电子签名揭秘：了解PAdES如何确保PDF签名的安全性

上一篇文章我们简单理解了ESI，本篇我们将针对PAdES这个概念进行更加深入的研究和对比，让我们看到针对PDF的电子签名格式是如何规定的。

一、什么是PAdES？

1. 一句话定义 PAdES (PDF Advanced Electronic Signature) 是一套为PDF文档设计高级电子签名的国际标准。它远不止是简单地在PDF里放一个签名图章，而是通过一套复杂但标准化的数据结构和机制，确保签名后的PDF文件在多年后依然能被验证和信任。

二、PAdES的核心作用：

普通的电子签名，它会随着时间推移面临三大风险：

证书过期：用来签名的数字证书有效期通常只有1-3年，过期后如何验证当初的签名？ 算法破解：现在安全的加密算法，未来可能被更强大的计算机破解。 材料丢失：验证签名所需的证书吊销列表（CRL）等材料，其服务器可能关闭，导致无法验证。 PAdES通过定义不同级别的签名，层层递进地解决这些问题：

PAdES-B-B (基础级)：证明签名者身份和文档完整性。 PAdES-B-T (带时间戳)：增加可信时间戳，证明签名在某个时间点已经存在，防止事后抵赖。 PAdES-B-LT (长期验证)：将验证所需的所有材料（证书、吊销列表等）打包嵌入PDF自身，防止因外部服务器关闭而无法验证。 PAdES-B-LTA (长期验证且存档)：定期用更安全的算法生成新的时间戳，覆盖整个签名包，对抗算法过时的风险，实现永久有效。 目前一般只要采用PAdES-B-T (带时间戳)即可满足基本的电子签名规范诉求（毕竟CA本身倒闭的可能性并不大，所以证书状态验证一般都是可以支持的）

三、PAdES的组成：

一个PAdES签名在PDF文件里内置了一个完整的“信任数据包”：

签名值 (Signature Value)：基于密码学运算的核心签名值。 签名者证书 (Signer’s Certificate)：证明签名者身份的电子身份证。 可信时间戳 (Trusted Timestamp)：由权威机构签发，证明签名时间。 验证数据 (DSS - Document Security Store)： 证书链 (Certificates)：签名者证书的上级颁发机构证书。 吊销信息 (Revocation Information)：证明签名时证书未被撤销的清单。 档案时间戳 (Archive Timestamp)：在LTA级别，用于周期性“加固”整个签名包的新时间戳。

四、PAdES、CAdES 和 XAdES 的关系

PAdES并非一个孤立的标准，它与CAdES和XAdES一同构成了ETSI（欧洲电信标准协会）高级电子签名标准的“三驾马车”。这三个标准的核心理念是相同的，旨在实现电子签名的长期有效性和信任保障。但它们针对不同的文件格式和应用场景，具有不同的特点。

CAdES（CMS高级电子签名）是一种广泛适用于任何文件格式的电子签名标准，尤其在文件需要分离式签名时表现得尤为出色。XAdES（XML高级电子签名）则专门针对XML数据进行电子签名，能够细致到数据元素级别，适用于结构化数据的签名。与这两者相比，PAdES（PDF高级电子签名）则专注于PDF文件的签名，强调签名与文档的紧密结合，提供良好的视觉体验，用户能够直观感知签名的存在。

这三者共享同一套理念，都支持B-B、B-T、B-LT、B-LTA等不同级别的签名，力求实现长期有效性。它们依赖于相同的基础设施，包括公钥基础设施（PKI），以及时间戳服务（TSA）。在法律框架方面，三者也遵循类似的法规要求，符合欧盟eIDAS等法规对高级电子签名的规定。

根据文件格式的不同，用户可以根据需要选择合适的标准：如果需要签署任何类型的文件，可以选择CAdES；如果签署的是XML数据，则选择XAdES；而对于PDF文档的签署，则选择PAdES。

五、PAdES vs 中国标准 GB/T 31308.3-2023

我国的GB/T 31308.3-2023标准与国际PAdES标准（ETSI EN 319 142）在技术上完全一致。两者的核心机制、签名级别和目标都是相同的，旨在解决PDF电子签名的长期有效性和法律效力问题。简而言之，国际PAdES标准和GB/T 31308.3标准在技术规范上没有任何差异，但在一些关键方面存在不同的要求，主要体现在密码算法和信任根的选择上。

国际标准PAdES通常使用RSA、ECDSA和SHA-2等国际通用的密码算法，而GB/T 31308.3标准则更加强调使用中国自主研发的国密算法（如SM2、SM3、SM9）。此外，PAdES依赖于国际或欧盟认可的CA/TSA机构，而GB/T 31308.3则要求使用经过中国商用密码产品认证和CA许可的国内服务机构。

在应用领域方面，国际PAdES更多地应用于跨境电子合同和国际贸易单据等场景，符合国际市场需求和跨境互认的要求。而GB/T 31308.3则主要应用于国内政务公文、金融合同、司法存证等领域，符合中国国内的行业规范和法律要求。

总的来说，国际PAdES可以被看作是一本“国际通用护照”，而GB/T 31308.3是这本护照的“中国特别版”。虽然技术规范完全一致，但在实际应用时，必须遵循中国的法律要求，如《电子签名法》和《密码法》，并使用指定的“防伪技术”（国密算法）。

六、总结

PAdES是数字时代构建长期信任的基石技术之一。通过与CAdES、XAdES的结合，它为不同应用场景提供了全面的解决方案，确保从数据到文档的电子签名都能经得起时间的考验。

对于企业而言，理解并采用PAdES（或国内的GB/T 31308.3）意味着：

法律保障：签署的电子合同具有更强的司法证据效力。 降本增效：实现全流程无纸化，合同管理、归档、查验更便捷。 长期合规：满足国内外各类法规对电子签名的长期存档要求。