PAdES, XAdES i CAdES: podpis nie zawsze jest „na dokumencie”
Format decyduje, czy podpis jest w PDF, XML, kontenerze czy oddzielnym pliku. Odbiorca musi zachować dokładnie ten zestaw, który podpisano.
Nazwy rodzin formatów opisują sposób technicznego powiązania podpisu z danymi. PAdES jest związany z PDF, XAdES z podpisem XML, a CAdES z zaawansowanym podpisem opartym na składni CMS. Każda rodzina ma profile i warianty, dlatego sama etykieta nie wystarcza do stwierdzenia zgodności z wymaganiem odbiorcy.
PAdES zachowuje podpis w strukturze PDF
Podpis PAdES jest osadzony w pliku PDF. Czytnik może pokazać panel podpisów i widoczny prostokąt, ale grafika jest tylko prezentacją. Właściwa walidacja analizuje kryptograficzną strukturę, zakres podpisanych bajtów, certyfikat i dane potrzebne do oceny.
PDF może przechowywać kolejne przyrostowe zmiany, na przykład następny podpis. Program powinien wskazać, które zmiany nastąpiły po danym podpisie i czy są dozwolone. „Zapisz jako” albo optymalizacja może przebudować plik i utrudnić lub unieważnić kontrolę.
XAdES może występować w kilku relacjach do XML
Podpis XML może otaczać podpisywane dane, znajdować się wewnątrz nich albo odwoływać się do danych zewnętrznych. Sposób przetwarzania zależy od profilu i systemu. Dwa pliki z rozszerzeniem XML nie muszą być wymienne.
Nie otwieraj XML tylko jako tekstu i nie usuwaj „nieczytelnych” elementów. Kolejność, przestrzenie nazw, identyfikatory i transformacje są częścią mechanizmu. Użyj narzędzia przewidzianego przez odbiorcę i zachowaj oryginał.
CAdES często prowadzi do oddzielnego podpisu lub kontenera
W wariancie zewnętrznym plik podpisu nie zawiera całej podpisanej treści. Walidator potrzebuje dokładnego dokumentu, do którego podpis się odnosi. Plik o tej samej nazwie, ale zapisany ponownie, nie jest zamiennikiem. Przekazuj parę w kontrolowany sposób i nie rozdzielaj jej w archiwum.
Kontener ASiC może grupować dokumenty i podpisy. Nie wypakowuj tylko pliku widocznego dla człowieka i nie wyrzucaj metadanych. Najpierw zweryfikuj cały kontener narzędziem obsługującym jego format.
Rozszerzenie i ikona nie są źródłem prawdy
Nazwę pliku można zmienić, a system może ukrywać rozszerzenia. Narzędzie powinno rozpoznać strukturę i zgłosić niezgodność. Nie zmieniaj „.sig” na „.pdf”, aby „dało się otworzyć”, i nie uznawaj każdego PDF za PAdES.
Wiadomość z podpisanym plikiem nadal może być phishingiem. Potwierdź nadawcę i cel niezależnym kanałem, zwłaszcza gdy dokument żąda płatności lub zmiany rachunku. Poprawny podpis dowodzi określonej relacji z certyfikatem, nie uczciwości każdej treści.
Wiele podpisów wymaga wspólnej wersji
Ustal, czy narzędzie dodaje następny podpis do tego samego dokumentu, tworzy kontener czy podpisuje tylko własną kopię. Rozsyłanie równolegle dwóch wersji może zakończyć się dwoma plikami z pojedynczymi podpisami zamiast jednego dokumentu podpisanego przez obie osoby.
Po każdym etapie sprawdź wszystkie podpisy. Drugi podpis nie powinien ukrywać ostrzeżenia dotyczącego pierwszego. Nazwij pliki jednoznacznie, ale nie modyfikuj ich treści; wersjonowanie prowadź w metadanych repozytorium lub kontrolowanej nazwie, jeśli nie wpływa ona na mechanizm.
Ramka i zrzut ekranu nie zastępują walidacji
Tekst widoczny w ramce może pochodzić od twórcy dokumentu, dlatego może wskazywać inną osobę niż certyfikat. Prawidłowy podpis może też istnieć bez widocznej ramki. Dane osoby porównuj w panelu walidacji.
Nie oceniaj podpisu na podstawie zrzutu ekranu z zielonym znakiem. Zrzut nie jest połączony kryptograficznie z przekazanym dokumentem i może dotyczyć innego pliku. Poproś o oryginalny zestaw oraz, jeśli potrzebny, pełny raport z identyfikatorem dokumentu. Samodzielnie powtórz walidację w zatwierdzonym środowisku.
Załącznik może być wskazany, ale nie dołączony
Dokument główny może wymieniać załączniki w treści, choć techniczny podpis ich nie obejmuje. Z kolei kontener może obejmować pliki, których użytkownik nie zauważa w pierwszym podglądzie. Porównaj spis załączników z zawartością kontenera i zakresem każdego podpisu. Nie zakładaj relacji wyłącznie na podstawie wspólnej wiadomości e-mail.
Konwersja tworzy nowy dokument
Wydruk podpisanego PDF i ponowne zeskanowanie zachowują wygląd, lecz nie dane podpisu. Eksport XML do PDF tworzy prezentację, a nie automatycznie podpisany oryginał. Jeżeli odbiorca potrzebuje innego formatu, wygeneruj dokument ze źródła i przeprowadź podpisanie od początku zgodnie z wymaganiem.
Zachowaj źródło, podpisany oryginał, ewentualny podpis zewnętrzny, kontener i raport. Dopiero taki zestaw pozwala później odtworzyć, co rzeczywiście zostało podpisane.