Archive — Diepe referentie

In het kort

Dit is de diepte-referentie voor het NextPDF Enterprise-archiveringsoppervlak: hoe de DSS en VRI gestructureerd zijn, wat de LTV-gezondheidscontrole inspecteert en hoe de document-tijdstempel-archiveringslus de geldigheid in de tijd verlengt. Ze is op gedragsniveau en contractniveau. Concrete Enterprise-implementatietypen worden hier opzettelijk niet benoemd; de pagina verwijst uitsluitend naar het publieke pakket en het Core-contractoppervlak.

Beschikbaarheid & licentie

Deze capaciteit wordt geleverd in NextPDF Enterprise (nextpdf/enterprise) en wordt geactiveerd met een licentie-envelop op Enterprise-niveau. Een implementatie zonder die entitlement laadt de klassen van de capaciteit niet. Vergelijk edities en verkrijg een licentie.

De canonieke niveau→tier-matrix: B-B is de baseline die door Core, Pro en Enterprise wordt geproduceerd; B-T (getijdstempeld) wordt geproduceerd door Core, Pro en Enterprise — Core levert het RFC 3161-tijdstempelpad, zodat B-T geen premium-pakket vereist; Pro schrijft geen DSS of documenttijdstempel; B-LT en B-LTA worden geproduceerd door alleen Enterprise. In een Pro-only-implementatie faalt het aanvragen van een langetermijnniveau gesloten met een bericht dat de ontbrekende Enterprise-component benoemt.

PAdES-niveau	Voegt toe	Producer-editie
B-B	CMS-handtekening met ondertekende attributen	Core, Pro, Enterprise
B-T	Vertrouwde RFC 3161-tijdstempel op de handtekeningwaarde	Core, Pro, Enterprise
B-LT	Document Security Store met validatiemateriaal	Alleen Enterprise
B-LTA	Documenttijdstempel over de DSS (archiveringslus)	Alleen Enterprise

DSS- en VRI-structuur

De DSS is een woordenboek op Catalog-niveau dat het validatiemateriaal draagt dat een verifier nodig heeft nadat een ondertekeningscertificaat is verlopen — ISO 32000-2 §12.8.4.3. Het exposeert /Certs-, /OCSPs- en /CRLs-arrays van stream-objecten, ontdubbeld op contenthash. Validatie op lange termijn gebruikt twee woordenboektypen — de DSS en het woordenboek voor documenttijdstempels — ISO 32000-2 §12.8.

VRI (Validation Related Information) is een sub-woordenboek per handtekening, gekeyed op de uppercase-hash van de /Contents-waarde van die handtekening. Het indexeert de specifieke /Cert-, /OCSP- en /CRL-objecten voor die ene handtekening en kan een /TU-validatietijd-entry dragen. VRI is standaard uitgeschakeld: ETSI EN 319 142-1 V1.2.1 §5.4 raadt VRI in de DSS af voor nieuwe documenten. Het is door de caller in te schakelen voor validators die de status per handtekening beter weergeven wanneer het aanwezig is. ETSI EN 319 142-2 beschrijft dezelfde langetermijnsamenstelling — §5.5 — en handler-ondersteuning — §6.3.3.3.

LTV-gezondheidscontrole

De LTV-gezondheidscontrole is een Enterprise-compliancebeleid dat een bestaand document inspecteert op archiveringsvolledigheid. Het controleert: aanwezigheid van DSS; of OCSP-antwoorden (/OCSPs) of, aanvaardbaar, CRLs (/CRLs) zijn ingebed; of de certificaatstore (/Certs) aanwezig is; en of VRI per handtekening aanwezig is. Het geeft gestructureerde bevindingen uit — informatief wanneer een structuur aanwezig is, een fout wanneer de DSS of zowel OCSP als CRL afwezig zijn, en een waarschuwing wanneer VRI of de certificaatstore ontbreekt. Elke bevinding draagt de referentie ISO 32000-2 §12.8.4.3.

De controle is structureel, niet cryptografisch. Ze rapporteert of de structuren bestaan; ze verifieert de ingebedde OCSP- of CRL-gegevens niet opnieuw. Een aanwezig-maar-verouderd OCSP-antwoord rapporteert nog steeds als aanwezig. Revocatiemateriaal is zelf in de tijd begrensd: een OCSP-antwoord meldt good, revoked of unknown — RFC 6960 §2.2 — begrensd door thisUpdate/nextUpdate — RFC 6960 §4.2.

Archiveringslus

Een B-LTA-documenttijdstempel wordt verankerd door een TSA-certificaat met een eindige levensduur, geschreven via het woordenboek voor documenttijdstempels — ISO 32000-2 §12.8.5. Voordat dat certificaat verloopt, doet de archiveringslus het volgende:

1. Verzamelt vers revocatiemateriaal voor de TSA-certificaatketen.
2. Voegt optioneel een VRI-entry toe, gekeyed op de TSA-certificaathash.
3. Herschrijft de DSS met het bijgewerkte materiaal.
4. Voegt een nieuwe documenttijdstempel toe over de bijgewerkte documentstatus via een RFC 3161-uitwisseling — §2.4.1 — waarvan de genTime het UTC-aanmaakmoment is — §2.4.2.

Elke nieuwe tijdstempel dekt de vorige, zodat de geldigheid wordt verlengd zolang de lus draait vóór het verlopen van elk tijdstempelcertificaat. Hem volgens schema uitvoeren is een operationele verplichting. De lus werpt een fout wanneer hij wordt aangevraagd zonder geconfigureerde TSA of onder een strikt-offline netwerkbeleid.

API-oppervlak (alleen publiek contract)

Type	Soort	Rol	Stabiliteit	Sinds
LtvManagerInterface	interface (NextPDF\Contracts)	Langetermijnproducer + archiveringsluscontract, tijdens runtime opgelost	stable	1.0.0
TsaClientInterface	interface	RFC 3161-TSA-client die door de lus wordt gebruikt	stable	1.0.0
SignatureLevel	enum (NextPDF\Security\Signature)	B-LTA is het archiveringsniveau	stable	1.0.0

De LTV-gezondheidscontrole draait als één Enterprise-compliancebeleid en geeft gestructureerde bevindingen uit. Productiecode hangt af van de contracten; de concrete archiveringsimplementatieklassen zijn intern en maken geen deel uit van de publieke API.

Conformiteit

Claim	Standaard	Clausule
LTV gebruikt een DSS en een woordenboek voor documenttijdstempels.	ISO 32000-2	§12.8
DSS is het woordenboek dat de waarde is van de DSS-sleutel in de documentcatalogus; bevat Certs, OCSPs, CRLs.	ISO 32000-2	§12.8.4.3
Woordenboekstructuur voor documenttijdstempels.	ISO 32000-2	§12.8.5
DSS + documenttijdstempels voor langetermijnhandtekeningen.	ETSI EN 319 142-2	§5.5
Handler ondersteunt DSS + documenttijdstempels.	ETSI EN 319 142-2	§6.3.3.3
RFC 3161-verzoek retourneert TSTInfo; genTime is het UTC-aanmaakmoment.	RFC 3161	§2.4.1, §2.4.2
OCSP good/revoked/unknown begrensd door thisUpdate/nextUpdate.	RFC 6960	§2.2, §4.2

Alle clausules zijn geparafraseerd. NextPDF reproduceert geen normatieve tekst. NextPDF maakt geen PAdES-certificeringsclaim: de archiveringsstructuren zijn afgestemd op de langetermijnniveaus gedefinieerd in ETSI EN 319 142; er wordt geen conformiteitstestresultaat of attestatie van derden geclaimd. Het deel met baseline-niveaus, ETSI EN 319 142-1, valt buiten de geciteerde bewijsverzameling; het geciteerde ETSI-anker is EN 319 142-2, en de ISO/RFC-ankers dragen de claims voor lange termijn, tijdstempel en revocatie — dezelfde openbaarmakingspositie als de Core-ondertekeningsreferentie. Of de gearchiveerde handtekening valideert is de beslissing van de verifier tegen zijn trust anchors en revocatieversheidsbeleid.

Randgevallen & FIPS-modusgedrag

Randgevallen

• De LTV-gezondheidscontrole is structureel; een compleet ogend archief kan nog steeds verouderde revocatiegegevens bevatten. Behandel een pass als aanwezigheid, niet als geldigheid.
• Afwezigheid van VRI is een waarschuwing, geen fout: een DSS zonder VRI is geldig.
• De archiveringslus moet draaien vóór de notAfter van het tijdstempelcertificaat; een late run kan de keten niet verlengen.
• Strikt-offline beleid blokkeert de lus omdat deze een vers TSA-token en vers revocatiemateriaal nodig heeft.
• Geen TSA geconfigureerd: de lus werpt een fout in plaats van de tijdstempel over te slaan.

FIPS-modusgedrag

Het FIPS 140-3 crypto-beleidsprofiel is een Enterprise-capaciteit die bij de beveiligingsmodule is gedocumenteerd. Het archiveringsoppervlak voegt alleen de SHA-256-digest toe die wordt gebruikt voor de documenttijdstempel en de RFC 3161-uitwisseling. Onder het FIPS-profiel worden dezelfde DSS-, VRI- en documenttijdstempelstructuren geproduceerd; de beperking geldt voor de digest- en ondertekeningsalgoritmen, niet voor de archiveringslay-out.

Exportcontrolepositie

Deze module betreft cryptografische functionaliteit; behandel haar als beveiligingsgevoelig in je eigen review.

Gedragscontract

• Het DSS-, VRI-, LTV-gezondheids- en archiveringslus-oppervlak is Enterprise-only. Core produceert B-B en B-T (getijdstempeld); een Pro-only-implementatie produceert B-B en B-T maar kan geen langetermijnhandtekening (B-LT/B-LTA) produceren of onderhouden.
• De LTV-gezondheidscontrole rapporteert de structurele aanwezigheid van de DSS, OCSP/CRL, certificaatstore en VRI; ze verifieert ingebedde revocatiegegevens niet cryptografisch opnieuw.
• De archiveringslus herschrijft de DSS en voegt een nieuwe documenttijdstempel toe over de bijgewerkte status. Ze moet draaien voordat het tijdstempelcertificaat verloopt.
• De lus faalt gesloten wanneer geen TSA is geconfigureerd of onder een strikt-offline netwerkbeleid.

Core-terugval

In een Core-only-implementatie produceert de software-ondertekenaar PAdES B-B en B-T (Core levert het RFC 3161-tijdstempelpad). Core heeft geen DSS-, VRI-, LTV-gezondheids- of archiveringslus-oppervlak; een langetermijnniveau faalt gesloten doordat SignatureLevel::isAvailableInEnvironment false retourneert. Het archiveringsoppervlak op deze pagina vereist nextpdf/enterprise.

Pro-terugval

In een Pro-only-implementatie is het ondertekeningspad de Core-B-B/B-T-baseline plus de remote- en cloud-KMS-ondertekeningsworkflows van Pro. Pro produceert geen DSS, geen VRI en geen documenttijdstempel, en draait geen archiveringslus. Een configuratie die een langetermijnniveau aanvraagt, lost de Enterprise-producer tijdens runtime op via het Core-contract; bij afwezigheid van nextpdf/enterprise faalt deze gesloten met een benoemde fout.

Opmerking over de Enterprise-grens

Deze pagina verwijst uitsluitend naar het publieke pakket en het Core-contractoppervlak. Interne mechanismedetails blijven in de interne documentatie van de source-repository en vallen buiten de scope van deze handleiding.

Implementatiegrens

NextPDF Enterprise onderhoudt validatiemateriaal; het integreert met door de caller aangeleverde OCSP/CRL-responders en een RFC 3161-TSA. Het bedient, host of garandeert de beschikbaarheid van die responders of de TSA niet zelf. Onbeperkte geldigheid hangt af van de responders, de TSA, het archiveringslusschema en de operator — niet van NextPDF Enterprise alleen. De operator is eigenaar van TSA-selectie en -bereikbaarheid, toegang tot revocatieresponders of vooraf verzameld materiaal, het netwerkbeleid en het uitvoeren van de archiveringslus vóór de notAfter van elk tijdstempelcertificaat.

Publicatiegrens

Deze pagina documenteert uitsluitend extern waarneembaar gedrag en het ondersteunde publieke API-oppervlak. Interne namespace-paden, helper-klassen, mechanismetabellen, runbook-bestandsnamen en ticketprefixen vallen buiten de scope.

Juridische-compliancegrens

Deze module betreft cryptografische functionaliteit; behandel haar als beveiligingsgevoelig in je eigen review. Afstemming op de langetermijnstructuren gedefinieerd in ETSI EN 319 142 is een structurele uitspraak, geen juridisch advies en geen certificering. NextPDF maakt geen PAdES-certificeringsclaim. Of de gearchiveerde handtekening valideert is de beslissing van de verifier tegen zijn trust anchors en revocatieversheidsbeleid.

Zie ook

• Archive (capaciteitsoverzicht) — de capaciteitspagina waarop deze referentie steunt.
• Signature deep reference — de B-LT / B-LTA-producer.
• Security / Signing (Core) — CMS, RFC 3161, RFC 5280, OCSP/CRL.
• Pro security — de B-B-baseline en de Enterprise-grens.
• PAdES clause map