Enterprise edizione

Forensics — Riferimento approfondito

In sintesi

Questo riferimento approfondito documenta come vengono delimitate le revisioni, come le modifiche agli oggetti vengono classificate lungo la catena di revisioni e come gli eventi vengono raggruppati.

Disponibilità e licenza

Questa funzionalità è inclusa in NextPDF Enterprise (nextpdf/enterprise) e si attiva con un license envelope di tier Enterprise. Un deployment privo di tale entitlement non carica le classi della funzionalità. Confronta le edizioni e ottieni una licenza.

L’analizzatore è di sola lettura e non modifica l’input.

Contratto di comportamento

ForensicAnalyzer::analyze analizza ogni sezione di cross-reference, deriva un confine di byte per ciascuna revisione (inizio, fine, dimensione) e costruisce un riepilogo per ciascuna revisione. Procede quindi dalla revisione più recente verso la più vecchia e, per ciascuna revisione, confronta le sue voci di cross-reference con la revisione precedente più vecchia:

Un oggetto presente ora ma assente nella revisione più vecchia, e che non sia una voce libera (free entry), è classificato come Added.
Un oggetto che è una voce libera ora ma che non era libero prima è classificato come Deleted, con registrazione della revisione precedente.
Un oggetto attivo in entrambe le revisioni il cui offset di byte differisce è classificato come Modified, con registrazione della revisione precedente.

Le modifiche agli oggetti sono raggruppate per revisione in eventi: una revisione di firma che non era firmata nella revisione più vecchia produce SignatureAdded; un aggiornamento della root produce CatalogUpdated; un dizionario di cifratura che compare produce EncryptionChanged; e gli insiemi di oggetti aggiunti, modificati o eliminati producono i corrispondenti eventi di oggetto. La presenza di una firma è un’euristica strutturale (una voce di Document Security Store nel trailer): è un rilevamento di esistenza, non una convalida, e non una determinazione a prova di manomissione dell’integrità.

La sezione di cross-reference di un aggiornamento elenca solo gli oggetti aggiunti, modificati o eliminati in quell’aggiornamento (ISO 32000-2:2020 §7.5.5); un oggetto modificato viene aggiunto come nuova copia e il suo offset prevale su quello più vecchio (§7.5.6); un Document Security Store può comparire in una revisione successiva (§12.8.4).

Superficie API pubblica

NextPDF\Enterprise\Forensics\ForensicAnalyzer, NextPDF\Enterprise\Forensics\ForensicReport, NextPDF\Enterprise\Forensics\RevisionSummary, NextPDF\Enterprise\Forensics\ForensicEvent, NextPDF\Enterprise\Forensics\ForensicEventType, NextPDF\Enterprise\Forensics\ObjectChange, NextPDF\Enterprise\Forensics\ObjectChangeType. Le firme sono elencate sulla pagina pubblica.

Conformità

La classificazione rispecchia il modello di aggiornamento incrementale di ISO 32000-2:2020 §7.5.5–§7.5.6. L’analizzatore riporta la visione che il parser ha della catena; non certifica l’integrità e non costituisce di per sé prova ammissibile in giudizio.

Casi limite e comportamento in modalità FIPS

Una classificazione Deleted è una transizione a voce libera; una copia più vecchia dell’oggetto potrebbe essere ancora risolvibile. Non è una garanzia di irrecuperabilità.
Le informazioni del trailer sono filtrate a un insieme sicuro di chiavi; le chiavi sensibili sono indicate come presenti senza esporne i valori.
In questo modulo non avviene alcuna operazione crittografica, quindi non esiste alcun comportamento specifico della modalità FIPS.

Confine di pubblicazione

Questa pagina documenta esclusivamente il comportamento osservabile dall’esterno e la superficie API pubblica supportata. I percorsi di namespace interni, le classi di supporto, le tabelle dei meccanismi, i nomi di file di runbook e i prefissi di ticket sono fuori ambito.

Fallback di Core

NextPDF Core (Apache-2.0) non dispone di alcun analizzatore forense della cronologia di revisioni — nessuno; questa funzionalità non ha alcun equivalente di tier Core. Core fornisce la superficie autorevole di convalida delle firme, con cui l’analizzatore si compone ma che non sostituisce.

Fallback di Pro

NextPDF Pro non dispone di alcun analizzatore forense della cronologia di revisioni — nessuno; questa funzionalità non ha alcun equivalente di tier Pro. La classificazione delle modifiche per ciascun oggetto e il report serializzabile in JSON sono inclusi esclusivamente nel pacchetto nextpdf/enterprise.

Nota sul confine Enterprise

La derivazione dei confini di revisione, le regole di classificazione delle modifiche agli oggetti e il raggruppamento della timeline degli eventi sono descritti a livello di comportamento. La presenza di una firma è solo un’euristica strutturale; la validità della firma è deliberatamente fuori ambito qui — è responsabilità della superficie di firma di Core. Le informazioni del trailer sono filtrate a un insieme sicuro di chiavi e le chiavi sensibili sono indicate come presenti senza esporne i valori.

Confine di distribuzione

L’analisi viene eseguita in-process sull’host che detiene il PDF; nessun contenuto del documento lascia l’host. Se il PDF di input o il report contengano dati personali, e dove ciascuno sia memorizzato, è una responsabilità di distribuzione esterna al confine della libreria. L’operatore trae le conclusioni dal report; la libreria riporta la visione che il parser ha della catena di revisioni e non certifica l’integrità.

Confine di conformità legale

Nessuna restrizione per il controllo delle esportazioni si applica a questa superficie. Il report non costituisce di per sé prova ammissibile in giudizio e non deve essere presentato come una determinazione certificata dell’integrità del documento. Questo riferimento non è un parere legale.