보안 및 컴플라이언스 팀을 위한 안내

한눈에 보기

당신은 PDF 엔진을 승인해야 하는 검토자입니다. 이 페이지는 나중에 당신이 방어하게 될 용어로 NextPDF의 보안 및 컴플라이언스 태세를 설명합니다. 무엇이 어떤 표준에 매핑되는지, 무엇이 fail-closed로 집행되는지, 그리고 그 경계가 어디에 위치하는지입니다. 모든 주장을 지배하는 하나의 원칙이 있습니다: 인증이 아닌 역량. NextPDF는 어떤 인증도 보유하지 않으며 어떤 인증도 부여하지 않습니다. NextPDF는 표준이 정의하는 구조를 만들어낼 뿐이며, 특정 파일이 적합한지 여부는 독립적인 검증자 또는 수신 기관이 결정합니다. 지원은 적합성이 아니고, 적합성은 인증이 아니며, 아래의 모든 표준 기반 주장은 인용을 포함하거나 그 주장을 소유하는 페이지로 연결됩니다.

제공 여부 및 라이선스

이 가이드는 두 가지 상용 에디션을 모두 다룹니다 - NextPDF Pro(nextpdf/pro)와 NextPDF Enterprise(nextpdf/enterprise). 에디션별 제공 여부는 기능 매트릭스를 참고하세요. 둘 다 라이선스 엔벌로프로 활성화되며, 일치하는 엔타이틀먼트가 없는 배포에서는 해당 에디션의 프리미엄 클래스가 로드되지 않습니다. 에디션을 비교하고 라이선스를 받으세요.

무엇을 구매하는가

30초로 요약하면: 규제 문서 워크플로에 필요한 보안 스택을 프리미엄 에디션에서 추가하는 PHP 8.4 엔진입니다. 서명은 PAdES 베이스라인 프로필(B-B부터 B-LTA까지)을 따르고, fail-closed 검증 측은 ETSI EN 319 102-1 상태 분류 체계로 리포팅합니다. 아카이빙 출력은 PDF/A-4를 대상으로 하고, 전자 인보이스는 EN 16931을 따릅니다. FIPS 모드 정책은 암호화 선택을 승인된 집합으로 제한하며 전원 인가 시 자체 테스트를 수행합니다. 증거 표면은 봉인된 결정론적 감사 아티팩트를 만들어냅니다. 오픈 코어는 Apache-2.0이며 완전히 검사 가능합니다. 표준 매핑은 컴플라이언스 및 적합성에 있습니다.

가장 많이 듣는 질문

NextPDF는 이러한 표준에 대해 인증을 받았나요?

아니요, 그리고 우리는 그렇게 암시하지 않을 것입니다. NextPDF는 표준에 매핑된 구조와 증거를 만들어내도록 구축되었습니다. 그것은 역량 주장이지 판정이 아닙니다. 독립적인 검증자의 깨끗한 실행 결과는 특정 파일의 적합성에 대한 증거이지만, 생산자 자신의 마커는 결코 그렇지 않습니다(ISO 19005-4 §6.7.3). 적합성 섹션을 참고하세요.

여기서 생성된 서명이 eIDAS 하에서 유효한가요?

NextPDF는 PAdES 베이스라인 프로필(ETSI EN 319 142-1)에 적합한 서명을 생성합니다. eIDAS 하에서 전자 서명은 그것이 전자적이라는 이유만으로 법적 효력을 부정당하지 않으며(Regulation (EU) No 910/2014, Art. 25(1)), 적격 서명은 자필 서명의 효력을 갖습니다(Art. 25(2)). 단서는: 적격성과 법적 지위는 인증서, 신뢰 서비스, 그리고 관할권에서 비롯되며 — 어떤 라이브러리, 우리 것을 포함하여, 그 바깥에 있습니다. Enterprise는 EU 신뢰 목록 증거를 감사 가능한 사유 코드와 함께 보증 수준으로 분류합니다 — 이는 분류이지 적격성 부여가 결코 아닙니다 (eIDAS 보증 수준).

검증 측은 얼마나 정직한가요?

의도적으로 직설적입니다. 검증은 증거 기반이며 fail-closed입니다: 지원되지 않는 알고리즘, 누락된 신뢰 앵커, 또는 증명 불가능한 검사는 거부이지 조용한 통과가 결코 아닙니다. 결과는 EN 319 102-1 분류 체계를 사용합니다 — TOTAL-PASSED, TOTAL-FAILED, 또는 INDETERMINATE — 그리고 더 부드러운 네 번째 상태는 없습니다(Clause 3.1). 당신의 감사자가 신경 쓸 아카이빙 진입점은 NextPDF\Enterprise\Security\Validation\AdESValidationEngine::validateArchivalTimestampChain()입니다:

public function validateArchivalTimestampChain(
    string $pdfBytes,
    array $dssData = [],
    ?TrustAnchorStoreInterface $anchors = null,
): ValidationReport;

던지거나 실패하는 방식: 잘못된 체인에 대해 예외를 던지지 않습니다 — 매핑된 INDETERMINATE 또는 TOTAL_FAILED ValidationReport를 반환합니다(구조적 결함은 형식 실패로 매핑됩니다). TOTAL_PASSED는 파일의 end-of-file 마커까지 커버하는 완전하고 신뢰 앵커가 있는 체인을 요구합니다. 신뢰 앵커가 구성되지 않았다면 모든 체인은 신뢰되지 않으며 — 결코 통과가 아닙니다. 전체 동작: 서명 검증.

NextPDF는 FIPS 140-3 검증을 받았나요?

아니요. FIPS 140-3 검증은 CMVP가 인가된 테스트를 통해 암호화 모듈에 부여하는 것입니다. NextPDF는 검증된 모듈이 아니며 어떤 FIPS 인증 주장도 하지 않습니다. Enterprise는 FIPS-모드 역량을 제공합니다: 엄격 및 표준 정책 프리셋, 연산이 실행되기 전에 모든 해시, 서명 OID, 키 강도를 확인하는 런타임 가드, 그리고 fail-closed되며 프로세스 재시작 시까지 래치 상태를 유지하는 전원 인가 시 알려진 답변 자체 테스트입니다. 부팅 게이트는 단일 호출입니다:

public function assertOperational(): void

던지거나 실패하는 방식: 알려진 답변 테스트가 실패했거나 프로세스가 이전에 오류 상태를 래치한 경우 FipsModuleErrorStateException을 던지며, 런타임 가드는 허용되지 않은 선택에 대해 FipsViolationException을 발생시킵니다. FIPS 호환 배포 주장을 위해서는 검증된 경계를 당신이 제공해야 합니다 — FIPS 검증된 OpenSSL 프로바이더 또는 HSM입니다. 상세 내용: FIPS 140-2/3 정책 및 자체 테스트 및 HSM 및 FIPS 검증.

외부로 통신하나요? 우리가 배포하는 것을 검증하고 에어갭할 수 있나요?

배포 채널별로, 발견되기보다는 문서화되어 있습니다. ionCube 인코딩 채널은 라이선스를 주기적으로 온라인으로 검증합니다: 대략 7일 주기의 검사가 약 14일 리스를 갱신합니다. 리스를 넘겨 오프라인 상태가 되면 프리미엄 기능은 일시 중지되고 엔진은 무료 Core로 폴백합니다 — 크래시하지 않습니다 — 그리고 재연결 시 재개됩니다. 검사는 라이선스 식별자와 솔트된 지문 해시만 전송하며, 문서 내용, 원시 지문, 또는 IP 주소 페이로드 필드는 결코 전송하지 않습니다. (모든 HTTPS 요청과 마찬가지로 전송 계층은 라이선싱 엔드포인트의 인프라에 필연적으로 소스 IP를 노출합니다 - 페이로드가 아닌 네트워크 메타데이터입니다.) signed-source 채널은 라이선스를 로컬에서 검증하고, 주기적 연결이 필요 없으며, 에어갭 배포에 적합합니다. 순수하게 오프라인인 배포는 아무것도 전송하지 않습니다. 어느 쪽이든 실패 모드는 오픈 소스 Core로의 성능 저하이지, 결코 벽돌(brick)이 되는 것이 아닙니다 (두 가지 배포 채널).

공급망 검토를 위해 signed-source 채널은 읽을 수 있는 PHP 소스를 암호학적으로 서명하여 제공하므로, 사용 전에 그것이 진본이고 수정되지 않았음을 검증할 수 있습니다 — OWASP가 사용 전 검증을 동반한 아티팩트 서명으로 설명하는 통제입니다. ionCube 채널은 ionCube Loader를 통해 실행되는 인코딩된 PHP를 제공합니다. 인코딩된 빌드는 소스 검토가 불가능합니다 - 사용 전 소스 검토 또는 아티팩트 서명 검증이 필요한 경우 signed-source 채널을 사용하세요. 읽을 수 있는 소스는 당신의 계정에서 라이선스 계약에 서명한 후에만 배포되며, EULA 하에서 PATEON의 기밀 영업 비밀로 남습니다 — 그것을 읽는 것이 복제하거나 재배포할 권한이 결코 아닙니다 (제품 라이선싱).

포스트 퀀텀과 C2PA는 어떤가요?

둘 다 존재하며, 둘 다 프리뷰입니다 — 기본 off, fail-closed이며, 어떤 적합성 주장도 담고 있지 않습니다. 포스트 퀀텀 HSM 서명 표면(signPqs, PqsCapabilityStatus로 보고됨)은 서명자별 플래그와 프로세스 env 플래그 뒤에서 옵트인됩니다. 그것은 GA가 아니고, AdES가 아니며, FIPS 검증되지 않았고, NextPDF는 포스트 퀀텀 검증 경로를 제공하지 않습니다. C2PA 표면은 양방향으로 호출자가 제공한 매니페스트 저장소를 전달하는 반면, 초안 매니페스트 합성은 기본 off 플래그 뒤에 있습니다. C2paCapabilityStatus는 generallyAvailable과 conformanceClaimed를 false로 하드코딩합니다. 경계: PQC 프리뷰, C2PA 프리뷰.

취약점은 어떻게 처리되나요?

공개된 협력적 공개(coordinated-disclosure) 정책을 통해서입니다: 비공개 접수, RFC 9116 security.txt 표면, 트리아지 기반 타임라인, 그리고 제한된 엠바고 — ISO/IEC 29147 및 ISO/IEC 30111에 부합하는, 보증이 아닌 프로세스 약속입니다 (취약점 공개 정책).

우리가 실제로 만들어낼 수 있는 감사 증거는 무엇인가요?

세 가지 표면입니다. Evidence는 검증 결과를 결정론적 JSON 형식, 안정적인 SHA-256 다이제스트, 그리고 선택적 RFC 3161 타임스탬프와 함께 불변 패키지로 봉인합니다 — WORM 준비 완료이며, 명시적으로 법적 증명이 아닙니다 (Evidence). Forensics는 무결성을 인증하지 않고 파싱된 증분 업데이트 구조를 리포팅합니다 (Forensics). 검증 리포트는 아카이빙 가능한 검사별 결과를 담습니다. 감사 직렬화는 기본적으로 서명자 신원 필드를 편집(redact)합니다 — 감사 출력에 적용된 GDPR 데이터 최소화 (Art. 5(1)(c))입니다 (데이터 처리).

요구사항 체크리스트

당신의 요구사항	NextPDF가 할 수 있는 것	NextPDF가 할 수 없는 것 / 경계	근거
장기 수준을 갖춘 PAdES 서명	ETSI EN 319 142-1에 따라 B-B, B-T, B-LT, B-LTA 생성(Core/Pro: B-B 및 B-T; Enterprise는 B-LT 및 B-LTA를 추가)	법적 지위 부여; 그것은 인증서, 신뢰 서비스, 관할권에 달려 있음	eIDAS Art. 25(1)/(2); 컴플라이언스
암호화 서명 검증	CMS 및 RFC 3161 토큰을 fail-closed로 검증; TOTAL-PASSED / TOTAL-FAILED / INDETERMINATE 리포팅	지원되지 않는 알고리즘이나 앵커되지 않은 체인을 통과; 더 부드러운 판정은 존재하지 않음	ETSI EN 319 102-1 Clause 3.1
PDF/A-4 아카이빙 출력	식별 스키마가 선언된 상태로 프로필이 요구하는 구조 생성	적합성을 자체 인증; 생산자 바깥의 검증 프로세스가 결정	ISO 19005-4 §6.7.3
EN 16931 전자 인보이스	코어 모델 인스턴스 생성 및 검증; ZUGFeRD / Factur-X 하이브리드 출력	세무 당국 검증자 역할; 국가별 확장은 범위 밖	EN 16931-1 Scope; Pro 컴플라이언스
FIPS 140-3 보증	FIPS 모드 정책, 런타임 가드, fail-closed 전원 인가 시 자체 테스트 집행	검증된 모듈이 됨; CMVP 검증된 프로바이더 또는 HSM을 당신이 제공	FIPS 140-3 (CMVP); FIPS 페이지
에어갭 운영	signed-source 채널에서 완전히 오프라인으로 실행, 라이선스는 로컬에서 검증	ionCube 채널을 ~14일 리스를 넘겨 오프라인으로 실행; Core로 일시 중지됨	배포 채널
아티팩트의 공급망 검증	사용 전에 검토할 수 있는 서명 검증된 읽기 가능한 소스 제공	인코딩된 ionCube 아티팩트를 소스 검토 가능하게 만듦; 채널을 목적에 맞게 선택	OWASP Cheat Sheet Series (아티팩트 무결성)
프라이버시 안전 감사 추적	직렬화된 감사 출력에서 기본적으로 서명자 PII 편집	당신의 배포를 위한 적법 근거 또는 데이터 거주지 결정	GDPR Art. 5(1)(c); 데이터 처리
PDF/UA 접근성	PDF/UA-2 언어 태그 이벤트를 기계 판독 가능한 사유와 함께 fail-closed로 리포팅	완전한 PDF/UA 적합성 검사를 주장하거나 접근성을 인증	Pro 컴플라이언스
오늘의 포스트 퀀텀 서명	프리뷰만: 두 개의 기본 off 플래그 뒤의 HSM 위임 ML-DSA / SLH-DSA	GA, AdES 적합, 또는 검증 가능한 포스트 퀀텀 서명 제공	PQC 프리뷰
취약점 공개 프로세스	보고를 비공개로 접수, 심각도별 트리아지, 공개 조율	수정, CVE, 또는 공개 날짜 보증; 그것은 프로세스 약속	공개 정책

위험 및 완화

• 인증 위험. NextPDF는 어떤 인증도 보유하지 않으며 어떤 인증도 부여하지 않습니다. 완화: 출력을 독립적으로 검증하고 봉인된 증거 패키지를 감사 추적으로 아카이빙하세요.
• FIPS 경계. FIPS 모드 정책은 컴플라이언스를 돕습니다. 검증된 경계는 당신이 구성하는 모듈입니다. CMVP 검증된 프로바이더 또는 HSM 없이는 어떤 FIPS 호환 배포 주장도 뒷받침될 수 없습니다.
• 법적 효력 경계. 서명의 법적 지위는 관할권에 따릅니다. eIDAS 표면은 공개된 증거에 대한 분류를 주장합니다. 규제 의무에 대해서는 당신 자신의 법률 자문을 구하세요.
• 프리뷰 기능. PQC와 C2PA 합성은 적합성 주장이 없는 기본 off 프리뷰이며, PQC의 경우 검증 경로가 없습니다. 프로덕션에서는 off로 유지하세요.
• ionCube 연결성. 인코딩된 채널의 라이선스 리스는 주기적 도달 가능성을 필요로 합니다. 그것이 용납되지 않는다면 구매 시 signed source를 선택하세요.
• 페일세이프 태세. ionCube 리스 만료 또는 집행 실패는 오픈 소스 Core로 폴백합니다. 결코 벽돌이 되지 않습니다. 구독 종료는 다릅니다: 대략 30일의 유예 기간 후 영구 폴백입니다 - 설치된 프리미엄 엔타이틀먼트는 추가 업데이트 없이 계속 실행됩니다 (라이선싱 및 활성화).

다음에 요청할 것

1. 전체 기능 세트로 평가하세요. 평가 부여는 제거 가능한 워터마크 뒤에서 모든 역량을 실행합니다. 14일 체험(이메일당 하나, 오늘 요금 없음, 자동 갱신 없음)은 당신의 계정에서 시작됩니다. 라이선스 포털에서 시작하세요.
2. 파일럿을 위한 라이선스 엔벌로프를 요청하세요. 그것은 에디션과 엔타이틀먼트를 명시하며 애플리케이션 코드 변경 없이 배포별로 활성화됩니다 (라이선싱 및 활성화). 구매는 우리의 Merchant of Record를 통해 진행됩니다. 라이선스는 EULA 하에서 PATEON이 부여하며, 환불 조건은 환불 및 취소 정책에 있습니다 (구매 및 라이선싱).
3. 검증 증거를 수집하세요. 모듈 검증 증거는 당신의 프로바이더 클래스에 따라 당신의 HSM 또는 OpenSSL 프로바이더 벤더에서 나옵니다 (HSM 및 FIPS 검증). NextPDF에 통합 증거를 요청하고, 당신의 신뢰 앵커, 검증자, 에어갭 필요사항을 실행하는 파일럿의 범위를 정하세요.

관련 항목

• 컴플라이언스 및 적합성
• 두 가지 배포 채널
• 서명 검증
• FIPS 140-2/3 암호화 정책 및 자체 테스트
• HSM 및 FIPS 검증
• 취약점 공개 정책
• 데이터 처리, PII, 텔레메트리