Thư viện và API chữ ký điện tử

PAdES (PDF Advanced Electronic Signatures) là định dạng chữ ký điện tử trong đó chữ ký được nhúng vào bên trong tệp PDF; được định nghĩa bởi tiêu chuẩn ETSI EN 319 142. Tài liệu đã ký vẫn là PDF, được xác thực trong bảng chữ ký của các trình đọc PDF như Adobe Reader và có thể có ô chữ ký hiển thị trên trang. Các cấp độ tăng dần từ B-B lên B-T (có dấu thời gian), B-LT và B-LTA (lưu trữ dài hạn).

CAdES (CMS Advanced Electronic Signatures) là định dạng chữ ký điện tử dựa trên cấu trúc CMS/PKCS#7; được định nghĩa bởi tiêu chuẩn ETSI EN 319 122. Định dạng này có thể ký mọi loại tệp; chữ ký thường đi kèm tài liệu dưới dạng .p7s hoặc nằm trong một phong bì đã ký. Tại Thổ Nhĩ Kỳ, đây là định dạng được dùng phổ biến nhất trong văn thư chính thức có ký điện tử.

XAdES (XML Advanced Electronic Signatures) là định dạng chữ ký điện tử được phát triển cho tài liệu XML; được định nghĩa bởi tiêu chuẩn ETSI EN 319 132. Chữ ký có thể nhúng trong XML hoặc để riêng. Định dạng này được dùng cho các tài liệu XML như hóa đơn điện tử định dạng UBL-TR.

Thư viện chữ ký điện tử là thành phần dành cho nhà phát triển (SDK) đưa khả năng tạo và xác thực chữ ký điện tử vào phần mềm của bạn. Một ứng dụng ký dựng sẵn hiển thị màn hình cho người dùng; thư viện là khối xây dựng không có màn hình — chính ứng dụng của bạn thực hiện ký, trong luồng công việc của bạn. Thư viện làm việc với thẻ thông minh, token hoặc HSM, đồng thời tạo và xác thực các định dạng CAdES, XAdES và PAdES.

Gói e-Yazışma là gói chuẩn dùng trong văn thư điện tử chính thức với các cơ quan nhà nước Thổ Nhĩ Kỳ: tài liệu đã ký, tệp siêu dữ liệu và tệp đính kèm (nếu có) được gộp thành một gói. Giữa các cơ quan, gói thường được gửi qua KEP (thư điện tử bảo đảm).

Gói e-Yazışma chính thức là tệp siêu dữ liệu và tài liệu đã ký được đóng gói cùng nhau. Thư viện thực hiện việc này trong một lần gọi: ký tài liệu bằng CAdES hoặc XAdES, tạo siêu dữ liệu đúng lược đồ và đóng gói. Hỗ trợ e-Yazışma phiên bản 1.3 và 2.0, chứng thư gốc của KamuSM được tích hợp sẵn. Nếu bạn chỉ định một thư mục, thư viện sẽ ký hàng loạt các tài liệu bên trong.

Thư viện đi vào phần mềm của bạn: luồng công việc của bạn kích hoạt việc ký, giao diện là của bạn. Ứng dụng dựng sẵn (İmzacı) chạy trên máy tính: người dùng chọn tệp và ký. Cả hai dùng chung một hạ tầng ký; lựa chọn nào phù hợp tùy thuộc vào ai khởi động việc ký — phần mềm của bạn hay người dùng.

CAdES (BES, EPES, T, C, X, XL, A), XAdES (BES, T, C, X, XL, A), PAdES (B-B, B-T, B-LT, B-LTA) cùng ASiC-S và ASiC-E. Chỉ với một thư viện, bạn đạt đến cấp lưu trữ dài hạn.

Không. Thư viện là dạng mô-đun; với PDF chỉ cần gói eSignature.PAdES. Các chuẩn, TSA và nhà cung cấp phần cứng bạn không dùng sẽ không bao giờ vào dự án.

Chữ ký không được tạo trong trình duyệt mà ở phía máy chủ của ứng dụng web: gói eSignature.PAdES được gọi và PDF đã ký được trả về cho người dùng. Yếu tố quyết định là khóa nằm ở đâu — với HSM đám mây, HSM mạng hoặc chữ ký số di động, máy chủ truy cập được khóa nên toàn bộ luồng chạy qua web. Nếu khóa nằm trên thẻ thông minh của người dùng, trình duyệt không thể truy cập thẻ; khi đó việc ký được thực hiện trên máy tính bằng İmzacı.

Có. Nguồn ký được trừu tượng hóa: thẻ thông minh và USB token (CNG/PKCS#11), HSM mạng, dịch vụ HSM đám mây và chữ ký số di động đều dùng cùng một luồng. Mỗi nhà cung cấp là một gói độc lập.

Có. Xác thực chuỗi chứng thư theo RFC 5280, CRL, OCSP, Delta CRL và xác thực ngoại tuyến đều nằm trong thư viện; cùng một thành phần vừa tạo vừa xác thực chữ ký.

Có. Ứng dụng máy tính dùng mà không cần viết mã là İmzacı: ký PDF và XML bằng thẻ thông minh, tạo gói e-Yazışma và ký hàng loạt cả thư mục.

Thêm vào dự án gói của chuẩn cần dùng: eSignature.PAdES để ký PDF, gói XAdES cho XML. Vì thư viện được chia thành 39 gói NuGet, bạn chỉ cài những gì mình dùng; không có một phụ thuộc lớn duy nhất nào vào dự án.

Qua Windows CNG và PKCS#11, hỗ trợ các thiết bị như AKİS, SafeNet/eToken, Gemalto/Thales, IDEMIA, Feitian, YubiKey và Nitrokey. Mỗi nhà cung cấp là một gói riêng, độc lập; trình điều khiển bạn không dùng sẽ không vào dự án.

Có. Hỗ trợ HSM mạng Thales Luna, Utimaco và Entrust nShield cùng AWS CloudHSM/KMS, Azure Key Vault HSM và Google Cloud KMS. Đây là cách xây dựng luồng ký tự động trên máy chủ mà không cần người dùng cầm thẻ.

Không; cùng một thành phần vừa tạo vừa xác thực chữ ký. Xác thực chuỗi chứng thư theo RFC 5280, CRL, OCSP, Delta CRL và xác thực ngoại tuyến đều nằm trong thư viện.