Archive — szczegółowa referencja

W skrócie

To szczegółowa referencja powierzchni archiwalnej NextPDF Enterprise: jak strukturyzowane są DSS i VRI, co kontroluje kontrola kondycji LTV oraz jak pętla archiwalna znacznika czasu dokumentu rozszerza ważność w czasie. Ma charakter poziomu zachowania i poziomu kontraktu. Konkretne typy implementacyjne Enterprise celowo nie są tutaj nazywane; strona odwołuje się wyłącznie do publicznego pakietu oraz powierzchni kontraktów Core.

Dostępność i licencjonowanie

Ta możliwość jest dostarczana w NextPDF Enterprise (nextpdf/enterprise) i aktywuje się przy kopercie licencyjnej poziomu Enterprise. Wdrożenie bez tego uprawnienia nie ładuje klas tej możliwości. Porównaj edycje i uzyskaj licencję.

Kanoniczna macierz poziom→poziom edycji: B-B to poziom bazowy wytwarzany przez Core, Pro i Enterprise; B-T (ze znacznikiem czasu) jest wytwarzany przez Core, Pro i Enterprise — Core dostarcza ścieżkę znacznika czasu RFC 3161, więc B-T nie wymaga pakietu Premium; Pro nie zapisuje żadnego DSS ani znacznika czasu dokumentu; B-LT oraz B-LTA są wytwarzane wyłącznie przez Enterprise. We wdrożeniu wyłącznie na Pro żądanie poziomu długoterminowego kończy się w trybie fail-closed komunikatem nazywającym brakujący komponent Enterprise.

Poziom PAdES	Dodaje	Edycja wytwarzająca
B-B	Podpis CMS z atrybutami podpisanymi	Core, Pro, Enterprise
B-T	Zaufany znacznik czasu RFC 3161 na wartości podpisu	Core, Pro, Enterprise
B-LT	Document Security Store z materiałem walidacyjnym	Wyłącznie Enterprise
B-LTA	Znacznik czasu dokumentu nad DSS (pętla archiwalna)	Wyłącznie Enterprise

Struktura DSS i VRI

DSS to słownik na poziomie katalogu (Catalog), który niesie materiał walidacyjny potrzebny weryfikatorowi po wygaśnięciu certyfikatu podpisującego — ISO 32000-2 §12.8.4.3. Udostępnia tablice obiektów strumieniowych /Certs, /OCSPs oraz /CRLs, deduplikowane według skrótu treści. Walidacja długoterminowa korzysta z dwóch typów słowników — DSS oraz słownika znacznika czasu dokumentu — ISO 32000-2 §12.8.

VRI (Validation Related Information) to podsłownik dla danego podpisu, kluczowany wielkimi literami skrótu wartości /Contents tego podpisu. Indeksuje konkretne obiekty /Cert, /OCSP oraz /CRL dla tego jednego podpisu i może nieść wpis czasu walidacji /TU. VRI jest domyślnie wyłączone: ETSI EN 319 142-1 V1.2.1 §5.4 odradza stosowanie VRI w DSS dla nowych dokumentów. Może je włączyć wywołujący dla weryfikatorów, które lepiej wyświetlają z nim stan poszczególnych podpisów. ETSI EN 319 142-2 opisuje tę samą kompozycję długoterminową — §5.5 — oraz obsługę przez procedurę obsługi — §6.3.3.3.

Kontrola kondycji LTV

Kontrola kondycji LTV to polityka zgodności Enterprise, która sprawdza istniejący dokument pod kątem kompletności archiwalnej. Kontroluje: obecność DSS; czy osadzone są odpowiedzi OCSP (/OCSPs) lub — co jest akceptowalne — listy CRL (/CRLs); czy obecny jest magazyn certyfikatów (/Certs); oraz czy obecne jest VRI dla poszczególnych podpisów. Emituje ustrukturyzowane ustalenia — informacyjne, gdy struktura jest obecna, błąd, gdy brak DSS albo brak zarówno OCSP, jak i CRL, oraz ostrzeżenie, gdy brak VRI lub magazynu certyfikatów. Każde ustalenie niesie odniesienie ISO 32000-2 §12.8.4.3.

Kontrola jest strukturalna, a nie kryptograficzna. Raportuje, czy struktury istnieją; nie weryfikuje ponownie osadzonych danych OCSP ani CRL. Obecna, lecz nieaktualna odpowiedź OCSP nadal raportuje się jako obecna. Materiał unieważnienia sam jest ograniczony w czasie: odpowiedź OCSP raportuje good, revoked lub unknown — RFC 6960 §2.2 — ograniczona przez thisUpdate/nextUpdate — RFC 6960 §4.2.

Pętla archiwalna

Znacznik czasu dokumentu B-LTA jest zakotwiczony certyfikatem TSA o skończonym okresie życia, zapisanym przez słownik znacznika czasu dokumentu — ISO 32000-2 §12.8.5. Zanim ten certyfikat wygaśnie, pętla archiwalna:

1. Zbiera świeży materiał unieważnienia dla łańcucha certyfikatów TSA.
2. Opcjonalnie dodaje wpis VRI kluczowany skrótem certyfikatu TSA.
3. Przepisuje DSS ze zaktualizowanym materiałem.
4. Dodaje nowy znacznik czasu dokumentu nad zaktualizowanym stanem dokumentu poprzez wymianę RFC 3161 — §2.4.1 — którego genTime jest momentem utworzenia w UTC — §2.4.2.

Każdy nowy znacznik czasu obejmuje poprzednie, więc ważność rozszerza się tak długo, jak pętla działa przed wygaśnięciem certyfikatu każdego znacznika czasu. Uruchamianie jej zgodnie z harmonogramem jest obowiązkiem operacyjnym. Pętla zgłasza błąd, jeśli zażądano jej bez skonfigurowanego TSA lub przy ścisłej polityce sieciowej offline.

Powierzchnia API (wyłącznie kontrakt publiczny)

Typ	Rodzaj	Rola	Stabilność	Od wersji
LtvManagerInterface	interfejs (NextPDF\Contracts)	Kontrakt producenta długoterminowego + pętli archiwalnej rozwiązywany w czasie wykonywania	stable	1.0.0
TsaClientInterface	interfejs	Klient TSA RFC 3161 używany przez pętlę	stable	1.0.0
SignatureLevel	enum (NextPDF\Security\Signature)	B-LTA to poziom archiwalny	stable	1.0.0

Kontrola kondycji LTV działa jako jedna polityka zgodności Enterprise i emituje ustrukturyzowane ustalenia. Kod produkcyjny zależy od kontraktów; konkretne klasy implementacji archiwalnej są wewnętrzne i nie są częścią publicznego API.

Zgodność

Stwierdzenie	Standard	Klauzula
LTV korzysta z DSS oraz słownika znacznika czasu dokumentu.	ISO 32000-2	§12.8
DSS to słownik będący wartością klucza DSS w katalogu dokumentu; przechowuje Certs, OCSPs, CRLs.	ISO 32000-2	§12.8.4.3
Struktura słownika znacznika czasu dokumentu.	ISO 32000-2	§12.8.5
DSS + znaczniki czasu dokumentu dla podpisów długoterminowych.	ETSI EN 319 142-2	§5.5
Procedura obsługi wspiera DSS + znaczniki czasu dokumentu.	ETSI EN 319 142-2	§6.3.3.3
Żądanie RFC 3161 zwraca TSTInfo; genTime jest momentem utworzenia w UTC.	RFC 3161	§2.4.1, §2.4.2
OCSP good/revoked/unknown ograniczone przez thisUpdate/nextUpdate.	RFC 6960	§2.2, §4.2

Wszystkie klauzule są parafrazowane. NextPDF nie odtwarza tekstu normatywnego. NextPDF nie wysuwa żadnej deklaracji certyfikacji PAdES: struktury archiwalne są wyrównane z poziomami długoterminowymi zdefiniowanymi w ETSI EN 319 142; nie deklaruje się żadnego wyniku testu zgodności ani atestacji strony trzeciej. Część ETSI EN 319 142-1 dotycząca poziomów bazowych jest poza przywołanym zestawem dowodów; przywołaną kotwicą ETSI jest EN 319 142-2, a kotwice ISO/RFC niosą stwierdzenia dotyczące długoterminowości, znacznika czasu oraz unieważnienia — to samo stanowisko ujawnienia, co w referencji podpisywania Core. To, czy zarchiwizowany podpis waliduje się, jest decyzją weryfikatora względem jego kotwic zaufania oraz polityki świeżości unieważnienia.

Przypadki brzegowe i zachowanie w trybie FIPS

Przypadki brzegowe

• Kontrola kondycji LTV jest strukturalna; archiwum wyglądające na kompletne może nadal przechowywać nieaktualne dane unieważnienia. Traktuj wynik pozytywny jako obecność, a nie ważność.
• Brak VRI to ostrzeżenie, a nie błąd: DSS bez VRI jest prawidłowy.
• Pętla archiwalna musi działać przed notAfter certyfikatu znacznika czasu; spóźniony przebieg nie może rozszerzyć łańcucha.
• Ścisła polityka offline blokuje pętlę, ponieważ potrzebuje ona świeżego tokena TSA oraz świeżego materiału unieważnienia.
• Brak skonfigurowanego TSA: pętla zgłasza błąd zamiast pominąć znacznik czasu.

Zachowanie w trybie FIPS

Profil polityki kryptograficznej FIPS 140-3 to możliwość Enterprise udokumentowana w module bezpieczeństwa. Powierzchnia archiwalna dodaje wyłącznie skrót SHA-256 używany do znacznika czasu dokumentu oraz wymianę RFC 3161. W profilu FIPS wytwarzane są te same struktury DSS, VRI oraz znacznika czasu dokumentu; ograniczenie dotyczy algorytmów skrótu i podpisywania, a nie układu archiwalnego.

Stanowisko wobec kontroli eksportu

Ten moduł dotyczy funkcjonalności kryptograficznej; traktuj go jako wrażliwy pod względem bezpieczeństwa we własnym przeglądzie.

Kontrakt zachowania

• Powierzchnia DSS, VRI, kondycji LTV oraz pętli archiwalnej jest dostępna wyłącznie w Enterprise. Core wytwarza B-B oraz B-T (ze znacznikiem czasu); wdrożenie wyłącznie na Pro wytwarza B-B oraz B-T, ale nie może wytworzyć ani utrzymać podpisu długoterminowego (B-LT/B-LTA).
• Kontrola kondycji LTV raportuje strukturalną obecność DSS, OCSP/CRL, magazynu certyfikatów oraz VRI; nie weryfikuje ponownie kryptograficznie osadzonych danych unieważnienia.
• Pętla archiwalna przepisuje DSS i dodaje nowy znacznik czasu dokumentu nad zaktualizowanym stanem. Musi działać przed wygaśnięciem certyfikatu znacznika czasu.
• Pętla kończy w trybie fail-closed, gdy nie skonfigurowano TSA lub przy ścisłej polityce sieciowej offline.

Rozwiązanie zastępcze Core

We wdrożeniu wyłącznie na Core programowy podpisujący wytwarza PAdES B-B oraz B-T (Core dostarcza ścieżkę znacznika czasu RFC 3161). Core nie ma powierzchni DSS, VRI, kondycji LTV ani pętli archiwalnej; poziom długoterminowy kończy w trybie fail-closed przez SignatureLevel::isAvailableInEnvironment zwracające false. Powierzchnia archiwalna na tej stronie wymaga nextpdf/enterprise.

Rozwiązanie zastępcze Pro

We wdrożeniu wyłącznie na Pro ścieżka podpisywania to poziom bazowy Core B-B/B-T plus przepływy podpisywania Pro — zdalne oraz z chmurowym KMS. Pro nie wytwarza DSS, VRI ani znacznika czasu dokumentu i nie uruchamia pętli archiwalnej. Konfiguracja żądająca poziomu długoterminowego rozwiązuje producenta Enterprise w czasie wykonywania przez kontrakt Core; w razie braku nextpdf/enterprise kończy w trybie fail-closed z nazwanym błędem.

Uwaga o granicy Enterprise

Ta strona odwołuje się wyłącznie do publicznego pakietu oraz powierzchni kontraktów Core. Szczegóły wewnętrznego mechanizmu pozostają w wewnętrznej dokumentacji repozytorium źródłowego i są poza zakresem tego podręcznika.

Granica wdrożenia

NextPDF Enterprise utrzymuje materiał walidacyjny; integruje się z dostarczonymi przez wywołującego respondentami OCSP/CRL oraz TSA RFC 3161. Nie obsługuje, nie hostuje ani nie gwarantuje dostępności tych respondentów ani TSA. Bezterminowa ważność zależy od respondentów, TSA, harmonogramu pętli archiwalnej oraz operatora — a nie wyłącznie od NextPDF Enterprise. Operator odpowiada za wybór i osiągalność TSA, dostęp do respondenta unieważnienia lub wstępnie zebrany materiał, politykę sieciową oraz uruchamianie pętli archiwalnej przed notAfter certyfikatu każdego znacznika czasu.

Granica publikacji

Ta strona dokumentuje wyłącznie zachowanie obserwowalne z zewnątrz oraz wspieraną publiczną powierzchnię API. Wewnętrzne ścieżki przestrzeni nazw, klasy pomocnicze, tabele mechanizmów, nazwy plików runbooków oraz prefiksy zgłoszeń są poza zakresem.

Granica zgodności prawnej

Ten moduł dotyczy funkcjonalności kryptograficznej; traktuj go jako wrażliwy pod względem bezpieczeństwa we własnym przeglądzie. Wyrównanie ze strukturami długoterminowymi zdefiniowanymi w ETSI EN 319 142 jest stwierdzeniem strukturalnym, a nie opinią prawną ani certyfikacją. NextPDF nie wysuwa żadnej deklaracji certyfikacji PAdES. To, czy zarchiwizowany podpis waliduje się, jest decyzją weryfikatora względem jego kotwic zaufania oraz polityki świeżości unieważnienia.

Zobacz też

• Archive (przegląd możliwości) — strona możliwości, którą wspiera ta referencja.
• Szczegółowa referencja Signature — producent B-LT / B-LTA.
• Security / Signing (Core) — CMS, RFC 3161, RFC 5280, OCSP/CRL.
• Pro security — poziom bazowy B-B oraz granica Enterprise.
• Mapa klauzul PAdES