phía người nhận: để mở tệp đã ký dạng phong bì và xác minh chữ ký, cần có ứng dụng chữ ký điện tử. Ở Thổ Nhĩ Kỳ, CAdES là định dạng phổ biến nhất trong công văn chính thức có chữ ký điện tử.
XAdES là gì?
XAdES (XML Advanced Electronic Signatures) được xây dựng trên tiêu chuẩn chữ ký XML của W3C (XMLDSig) và dành cho tài liệu XML. Chữ ký có thể được nhúng vào trong XML (enveloped), bao quanh XML (enveloping) hoặc đứng riêng (detached). Nó được thiết kế cho những trường hợp tài liệu do phần mềm chứ không phải con người đọc; được dùng trong các tài liệu dựa trên XML như e-Fatura định dạng UBL-TR.
ASiC dùng để làm gì?
ASiC (Associated Signature Containers) mang tài liệu đã ký và chữ ký của nó cùng nhau trong một vùng chứa ZIP. ASiC-S dành cho một tài liệu, ASiC-E dành cho nhiều tài liệu. Chữ ký bên trong có thể là CAdES hoặc XAdES; ASiC không phải là một loại chữ ký mới mà là một cách đóng gói để mang theo.
Các cấp độ: B-B, B-T, B-LT, B-LTA
Định dạng trả lời câu hỏi "chữ ký nằm ở đâu"; cấp độ trả lời câu hỏi "chữ ký có thể được xác minh trong bao lâu". Các hồ sơ cơ bản (baseline) của ETSI có bốn cấp độ:
- B-B (Basic): chữ ký, chứng thư của người ký và các thuộc tính được ký. Được xác minh khi chứng thư còn hiệu lực.
- B-T (Timestamp): thêm dấu thời gian đáng tin cậy; chứng minh chữ ký được thực hiện muộn nhất vào thời điểm nào.
- B-LT (Long-Term): chuỗi chứng thư và trạng thái thu hồi (CRL, OCSP) được nhúng vào chữ ký; dù chứng thư hết hạn sau đó, dữ liệu xác minh vẫn đi cùng tài liệu.
- B-LTA (Long-Term Archive): thêm dấu thời gian lưu trữ và có thể gia hạn; dù các thuật toán mật mã đã dùng trở nên lỗi thời, giá trị chứng cứ của chữ ký vẫn được giữ.
Trong cách gọi cũ của ETSI, các bậc tương ứng là BES, EPES, T, C, X, XL và A; nhiều ứng dụng và tài liệu ở Thổ Nhĩ Kỳ vẫn dùng các tên này. Với tài liệu cần lưu giữ nhiều năm (hợp đồng, hồ sơ lưu trữ, bảng lương), chọn ít nhất B-LT, tốt hơn là B-LTA; với phê duyệt hằng ngày, thời hạn ngắn, B-T thường là đủ.
Nên chọn định dạng nào?
- Nếu tài liệu là PDF và con người sẽ mở ra đọc: PAdES. Người nhận không phải cài thêm chương trình.
- Nếu tài liệu là XML và phần mềm sẽ xử lý: XAdES.
- Nếu tệp không phải PDF hay XML, hoặc phía bên kia yêu cầu CAdES: CAdES.
- Nếu cần ký nhiều tệp trong một gói: ASiC-E.
- Nếu gửi công văn chính thức đến cơ quan nhà nước Thổ Nhĩ Kỳ: định dạng không do bạn chọn; quy tắc của gói e-Yazışma (chuẩn công văn điện tử chính thức của Thổ Nhĩ Kỳ) quyết định.
Hiệu lực pháp lý có phụ thuộc vào định dạng không?
Không. Ở Thổ Nhĩ Kỳ, theo Luật Chữ ký điện tử số 5070, chữ ký điện tử an toàn có cùng hệ quả pháp lý như chữ ký tay. Điều quyết định việc này không phải chủ yếu là định dạng, mà là chữ ký có được tạo bằng chứng thư điện tử đủ điều kiện và thiết bị tạo chữ ký an toàn (thẻ thông minh, token, HSM hoặc chữ ký di động) hay không. PAdES, CAdES và XAdES là những chiếc vỏ khác nhau mang chữ ký này.
Về phía ELPO
Với người dùng muốn ký trên máy tính mà không cần viết mã, İmzacı ký PDF và XML bằng thẻ thông minh, chuẩn bị gói e-Yazışma và ký hàng loạt theo thư mục. Với các nhóm muốn đưa chữ ký vào phần mềm của riêng mình, thư viện chữ ký điện tử eSignature tạo và xác minh các định dạng CAdES, XAdES, PAdES và ASiC đến cấp lưu trữ dài hạn; mỗi định dạng là một gói riêng nên dự án chỉ đưa vào phần thực sự dùng. Giới thiệu chung về hai sản phẩm có trên trang e-İmza.
