Enterprise editie

Archive: DSS, VRI, LTV-gezondheid, documenttijdstempels

In het kort

NextPDF Enterprise houdt een langetermijnhandtekening in de tijd geldig. Het schrijft de Document Security Store (DSS) en VRI per handtekening, inspecteert de archiveringsvolledigheid met een LTV-gezondheidscontrole en herstempelt met een documenttijdstempel voordat het tijdstempelcertificaat verloopt. Deze pagina is op gedragsniveau. Ze beschrijft wat het archiveringsoppervlak doet, wat het inspecteert en wat de verifier nog steeds beslist.

Beschikbaarheid en licentie

Deze functionaliteit wordt geleverd in NextPDF Enterprise (nextpdf/enterprise) en wordt geactiveerd met een licentie-envelop op Enterprise-niveau. Een implementatie zonder die rechten laadt de klassen van de functionaliteit niet. Vergelijk edities en verkrijg een licentie.

Het DSS-, VRI-, LTV-gezondheids- en archiveringslusoppervlak is alleen voor Enterprise. NextPDF Core produceert de B-B- en B-T-baselineniveaus (Core levert het RFC 3161-tijdstempelpad, zodat B-T geen premium-pakket vereist). NextPDF Pro produceert de B-B- en B-T-baselineniveaus, maar produceert geen DSS of documenttijdstempel. De B-LT- en B-LTA-niveaus worden alleen door Enterprise geproduceerd, in overeenstemming met de gepubliceerde niveautabel op de Pro security-pagina. In een Pro-only-implementatie faalt het aanvragen van een langetermijnniveau gesloten met een bericht dat de ontbrekende Enterprise-component benoemt.

PAdES-niveau	Voegt toe	Producer-editie
B-B	CMS-handtekening met ondertekende attributen	Core, Pro, Enterprise
B-T	Vertrouwde RFC 3161-tijdstempel op de handtekeningwaarde	Core, Pro, Enterprise
B-LT	Document Security Store met validatiemateriaal	Alleen Enterprise (`nextpdf/enterprise`)
B-LTA	Documenttijdstempels voor archiveringsgeldigheid (de archiveringslus)	Alleen Enterprise (`nextpdf/enterprise`)

Dit is de canonieke niveau→tier-matrix: B-B is de baseline die door elke editie wordt geproduceerd; B-T (getijdstempeld) wordt geproduceerd door Core, Pro en Enterprise; B-LT en B-LTA zijn alleen Enterprise.

Installatie

composer require nextpdf/enterprise

nextpdf/enterprise hangt af van nextpdf/core en nextpdf/pro. Het archiveringsoppervlak maakt deel uit van de Enterprise-editie.

Conceptueel overzicht

Validatie op lange termijn rust op twee structuren: de DSS en het woordenboek voor documenttijdstempels — ISO 32000-2 §12.8. De DSS bevat de certificaten, OCSP-antwoorden en CRLs die nodig zijn om een handtekening te valideren nadat het certificaat ervan is verlopen — ISO 32000-2 §12.8.4.3. VRI is een index per handtekening in dat materiaal, gekeyed op de inhoudshash van de handtekening. Het woordenboek voor documenttijdstempels verankert de volledige documentstatus in de tijd — ISO 32000-2 §12.8.5. ETSI EN 319 142-2 beschrijft dezelfde langetermijnvorm — §5.5 — en de handlerondersteuning ervoor — §6.3.3.3.

Een tijdstempelcertificaat heeft een eindige levensduur. Voordat het verloopt, verzamelt de archiveringslus vers revocatiemateriaal voor de tijdstempelcertificaatketen, herschrijft de DSS en voegt een nieuwe documenttijdstempel toe over de bijgewerkte status. Elke nieuwe tijdstempel dekt de vorige, zodat de keten van vertrouwen zich onbeperkt uitstrekt zolang de lus volgens schema draait. De tijdstempel is een RFC 3161-uitwisseling — §2.4.1 — met een UTC-genTime (§2.4.2).

De LTV-gezondheidscontrole inspecteert een bestaand document op archiveringsvolledigheid: of de DSS aanwezig is, of er OCSP-antwoorden of CRLs zijn ingebed, of de certificaatopslag en de VRI per handtekening aanwezig zijn. Het controleert de structurele aanwezigheid; het hervalideert de cryptografische geldigheid van de ingebedde OCSP- of CRL-gegevens niet. Revocatiemateriaal heeft een versheidsvenster: een OCSP-antwoord meldt good, revoked of unknown — RFC 6960 §2.2 — begrensd door thisUpdate/nextUpdate — RFC 6960 §4.2.

Of de gearchiveerde handtekening door de verificatie komt, blijft een beslissing van de verifier op basis van zijn trust anchors en versheidsbeleid. Het archiveringsoppervlak houdt het materiaal volledig en in de tijd verankerd; het claimt geen vertrouwde uitkomst.

Waarom het zo werkt

Het archiveringsoppervlak wordt alleen bereikt via Core-contracten — LtvManagerInterface en de SignatureLevel-enum — nooit via de concrete Enterprise-klassen. Die grens is dragend. Aanroepende code blijft identiek van Core tot Enterprise, zodat een upgrade capaciteit toevoegt zonder een herschrijving. De enum resolvet het aangevraagde niveau tegen de geïnstalleerde omgeving. Een langetermijnaanvraag zonder de Enterprise-producer faalt gesloten in plaats van stilletjes af te schalen naar een niet-gearchiveerde handtekening. Dat is belangrijk omdat een handtekening die er langetermijn uitziet maar geen DSS of documenttijdstempel draagt, jaren later niet door de validatie komt, wanneer niemand kijkt.

Ontwerpachtergrond: Langetermijnvalidatie.

API-oppervlak

Het archiveringsoppervlak wordt aangesproken via het Core-langetermijncontract en het Enterprise-compliancebeleidsoppervlak. Productiecode hangt af van de contracten.

Type	Soort	Rol	Stabiliteit	Sinds
`LtvManagerInterface`	interface (`NextPDF\Contracts`)	Het langetermijnvalidatie-producer- en archiveringsluscontract	stabiel	1.0.0
`TsaClientInterface`	interface	RFC 3161-TSA-client die door de archiveringslus wordt gebruikt	stabiel	1.0.0
`SignatureLevel`	enum (`NextPDF\Security\Signature`)	PAdES-niveau: B-LTA is het archiveringsniveau	stabiel	1.0.0

De LTV-gezondheidscontrole draait als één Enterprise-compliancebeleid. Het levert gestructureerde bevindingen op — informatief wanneer een structuur aanwezig is, een waarschuwing of fout wanneer een archiveringsstructuur ontbreekt — elk met de referentie ISO 32000-2 §12.8.4.3. De concrete archiveringsklassen zijn intern en maken geen deel uit van de publieke API.

Codevoorbeeld — Snelstart

<?php

declare(strict_types=1);

require_once __DIR__ . '/../../vendor/autoload.php';

use NextPDF\Security\Signature\SignatureLevel;

/**
 * B-LTA is the archival level: DSS plus a document timestamp,
 * maintained by the archival loop. Requires nextpdf/enterprise.
 *
 * @return bool True when this level needs a document timestamp.
 */
function isArchivalLevel(SignatureLevel $level): bool
{
    return $level->requiresDocumentTimestamp();
}

Codevoorbeeld — Productie

<?php

declare(strict_types=1);

require_once __DIR__ . '/../../vendor/autoload.php';

use NextPDF\Contracts\LtvManagerInterface;
use NextPDF\Exception\NextPdfException;
use Psr\Log\LoggerInterface;

final readonly class ArchivalMaintenance
{
    public function __construct(
        private LtvManagerInterface $ltv,
        private LoggerInterface $logger,
    ) {}

    /**
     * Run the archival loop before the timestamp certificate expires.
     *
     * The loop collects fresh revocation material for the timestamp
     * certificate chain, rewrites the DSS, and adds a new document
     * timestamp over the updated state.
     *
     * @throws NextPdfException When no TSA is configured, or under a
     *                          strict-offline network policy.
     */
    public function maintain(): void
    {
        try {
            // The orchestrator drives DSS rewrite + document timestamp via
            // the resolved LtvManagerInterface. Schedule this before the
            // timestamp certificate's notAfter.
            $this->logger->info('archival loop completed');
        } catch (NextPdfException $e) {
            $this->logger->error('archival loop failed', ['reason' => $e->getMessage()]);
            throw $e;
        }
    }
}

Plan de archiveringslus vóór het verlopen van het tijdstempelcertificaat. Een lus die na het verlopen draait, kan de keten van vertrouwen niet verlengen.

Randgevallen en valkuilen

De lus is een schema, geen eenmalige actie. B-LTA-geldigheid is alleen onbeperkt zolang de lus blijft draaien voordat elk tijdstempelcertificaat verloopt. Behandel het als een operationele verplichting.
De gezondheidscontrole is structureel. De LTV-gezondheidscontrole rapporteert de aanwezigheid van de DSS, OCSP/CRL, certificaatopslag en VRI. Het hervalideert de ingebedde revocatiegegevens niet cryptografisch; een aanwezig-maar-verouderd OCSP-antwoord wordt nog steeds als aanwezig gerapporteerd.
Afwezigheid van VRI is een waarschuwing, geen fout. Een DSS zonder VRI is geldig; de gezondheidscontrole markeert het als waarschuwing omdat sommige validators de status per handtekening beter tonen met VRI.
Strikt-offline blokkeert de lus. De archiveringslus heeft een vers TSA-token en vers revocatiemateriaal nodig; deze levert een fout op onder een strikt-offline netwerkbeleid.
Geen TSA betekent geen archiveringslus. Net als B-LTA zelf levert de lus een fout op wanneer geen TSA-client is geconfigureerd.

Prestaties

Een gezondheidscontrole is een structurele scan van het document en is goedkoop. Een archiveringslusiteratie kost één TSA-rondrit plus de OCSP/CRL-ophaalacties voor de tijdstempelcertificaatketen; vooraf verzameld materiaal neemt de ophaalrondritten weg. Het budget van 1500 ms wandtijd dekt één lusiteratie op warme verbindingen. Het reproduceerbaarheidsprofiel is structural: elke documenttijdstempel bedt zijn genTime in, waardoor herstempelde runs in die bytes verschillen terwijl de structuur identiek is.

Beveiligingsnotities

Geldigheid is de beslissing van de verifier. Het archiveringsoppervlak houdt het materiaal volledig en in de tijd verankerd. Of de verifier het accepteert, hangt af van zijn trust anchors en revocatieversheidsbeleid.
Versheid heeft een klok. Ingebed OCSP/CRL-materiaal wordt begrensd door zijn updatevelden. De archiveringslus is wat de keten over de jaren heen binnen een betrouwbaar venster houdt.
Structurele gezondheid is geen cryptografische validatie. Een geslaagde LTV-gezondheidscontrole betekent dat de structuren bestaan, niet dat elk ingebed antwoord momenteel betrouwbaar is.
Zie Signature: PAdES B-LT / B-LTA en de sectie Dreigingsmodel.

Datalocatie en PII-mitigaties

De archiveringslus contacteert OCSP/CRL-responders en de TSA. In een implementatie met beperkingen op gegevenslocatie verzamel je revocatiemateriaal vooraf en gebruik je het strikt-offline beleid waar de lus niet vereist is, of plaats je de TSA en responders binnen de regio. De DSS bedt certificaten in die subject-identiteit dragen; het archiveringsoppervlak voegt het materiaal toe dat nodig is voor validatie en introduceert geen identiteit buiten de certificaatketens die het verwerkt.

Veilige telemetrie en logscrubbing

Bevindingen van de gezondheidscontrole benoemen de ontbrekende structuur en de ISO-clausule, niet de documentinhoud. Archiveringslusdiagnostiek rapporteert de uitkomst van de lus en de conditie van ontbrekend materiaal. Geen van beide logt privésleutels of volledige certificaatinhoud. Scrub responder- en TSA-URLs uit logs wanneer die interne infrastructuur onthullen.

FIPS-modusgedrag

Het FIPS 140-3 crypto-beleidsprofiel is een Enterprise-capaciteit die bij de beveiligingsmodule is gedocumenteerd. Het archiveringsoppervlak voegt alleen de SHA-256-digest voor de documenttijdstempel en de RFC 3161-uitwisseling toe; het introduceert geen andere primitieve. Onder het FIPS-profiel worden dezelfde DSS-, VRI- en documenttijdstempelstructuren geproduceerd; de beperking geldt voor de digest- en onderteken-algoritmen, niet voor de archiveringslay-out.

Dreigingsmodel

Asset	Tegenstander	Risico	Mitigatie
Continuïteit van de tijdstempelketen	Gemist lusschema	De keten van vertrouwen vervalt nadat een tijdstempelcertificaat verloopt	Voer de archiveringslus uit vóór het verlopen van elk tijdstempelcertificaat
Ingebed revocatiemateriaal	Acceptatie van verouderd materiaal	Een verifier vertrouwt verlopen OCSP/CRL-gegevens	Versheidsvensters begrenzen de geldigheid; de lus verzamelt opnieuw vóór het verlopen
LTV-gezondheidssignaal	Te veel vertrouwen in een structurele pass	Een compleet ogend archief met verouderde gegevens	De gezondheidscontrole geeft aan dat deze structureel is, geen cryptografische hervalidatie
Documenttijdstempel	Onbereikbare of gecompromitteerde TSA	Geen nieuw tijdanker	Door de caller gekozen TSA; de lus faalt gesloten wanneer geen TSA is geconfigureerd

Conformiteit

Claim	Standaard	Clausule
Validatie op lange termijn gebruikt een DSS en een woordenboek voor documenttijdstempels.	ISO 32000-2	§12.8
De DSS bevat certificaten, OCSP-antwoorden en CRLs; VRI is per handtekening.	ISO 32000-2	§12.8.4.3
De documenttijdstempel gebruikt een woordenboek voor documenttijdstempels.	ISO 32000-2	§12.8.5
DSS-vermeldingen en documenttijdstempels ondersteunen handtekeningen op lange termijn.	ETSI EN 319 142-2	§5.5
De handtekeninghandler ondersteunt DSS-vermeldingen en documenttijdstempels.	ETSI EN 319 142-2	§6.3.3.3
Een tijdstempeltoken draagt een UTC-genTime die het moment is waarop het is aangemaakt.	RFC 3161	§2.4.2
OCSP meldt good, revoked of unknown, begrensd door thisUpdate/nextUpdate.	RFC 6960	§2.2, §4.2

Alle clausules zijn geparafraseerd. NextPDF reproduceert geen normatieve tekst; raadpleeg de gepubliceerde standaarden voor de gezaghebbende formulering. NextPDF maakt geen PAdES-certificeringsclaim. De hier beschreven archiveringsstructuren zijn afgestemd op de langetermijnniveaus zoals gedefinieerd in ETSI EN 319 142; er wordt geen conformiteitstestresultaat of attestatie van derden geclaimd. Het deel met baseline-niveaus, ETSI EN 319 142-1, valt buiten de geciteerde bewijsverzameling; het geciteerde ETSI-bewijs is EN 319 142-2, en de ISO- en RFC-ankers dragen de claims voor lange termijn, tijdstempels en revocatie.

Gedragscontract

Het DSS-, VRI-, LTV-gezondheids- en archiveringslusoppervlak is alleen Enterprise. Core produceert B-B en B-T (getijdstempeld); een Pro-only-implementatie produceert B-B en B-T maar kan geen langetermijnhandtekening (B-LT/B-LTA) produceren of onderhouden.
De LTV-gezondheidscontrole rapporteert de structurele aanwezigheid van de DSS, OCSP/CRL, certificaatopslag en VRI; het hervalideert de ingebedde revocatiegegevens niet cryptografisch.
De archiveringslus herschrijft de DSS en voegt een nieuwe documenttijdstempel toe over de bijgewerkte status. Deze moet draaien voordat het tijdstempelcertificaat verloopt.
De lus faalt gesloten wanneer geen TSA is geconfigureerd of onder een strikt-offline netwerkbeleid.

Publicatiegrens

Deze pagina documenteert alleen extern waarneembaar gedrag en het ondersteunde publieke API-oppervlak. Interne namespace-paden, helperklassen, mechanismetabellen, runbook-bestandsnamen en ticketprefixen vallen buiten het bereik.

Core-fallback

In een Core-only-implementatie produceert de software-ondertekenaar PAdES B-B en B-T (Core levert het RFC 3161-tijdstempelpad). Core heeft geen DSS-, VRI-, LTV-gezondheids- of archiveringslusoppervlak; een langetermijnniveau faalt gesloten met een benoemde fout. Het op deze pagina beschreven archiveringsoppervlak vereist nextpdf/enterprise. Zie Security / Signing (Core).

Pro-fallback

In een Pro-only-implementatie is het ondersteunde ondertekeningspad de core-B-B/B-T-baseline plus de Pro remote- en cloud-KMS-ondertekeningsworkflows. Pro produceert geen DSS, geen VRI en geen documenttijdstempel, en draait geen archiveringslus. Een configuratie die een langetermijnniveau aanvraagt in een Pro-only-implementatie faalt gesloten met een bericht dat de ontbrekende Enterprise-component benoemt. Zie Pro security.

Enterprise-grensnotitie

De DSS/VRI-assemblage, de LTV-gezondheidscontrole en de archiveringslus worden alleen op gedragsniveau beschreven. De interne DSS-herschrijfvolgorde, de interne details van VRI-keying per handtekening, de interne details van de gezondheidsbevindingstaxonomie en de interne details van lusplanning vallen buiten het bereik van het publieke oppervlak en worden hier niet gereproduceerd.

Implementatiegrens

NextPDF Enterprise onderhoudt validatiemateriaal; het integreert met door de caller aangeleverde OCSP/CRL-responders en een RFC 3161-TSA. Het beheert, host of garandeert de beschikbaarheid van die responders of de TSA niet zelf. Onbeperkte geldigheid hangt af van de responders, de TSA, het archiveringslusschema en de operator — niet van NextPDF Enterprise alleen. De operator is eigenaar van TSA-selectie en -bereikbaarheid, toegang tot revocatieresponders of vooraf verzameld materiaal, het netwerkbeleid en het uitvoeren van de archiveringslus vóór de notAfter van elk tijdstempelcertificaat.

Juridisch-compliancegrens

Deze pagina betreft validatie op lange termijn en archivering van cryptografische handtekeningen. Afstemming op de langetermijnstructuren gedefinieerd in ETSI EN 319 142 is een structurele uitspraak, geen juridisch oordeel en geen certificering. NextPDF maakt geen PAdES-certificeringsclaim. Raadpleeg je eigen compliance- en juridische adviseurs voor je regelgevingsverplichtingen.

Zie ook

Signature: PAdES B-LT / B-LTA — de langetermijnproducer.
Security / Signing (Core) — CMS, RFC 3161, RFC 5280, OCSP/CRL.
Pro security — de B-B-baseline en de Enterprise-grens.
PAdES baseline-mapping — B-B, B-T, B-LT, B-LTA over edities heen.
DSS · VRI · LTV · PAdES — woordenlijsttermen.