Enterprise エディション

アーカイブ — 詳細リファレンス

概要

これは NextPDF Enterprise のアーカイブサーフェスに関する詳細リファレンスです。DSS と VRI がどのように構造化されるか、LTV ヘルスチェックが何を検査するか、そしてドキュメントタイムスタンプのアーカイブループが有効性をどのように時間にわたって延長するかを扱います。挙動レベルかつコントラクトレベルの内容です。具体的な Enterprise の実装型は意図的にここでは名指ししません。このページは、パブリックパッケージと Core コントラクトサーフェスのみを参照します。

提供状況とライセンス

この機能は NextPDF Enterprise (nextpdf/enterprise) で提供され、Enterprise ティアのライセンスエンベロープで有効化されます。そのエンタイトルメントを持たないデプロイメントでは、この機能のクラスは読み込まれません。エディションを比較してライセンスを取得。

正規のレベル→ティアマトリクス: B-B は Core、Pro、Enterprise が生成するベースラインです。B-T（タイムスタンプ付き）は Core、Pro、Enterprise が生成します。Core は RFC 3161 タイムスタンプパスを同梱しているため、B-T はプレミアムパッケージを必要としません。一方、Pro は DSS もドキュメントタイムスタンプも書き込みません。B-LT と B-LTA は Enterprise のみが生成します。Pro のみのデプロイメントでは、長期レベルを要求すると、欠落している Enterprise コンポーネントを名指しするメッセージとともにフェイルクローズします。

PAdES レベル	追加内容	プロデューサーのエディション
B-B	署名付き属性を持つ CMS 署名	Core、Pro、Enterprise
B-T	署名値に対する信頼できる RFC 3161 タイムスタンプ	Core、Pro、Enterprise
B-LT	検証マテリアルを伴う Document Security Store	Enterprise only
B-LTA	DSS に対するドキュメントタイムスタンプ (アーカイブループ)	Enterprise only

DSS と VRI の構造

DSS は、署名証明書が失効した後に検証者が必要とする検証マテリアルを運ぶ、カタログレベルのディクショナリです — ISO 32000-2 §12.8.4.3。これは、コンテンツハッシュで重複排除された、ストリームオブジェクトの /Certs、/OCSPs、/CRLs 配列を公開します。長期検証は、DSS とドキュメントタイムスタンプディクショナリという 2 つのディクショナリタイプを使用します — ISO 32000-2 §12.8。

VRI (Validation Related Information) は、その署名の /Contents 値の大文字ハッシュをキーとする、署名ごとのサブディクショナリです。その 1 つの署名のための特定の /Cert、/OCSP、/CRL オブジェクトをインデックスし、/TU 検証時刻エントリを運ぶ場合があります。VRI はデフォルトでは無効です。ETSI EN 319 142-1 V1.2.1 §5.4 は、新しいドキュメントについて DSS 内の VRI を推奨しないとしています。VRI があると署名ごとのステータスをより適切に表示するバリデーター向けに、呼び出し元が有効にできます。ETSI EN 319 142-2 も同じ長期構成を記述しています — §5.5 — そしてハンドラーのサポートも — §6.3.3.3。

LTV ヘルスチェック

LTV ヘルスチェックは、既存のドキュメントをアーカイブの完全性について検査する Enterprise コンプライアンスポリシーです。次を検査します。DSS の存在、OCSP レスポンス（/OCSPs）または許容範囲として CRL（/CRLs）が埋め込まれているかどうか、証明書ストア（/Certs）が存在するかどうか、そして署名ごとの VRI が存在するかどうかです。構造化された所見を発行します。構造が存在する場合は情報、DSS または OCSP と CRL の両方が欠落している場合はエラー、VRI または証明書ストアが欠落している場合は警告です。各所見は ISO 32000-2 §12.8.4.3 の参照を運びます。

このチェックは暗号的ではなく構造的です。構造が存在するかどうかを報告します。埋め込まれた OCSP や CRL のデータを再検証することはありません。存在するが古い OCSP レスポンスも、存在するものとして報告されます。失効マテリアル自体には時間的な制限があります。OCSP レスポンスは good、revoked、または unknown を報告し — RFC 6960 §2.2 — thisUpdate/nextUpdate によって範囲が定められます — RFC 6960 §4.2。

アーカイブループ

B-LTA のドキュメントタイムスタンプは、有限の有効期間を持つ TSA 証明書によってアンカーされ、ドキュメントタイムスタンプディクショナリを通じて書き込まれます — ISO 32000-2 §12.8.5。その証明書が失効する前に、アーカイブループは次を行います。

TSA 証明書チェーンのための新しい失効マテリアルを収集します。
任意で、TSA 証明書ハッシュをキーとする VRI エントリを追加します。
更新されたマテリアルで DSS を書き換えます。
RFC 3161 交換を通じて、更新されたドキュメント状態に対する新しいドキュメントタイムスタンプを追加します — §2.4.1 — その genTime は UTC の作成時刻です — §2.4.2。

各新しいタイムスタンプは以前のものをカバーするため、各タイムスタンプ証明書の失効前にループが実行される限り、有効性は延長されます。スケジュールどおりに実行することは運用上の義務です。TSA が構成されていない状態で要求された場合、または厳格オフラインのネットワークポリシーの下では、ループはエラーを発生させます。

API サーフェス（パブリックコントラクトのみ）

型	種別	役割	安定性	導入バージョン
`LtvManagerInterface`	interface (`NextPDF\Contracts`)	実行時に解決される長期プロデューサー＋アーカイブループのコントラクト	stable	1.0.0
`TsaClientInterface`	interface	ループが使用する RFC 3161 TSA クライアント	stable	1.0.0
`SignatureLevel`	enum (`NextPDF\Security\Signature`)	B-LTA がアーカイブレベル	stable	1.0.0

LTV ヘルスチェックは 1 つの Enterprise コンプライアンスポリシーとして実行され、構造化された所見を発行します。本番コードはコントラクトに依存します。具体的なアーカイブ実装クラスは内部であり、パブリック API の一部ではありません。

適合性

主張	標準	条項
LTV は DSS とドキュメントタイムスタンプディクショナリを使用します。	ISO 32000-2	§12.8
DSS は、ドキュメントカタログ内の DSS キーの値であるディクショナリです。Certs、OCSPs、CRLs を保持します。	ISO 32000-2	§12.8.4.3
ドキュメントタイムスタンプディクショナリの構造。	ISO 32000-2	§12.8.5
長期署名のための DSS とドキュメントタイムスタンプ。	ETSI EN 319 142-2	§5.5
ハンドラーは DSS とドキュメントタイムスタンプをサポートします。	ETSI EN 319 142-2	§6.3.3.3
RFC 3161 リクエストは TSTInfo を返します。genTime は UTC の作成時刻です。	RFC 3161	§2.4.1, §2.4.2
OCSP の good/revoked/unknown は thisUpdate/nextUpdate によって範囲が定められます。	RFC 6960	§2.2, §4.2

すべての条項はパラフレーズです。NextPDF は規範的なテキストを複製しません。NextPDF は PAdES 認証の主張を行いません。 アーカイブ構造は ETSI EN 319 142 で定義された長期レベルに整合していますが、適合性テスト結果や第三者による証明は主張しません。ETSI EN 319 142-1 のベースラインレベルに関するパートは、引用された証拠セットの範囲外です。引用された ETSI のアンカーは EN 319 142-2 であり、ISO/RFC のアンカーが長期、タイムスタンプ、失効の主張を担います。これは Core 署名リファレンスと同じ開示姿勢です。アーカイブされた署名が検証されるかどうかは、検証者のトラストアンカーと失効鮮度ポリシーに照らした検証者の決定です。

エッジケースと FIPS モードの挙動

エッジケース

LTV ヘルスチェックは構造的です。完全に見えるアーカイブでも、古い失効データを保持している場合があります。合格は有効性ではなく、存在として扱ってください。
VRI の欠落はエラーではなく警告です。VRI のない DSS は有効です。
アーカイブループは、タイムスタンプ証明書の notAfter より前に実行されなければなりません。遅れて実行してもチェーンを延長できません。
厳格オフラインポリシーは、新しい TSA トークンと新しい失効マテリアルを必要とするため、ループをブロックします。
TSA が構成されていない場合、ループはタイムスタンプをスキップするのではなく、エラーを発生させます。

FIPS モードの挙動

FIPS 140-3 暗号ポリシープロファイルは、セキュリティモジュールとあわせて文書化されている Enterprise の機能です。アーカイブサーフェスは、ドキュメントタイムスタンプと RFC 3161 交換に使用される SHA-256 ダイジェストのみを追加します。FIPS プロファイルの下でも、同じ DSS、VRI、ドキュメントタイムスタンプ構造が生成されます。この制約は、ダイジェストおよび署名アルゴリズムに適用され、アーカイブのレイアウトには適用されません。

輸出管理の姿勢

このモジュールは暗号機能に関わります。ご自身のレビューにおいてセキュリティ上重要なものとして扱ってください。

挙動コントラクト

DSS、VRI、LTV ヘルス、アーカイブループのサーフェスは Enterprise 専用です。Core は B-B と B-T（タイムスタンプ付き）を生成します。Pro のみのデプロイメントは B-B と B-T を生成しますが、長期（B-LT/B-LTA）署名を生成または維持できません。
LTV ヘルスチェックは、DSS、OCSP/CRL、証明書ストア、VRI の構造的な存在を報告します。埋め込まれた失効データを暗号的に再検証することはありません。
アーカイブループは DSS を書き換え、更新された状態に対する新しいドキュメントタイムスタンプを追加します。タイムスタンプ証明書が失効する前に実行されなければなりません。
TSA が構成されていない場合、または厳格オフラインのネットワークポリシーの下では、ループはフェイルクローズします。

Core フォールバック

Core のみのデプロイメントでは、ソフトウェア署名者が PAdES B-B と B-T を生成します（Core は RFC 3161 タイムスタンプパスを同梱しています）。Core には DSS、VRI、LTV ヘルス、アーカイブループのサーフェスがありません。長期レベルは、SignatureLevel::isAvailableInEnvironment が false を返すことでフェイルクローズします。このページのアーカイブサーフェスには nextpdf/enterprise が必要です。

Pro フォールバック

Pro のみのデプロイメントでは、署名パスは Core の B-B/B-T ベースラインに、Pro のリモートおよびクラウド KMS の署名ワークフローを加えたものです。Pro は DSS も VRI もドキュメントタイムスタンプも生成せず、アーカイブループを実行しません。長期レベルを要求する構成は、Core コントラクトを通じて実行時に Enterprise プロデューサーを解決します。nextpdf/enterprise がない場合、名前付きエラーとともにフェイルクローズします。

Enterprise の境界に関する注記

このページは、パブリックパッケージと Core コントラクトサーフェスのみを参照します。内部のメカニズムの詳細はソースリポジトリの内部ドキュメントに留まり、本マニュアルの対象外です。

デプロイの境界

NextPDF Enterprise は検証マテリアルを維持します。呼び出し元が提供する OCSP/CRL レスポンダーおよび RFC 3161 TSA と統合します。それらのレスポンダーや TSA を運用、ホスト、または可用性を保証するものではありません。無期限の有効性は、レスポンダー、TSA、アーカイブループのスケジュール、オペレーターに依存し、NextPDF Enterprise 単独には依存しません。 オペレーターは、TSA の選択と到達性、失効レスポンダーへのアクセスまたは事前収集したマテリアル、ネットワークポリシー、そして各タイムスタンプ証明書の notAfter より前にアーカイブループを実行することを所有します。

公開の境界

このページは、外部から観測可能な挙動とサポートされるパブリック API サーフェスのみを文書化しています。内部の名前空間パス、ヘルパークラス、メカニズムテーブル、ランブックのファイル名、チケットプレフィックスは対象外です。

法令遵守の境界

このモジュールは暗号機能に関わります。ご自身のレビューにおいてセキュリティ上重要なものとして扱ってください。ETSI EN 319 142 で定義された長期構造との整合は構造的な言明であり、法的見解でも認証でもありません。NextPDF は PAdES 認証の主張を行いません。 アーカイブされた署名が検証されるかどうかは、検証者のトラストアンカーと失効鮮度ポリシーに照らした検証者の決定です。