Enthüllung der elektronischen Signatur: Verstehen, wie PAdES die Sicherheit von PDF-Signaturen gewährleistet

Im vorherigen Artikel haben wir ESI einfach verstanden. In diesem Artikel werden wir das Konzept von PAdES eingehender untersuchen und vergleichen, um zu sehen, wie das elektronische Signaturformat für PDF-Dateien geregelt ist.

I. Was ist PAdES?

1. Definition in einem Satz

PAdES (PDF Advanced Electronic Signature) ist eine Reihe internationaler Standards für fortgeschrittene elektronische Signaturen für PDF-Dokumente. Es ist weit mehr als nur ein einfaches Signatur-Wasserzeichen in einer PDF-Datei, sondern verwendet eine komplexe, aber standardisierte Datenstruktur und Mechanismen, um sicherzustellen, dass signierte PDF-Dateien auch nach Jahren noch verifiziert und als vertrauenswürdig eingestuft werden können.

II. Die Kernfunktion von PAdES:

Gewöhnliche elektronische Signaturen sind im Laufe der Zeit drei Hauptrisiken ausgesetzt:

• Zertifikatsablauf: Die Gültigkeit digitaler Zertifikate, die zum Signieren verwendet werden, beträgt in der Regel nur 1-3 Jahre. Wie kann die ursprüngliche Signatur nach Ablauf der Gültigkeit verifiziert werden?
• Algorithmus-Cracking: Sichere Verschlüsselungsalgorithmen können in Zukunft von leistungsstärkeren Computern geknackt werden.
• Materialverlust: Die Server für Materialien, die zur Überprüfung der Signatur erforderlich sind, wie z. B. Zertifikatsperrlisten (Certificate Revocation Lists, CRL), können geschlossen werden, was zu einer fehlgeschlagenen Überprüfung führt.

PAdES löst diese Probleme schrittweise durch die Definition verschiedener Signaturstufen:

• PAdES-B-B (Basisstufe): Nachweis der Identität des Unterzeichners und der Integrität des Dokuments.
• PAdES-B-T (mit Zeitstempel): Hinzufügen eines vertrauenswürdigen Zeitstempels, um nachzuweisen, dass die Signatur zu einem bestimmten Zeitpunkt vorhanden war, um eine nachträgliche Ablehnung zu verhindern.
• PAdES-B-LT (Langzeitvalidierung): Einbetten aller für die Validierung erforderlichen Materialien (Zertifikate, Sperrlisten usw.) in die PDF-Datei selbst, um zu verhindern, dass die Validierung aufgrund der Schließung externer Server fehlschlägt.
• PAdES-B-LTA (Langzeitvalidierung und -archivierung): Regelmäßige Generierung neuer Zeitstempel mit sichereren Algorithmen, um das gesamte Signaturpaket abzudecken, dem Risiko veralteter Algorithmen entgegenzuwirken und eine dauerhafte Gültigkeit zu erreichen.

Derzeit reicht es im Allgemeinen aus, PAdES-B-T (mit Zeitstempel) zu verwenden, um die grundlegenden Anforderungen der elektronischen Signaturspezifikation zu erfüllen (schließlich ist die Wahrscheinlichkeit, dass die CA selbst bankrott geht, nicht sehr hoch, sodass die Zertifikatsstatusvalidierung im Allgemeinen unterstützt werden kann).

III. Zusammensetzung von PAdES:

Eine PAdES-Signatur enthält ein vollständiges "Vertrauensdatenpaket" in der PDF-Datei:

• Signaturwert (Signature Value): Der Kernsignaturwert basierend auf kryptografischen Operationen.
• Signaturzertifikat (Signer's Certificate): Ein elektronischer Personalausweis, der die Identität des Unterzeichners nachweist.
• Vertrauenswürdiger Zeitstempel (Trusted Timestamp): Ausgestellt von einer maßgeblichen Institution, um die Signaturzeit nachzuweisen.
• Validierungsdaten (DSS - Document Security Store):
  • Zertifikatsketten (Certificates): Das Zertifikat der übergeordneten ausstellenden Behörde des Unterzeichnerzertifikats.
  • Sperrinformationen (Revocation Information): Eine Liste, die beweist, dass das Zertifikat zum Zeitpunkt der Signatur nicht widerrufen wurde.
• Archivzeitstempel (Archive Timestamp): Auf LTA-Ebene wird ein neuer Zeitstempel verwendet, um das gesamte Signaturpaket regelmäßig zu "verstärken".

IV. Beziehung zwischen PAdES, CAdES und XAdES

PAdES ist kein isolierter Standard, sondern bildet zusammen mit CAdES und XAdES das "Dreigestirn" der fortgeschrittenen elektronischen Signaturstandards des ETSI (European Telecommunications Standards Institute). Das Kernkonzept dieser drei Standards ist dasselbe und zielt darauf ab, die langfristige Gültigkeit und Vertrauenswürdigkeit elektronischer Signaturen zu gewährleisten. Sie haben jedoch unterschiedliche Eigenschaften für verschiedene Dateiformate und Anwendungsszenarien.

CAdES (CMS Advanced Electronic Signatures) ist ein elektronischer Signaturstandard, der weitgehend für jedes Dateiformat gilt und sich besonders gut eignet, wenn eine separate Signatur für die Datei erforderlich ist. XAdES (XML Advanced Electronic Signatures) ist speziell für die elektronische Signierung von XML-Daten konzipiert und kann bis auf die Ebene der Datenelemente detailliert werden, was für die Signierung strukturierter Daten geeignet ist. Im Vergleich zu diesen beiden konzentriert sich PAdES (PDF Advanced Electronic Signatures) auf die Signierung von PDF-Dateien und betont die enge Integration von Signatur und Dokument, wodurch ein gutes visuelles Erlebnis geboten wird und Benutzer die Existenz der Signatur intuitiv wahrnehmen können.

Diese drei teilen das gleiche Konzept und unterstützen verschiedene Signaturstufen wie B-B, B-T, B-LT und B-LTA, um eine langfristige Gültigkeit zu gewährleisten. Sie basieren auf derselben Infrastruktur, einschließlich der Public-Key-Infrastruktur (PKI) und der Zeitstempeldienste (TSA). In Bezug auf den Rechtsrahmen folgen die drei auch ähnlichen regulatorischen Anforderungen und entsprechen den Bestimmungen der EU-eIDAS und anderer Vorschriften für fortgeschrittene elektronische Signaturen.

Je nach Dateiformat können Benutzer je nach Bedarf den entsprechenden Standard auswählen: Wenn Sie eine beliebige Art von Datei signieren müssen, können Sie CAdES wählen; wenn Sie XML-Daten signieren, wählen Sie XAdES; und für die Signierung von PDF-Dokumenten wählen Sie PAdES.

V. PAdES vs. Chinesischer Standard GB/T 31308.3-2023

Der chinesische Standard GB/T 31308.3-2023 ist technisch identisch mit dem internationalen PAdES-Standard (ETSI EN 319 142). Die Kernmechanismen, Signaturstufen und Ziele beider sind identisch und zielen darauf ab, die langfristige Gültigkeit und Rechtswirksamkeit elektronischer PDF-Signaturen zu gewährleisten. Kurz gesagt, der internationale PAdES-Standard und der GB/T 31308.3-Standard weisen in den technischen Spezifikationen keine Unterschiede auf, es gibt jedoch unterschiedliche Anforderungen in einigen Schlüsselbereichen, die sich hauptsächlich in der Auswahl von Verschlüsselungsalgorithmen und Vertrauenswurzeln widerspiegeln.

Der internationale Standard PAdES verwendet in der Regel international gebräuchliche Verschlüsselungsalgorithmen wie RSA, ECDSA und SHA-2, während der GB/T 31308.3-Standard die Verwendung von Chinas unabhängigen nationalen Verschlüsselungsalgorithmen (wie SM2, SM3, SM9) stärker betont. Darüber hinaus stützt sich PAdES auf international oder von der EU anerkannte CA/TSA-Institutionen, während GB/T 31308.3 die Verwendung inländischer Dienstleistungsinstitutionen erfordert, die die chinesische Zertifizierung für kommerzielle Verschlüsselungsprodukte und die CA-Lizenz bestanden haben.

In Bezug auf Anwendungsbereiche wird der internationale PAdES häufiger in grenzüberschreitenden elektronischen Verträgen und internationalen Handelsdokumenten usw. verwendet, was den Anforderungen des internationalen Marktes und den Anforderungen der grenzüberschreitenden gegenseitigen Anerkennung entspricht. GB/T 31308.3 wird hauptsächlich in inländischen Regierungsdokumenten, Finanzverträgen, gerichtlichen Beweismitteln und anderen Bereichen verwendet, was den inländischen Branchenstandards und gesetzlichen Anforderungen Chinas entspricht.

Im Allgemeinen kann der internationale PAdES als ein "internationaler Reisepass" angesehen werden, während GB/T 31308.3 die "chinesische Sonderausgabe" dieses Reisepasses ist. Obwohl die technischen Spezifikationen völlig identisch sind, müssen bei der tatsächlichen Anwendung die chinesischen Gesetze und Vorschriften wie das "Gesetz über elektronische Signaturen" und das "Verschlüsselungsgesetz" befolgt und die angegebenen "Fälschungsschutztechnologien" (nationale Verschlüsselungsalgorithmen) verwendet werden.

VI. Zusammenfassung

PAdES ist eine der Eckpfeilertechnologien für den Aufbau langfristigen Vertrauens im digitalen Zeitalter. Durch die Kombination mit CAdES und XAdES bietet es umfassende Lösungen für verschiedene Anwendungsszenarien und stellt sicher, dass elektronische Signaturen von Daten bis zu Dokumenten den Test der Zeit bestehen können.

Für Unternehmen bedeutet das Verständnis und die Anwendung von PAdES (oder dem inländischen GB/T 31308.3):

• Rechtliche Garantie: Die unterzeichneten elektronischen Verträge haben eine stärkere Beweiskraft vor Gericht.
• Kostensenkung und Effizienzsteigerung: Ermöglichen Sie einen papierlosen Gesamtprozess, die Vertragsverwaltung, -archivierung und -prüfung sind bequemer.
• Langfristige Compliance: Erfüllen Sie die langfristigen Archivierungsanforderungen verschiedener Gesetze und Vorschriften im In- und Ausland für elektronische Signaturen.