Enterprise редакция

Forensics — глубокий справочник

Кратко

Этот глубокий справочник описывает, как ограничиваются ревизии, как изменения объектов классифицируются по цепочке ревизий и как группируются события.

Доступность и лицензирование

Эта возможность поставляется в составе NextPDF Enterprise (nextpdf/enterprise) и активируется лицензионным конвертом уровня Enterprise. Развёртывание без этого права доступа не загружает классы данной возможности. Сравните редакции и получите лицензию.

Анализатор работает только на чтение и не изменяет входные данные.

Контракт поведения

ForensicAnalyzer::analyze разбирает каждую секцию перекрёстных ссылок, выводит байтовую границу для каждой ревизии (начало, конец, размер) и строит сводку по каждой ревизии. Затем он идёт от новейшей ревизии к старейшей и для каждой ревизии сравнивает её записи перекрёстных ссылок со следующей более старой ревизией:

Объект, присутствующий сейчас, но отсутствовавший в более старой ревизии, и не являющийся свободной записью, классифицируется как Added.
Объект, который сейчас является свободной записью, но не был свободным ранее, классифицируется как Deleted, с записью предыдущей ревизии.
Объект, активный в обеих ревизиях, чьё байтовое смещение различается, классифицируется как Modified, с записью предыдущей ревизии.

Изменения объектов группируются по ревизиям в события: ревизия подписи, которая не была подписана в более старой ревизии, даёт SignatureAdded; обновление корня даёт CatalogUpdated; появление словаря шифрования даёт EncryptionChanged; а наборы добавленных, изменённых или удалённых объектов дают соответствующие события объектов. Наличие подписи — это структурная эвристика (запись Document Security Store в трейлере): это обнаружение существования, а не проверка, и не защищённое от подделки определение целостности.

Секция перекрёстных ссылок обновления перечисляет только объекты, добавленные, изменённые или удалённые в этом обновлении (ISO 32000-2:2020 §7.5.5); изменённый объект добавляется как новая копия, и его смещение перекрывает более старое (§7.5.6); Document Security Store может появиться в более поздней ревизии (§12.8.4).

Публичная поверхность API

NextPDF\Enterprise\Forensics\ForensicAnalyzer, NextPDF\Enterprise\Forensics\ForensicReport, NextPDF\Enterprise\Forensics\RevisionSummary, NextPDF\Enterprise\Forensics\ForensicEvent, NextPDF\Enterprise\Forensics\ForensicEventType, NextPDF\Enterprise\Forensics\ObjectChange, NextPDF\Enterprise\Forensics\ObjectChangeType. Сигнатуры приведены на публичной странице.

Соответствие

Классификация отражает модель инкрементального обновления ISO 32000-2:2020 §7.5.5–§7.5.6. Анализатор сообщает взгляд парсера на цепочку; он не сертифицирует целостность и сам по себе не является доказательством, допустимым в суде.

Граничные случаи и поведение в режиме FIPS

Классификация Deleted — это переход к свободной записи; более старая копия объекта всё ещё может быть разрешима. Это не гарантия невосстановимости.
Информация трейлера фильтруется до безопасного набора ключей; чувствительные ключи отмечаются как присутствующие без раскрытия их значений.
В этом модуле не происходит криптографических операций, поэтому нет поведения, специфичного для режима FIPS.

Граница публикации

Эта страница документирует только внешне наблюдаемое поведение и поддерживаемую публичную поверхность API. Внутренние пути пространств имён, вспомогательные классы, таблицы механизмов, имена файлов руководств по эксплуатации и префиксы тикетов вне области действия.

Резервный вариант Core

В NextPDF Core (Apache-2.0) нет криминалистического анализатора истории ревизий — его нет; у этой возможности нет эквивалента уровня Core. Core предоставляет авторитетную поверхность проверки подписи, с которой анализатор сочетается, но не заменяет её.

Резервный вариант Pro

В NextPDF Pro нет криминалистического анализатора истории ревизий — его нет; у этой возможности нет эквивалента уровня Pro. Классификация изменений по каждому объекту и сериализуемый в JSON отчёт поставляются только в пакете nextpdf/enterprise.

Замечание о границе Enterprise

Выведение границ ревизий, правила классификации изменений объектов и группировка временной шкалы событий описаны на уровне поведения. Наличие подписи — это только структурная эвристика; валидность подписи намеренно вне области действия здесь — это ответственность поверхности подписания Core. Информация трейлера фильтруется до безопасного набора ключей, а чувствительные ключи отмечаются как присутствующие без раскрытия их значений.

Граница развёртывания

Анализ выполняется внутри процесса на хосте, который держит PDF; содержимое документа не покидает хост. Содержит ли входной PDF или отчёт персональные данные и где каждый из них хранится — ответственность развёртывания за пределами границы библиотеки. Оператор делает выводы из отчёта; библиотека сообщает взгляд парсера на цепочку ревизий и не сертифицирует целостность.

Граница юридического соответствия

К этой поверхности не применяется ограничение экспортного контроля. Отчёт сам по себе не является доказательством, допустимым в суде, и не должен представляться как сертифицированное определение целостности документа. Этот справочник не является юридическим заключением.