Enterprise editie
Signature — Diepe referentie
In het kort
Sectie met titel “In het kort”Dit is de diepe referentie voor de NextPDF Enterprise-langetermijnproducer: hoe een B-LT- of B-LTA-handtekening wordt samengesteld, hoe revocatiemateriaal wordt verzameld en gehandhaafd, hoe de documenttijdstempel het document verankert en hoe de Pro-grens wordt gehandhaafd. Het is op gedrags- en contractniveau. Concrete Enterprise-implementatietypen worden hier bewust niet benoemd; de pagina verwijst alleen naar het publieke pakket en het Core-contractoppervlak.
Beschikbaarheid en licensering
Sectie met titel “Beschikbaarheid en licensering”Deze mogelijkheid wordt geleverd in NextPDF Enterprise (nextpdf/enterprise) en wordt geactiveerd met een licentie-envelop op Enterprise-niveau. Een deployment zonder die rechten laadt de klassen van de mogelijkheid niet. Vergelijk edities en verkrijg een licentie.
De canonieke niveau→tier-matrix: B-B is de baseline die door Core, Pro en Enterprise wordt geproduceerd; B-T (getijdstempeld) wordt geproduceerd door Core, Pro en Enterprise — Core levert het RFC 3161-tijdstempelpad, zodat B-T geen premium-pakket vereist; B-LT en B-LTA (DSS, VRI, documenttijdstempel) worden alleen door Enterprise geproduceerd. In een Pro-only-deployment faalt het aanvragen van B-LT of B-LTA gesloten: de Core-SignatureLevel::isAvailableInEnvironment retourneert false wanneer de Enterprise-langetermijnproducer afwezig is, en de Core-orchestrator werpt een benoemde fout in plaats van het niveau stilzwijgend te degraderen.
| PAdES-niveau | Voegt toe | Producer-editie |
|---|---|---|
| B-B | CMS-handtekening met ondertekende attributen | Core, Pro, Enterprise |
| B-T | Vertrouwde RFC 3161-tijdstempel op de handtekeningwaarde | Core, Pro, Enterprise |
| B-LT | Document Security Store met validatiemateriaal | Alleen Enterprise |
| B-LTA | Documenttijdstempel over de DSS (archiveringslus) | Alleen Enterprise |
Conceptueel model
Sectie met titel “Conceptueel model”Een B-LT-handtekening is een B-T-handtekening plus een Document Security Store. De DSS is een woordenboek op Catalog-niveau met de certificaat-, OCSP-antwoord- en CRL-streams die een verifier nodig heeft zodra het ondertekeningscertificaat is verlopen — ISO 32000-2 §12.8.4.3. Validatie op lange termijn gebruikt twee woordenboektypen — een DSS en een woordenboek voor documenttijdstempels — ISO 32000-2 §12.8. De CMS-handtekening zelf wordt DER-gecodeerd opgeslagen in /Contents — ISO 32000-2 §12.8.1.
Een B-LTA-handtekening voegt een documenttijdstempel toe over de volledige documentstatus, inclusief de DSS, geschreven via het woordenboek voor documenttijdstempels — ISO 32000-2 §12.8.5. ETSI EN 319 142-2 beschrijft dezelfde langetermijnsamenstelling — §5.5 — en de handler-ondersteuning — §6.3.3.3.
Producer-workflow
Sectie met titel “Producer-workflow”- Bouw de keten. Het ondertekenaar-certificaat plus eventuele door de caller aangeleverde intermediates vormen de keten, ondertekenaar eerst, richting de trust anchor — RFC 5280 §6.1.
- Verzamel revocatiemateriaal. Voor elk niet-root-certificaat raadpleegt de producer eerst OCSP. Een OCSP-antwoord meldt
good,revokedofunknown— RFC 6960 §2.2 — en is in de tijd begrensd doorthisUpdate/nextUpdate— RFC 6960 §4.2. Als OCSP niet beschikbaar is, valt het terug op een CRL, met delta-CRL-ondersteuning; een base-CRL en een optionele delta worden als afzonderlijke DSS-vermeldingen toegevoegd. - Schrijf de DSS. Certificaten, OCSP-antwoorden en CRLs worden als afzonderlijke PDF-streamobjecten geschreven; duplicaten worden ontdubbeld op basis van content-hash. Het DSS-woordenboek verwijst ernaar via
/Certs,/OCSPs,/CRLs. - VRI per handtekening (opt-in). Een VRI-vermelding, gekeyd op de hoofdletter-hash van de
/Contents-waarde van de handtekening, indexeert de specifieke certs/OCSP/CRLs voor die handtekening, met een optionele validatietijd-vermelding. VRI staat standaard uit: ETSI EN 319 142-1 V1.2.1 §5.4 raadt VRI in de DSS af voor nieuwe documenten; sommige validators tonen de langetermijnstatus er nog steeds beter mee, dus is het door de caller in te schakelen. - Documenttijdstempel (B-LTA). Nadat de DSS is geschreven, wordt een
/DocTimeStamp-woordenboek met/SubFilter /ETSI.RFC3161toegevoegd met ByteRange- en/Contents-placeholders. Nadat het volledige bestand is samengesteld, berekent de producer de SHA-256-digest over de ByteRange, vraagt een RFC 3161-token aan — §2.4.1 — en bedt het DER-token in;genTimeis het UTC-tokenaanmaakmoment — §2.4.2.
Revocatiehandhaving
Sectie met titel “Revocatiehandhaving”De producer resolveert een handhavingsmodus met deze precedentie: een expliciete gestructureerde handhavingsmodus wint; anders mapt een expliciete (deprecated) boolean naar strict of permissive; anders is de standaard strict (fail-closed).
Onder strict-handhaving werpt een ontbrekend OCSP-antwoord en een ontbrekende CRL voor elk niet-root-certificaat een fout in plaats van alleen een waarschuwing uit te geven. De fail-closed-standaard bestaat zodat een “B-LT”-PDF niet kan worden geproduceerd zonder revocatiemateriaal in de DSS terwijl het toch het langetermijnniveau adverteert. Voor de permissive (alleen-waarschuwende) workflow moet expliciet worden gekozen. Onder een strikt-offline netwerkbeleid vindt geen OCSP/CRL-ophaalactie plaats; alleen DSS-ingebed materiaal wordt gebruikt, en de ontbrekend-materiaal-conditie wordt afgehandeld door dezelfde handhavingsregel.
Archiveringslus
Sectie met titel “Archiveringslus”De B-LTA-documenttijdstempel wordt verankerd door een TSA-certificaat dat zelf verloopt. De archiveringslus, uitgevoerd vóór dat verlopen, verzamelt vers revocatiemateriaal voor de TSA-certificaatketen, herschrijft de DSS, voegt optioneel een VRI-vermelding toe die op de TSA-certificaathash is gekeyd, en voegt een nieuwe documenttijdstempel toe over de bijgewerkte status. Elke nieuwe tijdstempel dekt de vorige. Het volgens schema uitvoeren van de lus is een operationele verplichting; de producer werpt een fout als de lus wordt aangevraagd zonder geconfigureerde TSA of onder strikt-offline beleid. Het volledige archiveringsoppervlak is gedocumenteerd in de Archive diepe referentie.
API-oppervlak (alleen publiek contract)
Sectie met titel “API-oppervlak (alleen publiek contract)”| Type | Soort | Rol | Stabiliteit | Sinds |
|---|---|---|---|---|
SignerInterface | interface (NextPDF\Contracts) | Het Core-ondertekeningscontract | stabiel | 1.0.0 |
LtvManagerInterface | interface (NextPDF\Contracts) | Het langetermijnproducer- + archiveringslus-contract, runtime-resolved | stabiel | 1.0.0 |
TsaClientInterface | interface | RFC 3161-TSA-client die de producer aanroept | stabiel | 1.0.0 |
SignatureLevel | enum (NextPDF\Security\Signature) | B-B, B-T, B-LT, B-LTA-selector en beschikbaarheidsprobe | stabiel | 1.0.0 |
SignatureLevel::requiresDss → true voor B-LT, B-LTA. requiresDocumentTimestamp → alleen true voor B-LTA. requiresTimestamp → true voor B-T, B-LT, B-LTA. Productiecode hangt af van deze contracten; de concrete Enterprise-implementatieklassen zijn intern en maken geen deel uit van de publieke API.
Conformiteit
Sectie met titel “Conformiteit”| Claim | Standaard | Clausule |
|---|---|---|
Handtekening/tijdstempel DER-gecodeerd opgeslagen in /Contents. | ISO 32000-2 | §12.8.1 |
| LTV gebruikt een DSS en een woordenboek voor documenttijdstempels. | ISO 32000-2 | §12.8 |
| DSS is het woordenboek dat de waarde is van de DSS-sleutel in de documentcatalogus; bevat Certs, OCSPs, CRLs. | ISO 32000-2 | §12.8.4.3 |
| Structuur van het woordenboek voor documenttijdstempels. | ISO 32000-2 | §12.8.5 |
| DSS + documenttijdstempels voor langetermijnhandtekeningen. | ETSI EN 319 142-2 | §5.5 |
| Handler ondersteunt DSS + documenttijdstempels. | ETSI EN 319 142-2 | §6.3.3.3 |
| RFC 3161-verzoek retourneert TSTInfo; genTime is UTC-aanmaakmoment. | RFC 3161 | §2.4.1, §2.4.2 |
| OCSP good/revoked/unknown begrensd door thisUpdate/nextUpdate. | RFC 6960 | §2.2, §4.2 |
| Padvalidatie-invoer richting een trust anchor. | RFC 5280 | §6.1 |
Alle clausules zijn geparafraseerd. NextPDF reproduceert geen normatieve tekst. NextPDF maakt geen PAdES-certificeringsclaim: de producer schrijft structuren die zijn afgestemd op de B-LT- en B-LTA-niveaus gedefinieerd in ETSI EN 319 142; er wordt geen conformiteitstestresultaat of attestatie van derden geclaimd. Het deel met baseline-niveaus, ETSI EN 319 142-1, valt buiten de geciteerde bewijsverzameling, dus het geciteerde ETSI-anker is EN 319 142-2 en de ISO/RFC-ankers dragen de langetermijn- en tijdstempelclaims — dezelfde disclosure-positie als de Core-ondertekeningsreferentie. Of een geproduceerde handtekening verifieert is de beslissing van de verifier ten opzichte van zijn trust anchors en revocatieversheidbeleid; de producer bedt materiaal in en claimt geen vertrouwde uitkomst.
Randgevallen en FIPS-modusgedrag
Sectie met titel “Randgevallen en FIPS-modusgedrag”Randgevallen
Sectie met titel “Randgevallen”- De DSS moet worden geschreven vóór de documenttijdstempel; een tijdstempel die vóór de DSS wordt geschreven, dekt het validatiemateriaal niet.
- Strict-handhaving (de standaard) werpt een fout wanneer revocatiemateriaal ontbreekt voor een niet-root-certificaat. Permissive is opt-in.
- B-LTA zonder geconfigureerde TSA werpt een fout in plaats van B-LT te produceren.
- Strikt-offline beleid: geen OCSP/CRL/TSA-netwerktoegang; B-LTA is strikt-offline niet bereikbaar.
- Het documenttijdstempel-token heeft een begrensde gereserveerde ruimte; een token dat die overschrijdt, werpt een fout in plaats van af te kappen.
FIPS-modusgedrag
Sectie met titel “FIPS-modusgedrag”Het FIPS 140-3-crypto-beleidsprofiel is een Enterprise-capaciteit die bij de beveiligingsmodule is gedocumenteerd. De langetermijnproducer voegt alleen de SHA-256-digest toe die wordt gebruikt voor de documenttijdstempel en de RFC 3161-uitwisseling; de ondertekeningsprimitieve is die van de Core-ondertekenaar. Onder het FIPS-profiel worden dezelfde DSS-, VRI- en documenttijdstempelstructuren geproduceerd; de beperking geldt voor de onderteken- en digest-algoritmen, niet voor de DSS-lay-out. Bewaring van sleutels in hardware via PKCS#11 is gedocumenteerd bij de beveiligingsmodule en valt buiten de scope van deze pagina.
Gedragscontract
Sectie met titel “Gedragscontract”- Core produceert B-B en B-T (B-T voegt de RFC 3161-tijdstempel toe op de handtekeningwaarde). Pro produceert B-B en B-T via dezelfde Core-stack. B-LT en B-LTA worden alleen door Enterprise geproduceerd.
- De producer schrijft de DSS (B-LT) en een documenttijdstempel over de DSS (B-LTA). Deze bedt validatiemateriaal in; deze claimt geen vertrouwde verificatie-uitkomst.
- De fail-closed revocatiehandhaving-standaard werpt een fout wanneer revocatiemateriaal ontbreekt voor een niet-root-certificaat, tenzij de caller kiest voor de permissive workflow.
- B-LTA vereist een geconfigureerde TSA; zonder TSA werpt de B-LTA-stap een fout in plaats van te degraderen naar B-LT.
Core-terugval
Sectie met titel “Core-terugval”In een Core-only-deployment produceert de software-ondertekenaar PAdES B-B en B-T via SignerInterface; Core levert het RFC 3161-tijdstempelpad, zodat B-T geen premium-pakket nodig heeft. Core heeft geen DSS-, VRI- of documenttijdstempelproducer; een B-LT- of B-LTA-verzoek faalt gesloten doordat SignatureLevel::isAvailableInEnvironment false retourneert.
Pro-terugval
Sectie met titel “Pro-terugval”In een Pro-only-deployment is het ondertekeningspad de B-B/B-T-baseline plus remote- en cloud-KMS-ondertekeningsworkflows. Pro produceert geen DSS of documenttijdstempel. RemoteSigningConfig draagt de Core-SignatureLevel-enum, maar een langetermijnniveau (B-LT/B-LTA) is een forward-declared waarde waarop Pro niet handelt; de langetermijnproducer resolveert tijdens runtime via het Core-contract en wordt geleverd in nextpdf/enterprise.
Opmerking over de Enterprise-grens
Sectie met titel “Opmerking over de Enterprise-grens”Interne mechanisme-details blijven in de interne documentatie van de bronrepository en vallen buiten de scope van deze handleiding.
Implementatiegrens
Sectie met titel “Implementatiegrens”NextPDF Enterprise bedt validatiemateriaal in; het integreert met door de caller aangeleverde OCSP/CRL-responders en een RFC 3161-TSA. Het beheert, host of garandeert de beschikbaarheid van die responders of de TSA niet. Geldigheid op lange termijn hangt af van de responders, de TSA, het archiveringslusschema en de operator — niet van NextPDF Enterprise alleen. De operator is eigenaar van TSA-selectie en -bereikbaarheid, toegang tot revocatieresponders of vooraf verzameld materiaal, het netwerkbeleid en het uitvoeren van de archiveringslus voordat elk tijdstempelcertificaat verloopt.
Publicatiegrens
Sectie met titel “Publicatiegrens”Deze pagina documenteert alleen extern waarneembaar gedrag en het ondersteunde publieke API-oppervlak. Interne namespace-paden, helper-klassen, mechanisme-tabellen, runbook-bestandsnamen en ticketprefixen vallen buiten de scope.
Juridische-compliancegrens
Sectie met titel “Juridische-compliancegrens”Afstemming op de B-LT- en B-LTA-structuren gedefinieerd in ETSI EN 319 142 is een structurele uitspraak, geen juridisch oordeel en geen certificering. NextPDF maakt geen PAdES-certificeringsclaim. Of een geproduceerde handtekening verifieert is de beslissing van de verifier ten opzichte van zijn trust anchors en revocatieversheidbeleid.
Zie ook
Sectie met titel “Zie ook”- Signature (overzicht van de mogelijkheid)
- Archive diepe referentie — DSS/VRI-onderhoud, LTV-gezondheid, archiveringslus.
- Security / Signing (Core) — CMS, RFC 3161, RFC 5280, OCSP/CRL.
- Pro security — de B-B-baseline en de Enterprise-grens.
- PAdES baseline-mapping