PAdES taban profilleri

Spec: ETSI EN 319 142-1 Spec: ISO 32000-2, §12.8 Spec: RFC 3161 Evidence: Standard-backed

Bir bakışta

PAdES dört taban düzeyi tanımlar — B-B, B-T, B-LT, B-LTA — ve bu düzeyler birbirinin üzerine inşa edilir. Her biri belirli bir kanıt türü ekler. Bu sayfa, bu ilerleyişi açıklar ve adını bildiğiniz en yüksek düzey yerine, yükümlülüğü hâlâ karşılayan en düşük düzeyi seçmenize yardımcı olur.

Bu neden önemli

İnsanlar en kapsamlı göründüğü için “B-LTA” düzeyine ya da en az iş gerektirdiği için “B-B” düzeyine yönelir. İkisi de varsayımdır. İhtiyaç duyduğunuz düzeyi bir tercih değil, bir soru belirler: bu imza ne kadar süre ve kimin tarafından doğrulanabilir kalmalı? Düzeyi çok düşük seçerseniz, imzalama gününde geçerli olan bir imza, bir sertifika sona erdiğinde doğrulanamaz hâle gelir. Çok yüksek seçerseniz, ihtiyaç duymadığınız bir zaman damgası otoritesini ve doğrulama materyali altyapısını, ayrıca sürekli beslemeniz gereken bir arşivleme yükümlülüğünü üstlenirsiniz. Düzeyi sonradan değiştiremeyen ekip, yanlış seçimin bedelini öder.

Kısa özet

Dört düzey birikimlidir. Her biri, bir öncekine eklenen tek bir ilavedir.
B-B — zorunlu imzalı öznitelikleri içeren imza. Kimin ve neyin imzalandığını kanıtlar.
B-T — B-B artı imza üzerinde güvenilir bir zaman damgası. İmzalayanın saatinden bağımsız olarak ne zaman imzalandığını kanıtlar.
B-LT — B-T artı gömülü doğrulama materyali (sertifikalar ve iptal verileri). Belge, sertifikanın imzalama anında geçerli olduğuna dair kendi kanıtını taşır.
B-LTA — B-LT artı zaman içinde yinelenen bir belge zaman damgası. Belgenin tamamını, on yıllar boyunca ve algoritma değişiklikleri karşısında doğrulanabilir tutar.
Düzeyi en güvenli görünene göre değil, yükümlülüğün ömrüne göre seçin.

NextPDF buna nasıl yaklaşır

NextPDF, düzeyi açık ve sıralı bir seçim olarak modeller ve olduğundan farklı göstermeyi reddeder. Bir düzey belirtirsiniz. Motor tam olarak o düzeyi üretir ya da uygulanabilir bir hatayla başarısız olur. Sessizce daha düşük bir düzeyde imzalayıp bir uyumluluk kaydının daha yüksek bir düzey iddia etmesine izin vermez. Bu tasarım, altyapı eksik olduğunda bir B-LTA isteğinin sessizce B-T düzeyine düşürülmesini önlemek için vardır. Her düzeyin gereksinimleri yüklemler olarak kodlanmıştır: bir zaman damgasının gerekip gerekmediği, gömülü doğrulama materyalinin gerekip gerekmediği, bir belge zaman damgasının gerekip gerekmediği. Motor bu yüklemleri sırayla uygular ve ya onları karşılar ya da durur.

Aşağıdaki ilerleyiş, motorun zorunlu kıldığı ve standardın tanımladığı ilerleyişin aynısıdır.

Düzey	Önceki düzeye ne ekler	Yanıtladığı soru	Dağıtımınızdan ne gerektirir
B-B	İmzalı öznitelikler: content-type, message-digest, signing-time, signing-certificate-v2	Kim imzaladı ve tam olarak hangi baytlar?	Bir imzalama anahtarı ve sertifika
B-T	İmza değeri üzerinde güvenilir bir zaman damgası	Ne zaman imzalandı, kanıtlanabilir biçimde?	Bir Zaman Damgası Otoritesi (TSA)
B-LT	Gömülü sertifikalar + iptal verileri (bir DSS)	Sertifika imzalama anında geçerli miydi — daha sonra kanıtlanabilir mi?	TSA + imzalama anında iptal verilerine erişim
B-LTA	Zaman içinde yenilenebilir bir belge zaman damgası	Bu, on yıllar sonra hâlâ doğrulanabilir olacak mı?	TSA + yeniden zaman damgalayan bir arşivleme süreci

En önemli geçiş B-T düzeyinden B-LT düzeyine geçiştir. B-T ne zaman olduğunu kanıtlar. B-LT belgeyi güven açısından kendi kendine yeterli hâle getirir: yıllar sonra bir sertifika otoritesinin hâlâ erişilebilir olmasına ve sorulara yanıt verebilmesine bağımlı olmaktan çıkar.

Step 1 of 4: ISO 32000-2 §12.8 — signatures, LTV, document timestamp
Step 2 of 4: ETSI EN 319 142-1 PAdES baseline levels B-B…B-LTA
Step 3 of 4: RFC 3161 Timestamp token (introduced at B-T)
Step 4 of 4: RFC 6960 OCSP revocation evidence (embedded at B-LT)

PAdES ilerlemesinin arkasındaki standartlar: ISO 32000-2, imzaların ve doğrulama materyalinin PDF içinde nasıl yer aldığını tanımlar; ETSI EN 319 142-1, taban düzeyleri tanımlar; RFC 3161, B-T ile gelen zaman damgasını tanımlar; RFC 6960, B-LT tarafından gömülen iptal kanıtını tanımlar.

Kanıtların söylediği

Evidence: Standard-backed Düzey tanımları ETSI’ye aittir. Spec: ETSI EN 319 142-1 PAdES taban düzeylerini tanımlar; Spec: ETSI EN 319 142-2, §5.3 , signature-time-stamp özniteliğini, varlığı zaman damgalı bir düzeyi B-B düzeyinden ayıran isteğe bağlı öğe olarak gösterir ve Spec: ETSI EN 319 142-2, §6.3.2.2 güvenilir bir zaman damgasının imza oluşturulduktan hemen sonra uygulanması gerektiğini belirtir; böylece kaydedilen zaman, gerçek imzalama anına olabildiğince yakın olur. Spec: ETSI EN 319 142-2, §5.5 uzun vadeli davranışın hem bir Belge Güvenlik Deposu hem de belge zaman damgaları gerektirdiğini belirtir — B-LT ve B-LTA’nın eklediği öğeler.

Kapsayıcı tarafında Spec: ISO 32000-2, §12.8.3.3 şunu belirtir: PAdES imzaları, uzun vadeli doğrulamayla birleştirilen CAdES CMS profilleridir (§12.8.4) ve belge zaman damgası sözlüğü (§12.8.5), tam olarak ETSI EN 319 142-1’in tanımladığı gibi. B-LT düzeyinin neden önemli olduğu şurada görülür: Spec: RFC 6960, §4.4.4 : arşivlenmiş iptal kanıtı, bir doğrulayıcının imzanın üretim anındaki güvenilirliği hakkında değerlendirme yapmasına yardımcı olur, doğrulama için kullanılan sertifika sona erdikten sonra bile. Onu gömmenin amacı budur.

NextPDF’in motoru her düzeyi bir gereksinim yüklemi olarak kodlar ve istenen düzeyi üretir ya da başarısız olur — oluşturmadığı bir düzeyi ilan etmez.

Pratik örnek

API ilerleyişi yansıtır: düzeyi belirtirsiniz ve motor onu bir sözleşme olarak ele alır.

<?php

declare(strict_types=1);

use NextPDF\Security\Signature\SignatureLevel;

// The level is an explicit, ordered choice — not a flag you hope is honoured.
$level = SignatureLevel::PAdES_B_T;

// The level itself tells you what it requires, before you sign:
$level->requiresTimestamp();          // B-T and above → true
$level->requiresDss();                // B-LT and above → true
$level->requiresDocumentTimestamp();  // B-LTA only     → true

// Ask for B-LTA only if the deployment can actually fulfil it.
// The engine produces exactly the requested level or fails with an
// actionable error — it never silently signs lower and reports higher.

Eğer B-LTA isterseniz ve dağıtım, B-LTA düzeyinin gerektirdiklerini sağlayamazsa, varsayılan davranış başarısız olmak ve ulaşılabilen en yüksek düzeyi bildirmektir — sessizce B-LTA etiketli bir B-T dosyası döndürmek değil.

Yaygın yanlış anlama

Tuzak şudur: “B-LTA zaten en iyisidir, her zaman onu seçin.” B-LTA soyut olarak daha iyi değildir; daha fazladır ve daha fazlası yükümlülük taşır. Bir zaman damgası otoritesi, imzalama anında toplanmış iptal materyali ve belgeyi koruyan algoritmalar ya da zaman damgası sertifikaları zayıflamadan önce belgeyi yeniden zaman damgalayacak sürekli bir arşivleme süreci gerektirir. Kimsenin yeniden zaman damgalamadığı bir B-LTA dosyası geleceğe dayanıklı değildir — fazladan tören içeren bir B-LT dosyasıdır. Tersine, on yıl boyunca varlığını sürdürmesi gereken bir sözleşme için B-B “hafif” değildir; sertifikanın sona erdiği gün doğrulamada başarısız olacak bir imzadır. Doğru düzey, yükümlülüğün gerektirdiği düzeydir, ne daha yüksek ne daha düşük.

Sınırlar ve kapsam dışı

NextPDF istenen PAdES düzeyini üretir; o düzeyin bağlı olduğu tarafları sağlamaz. Bir zaman damgası otoritesi, sertifika zinciri, güven kökleri ve imzalama anında iptal verilerini almak için gereken bağlantı dağıtımın sorumluluğundadır. Motor yapıyı uygular ve düzey sözleşmesini zorunlu kılar; bir TSA’yı güvenilir ya da bir sertifikayı geçerli yapamaz. Üretilen yapı, o düzeyin gerektirdiği öğeleri motorun kendi testlerine ve alıntılanan maddelere karşı doğrulanmış olarak taşır. Bu, üçüncü taraf bir uygunluk sertifikasyonu değildir ve bu sayfa eIDAS yasal etkisini ileri sürmez; bu etki sertifikaya, imzalayana ve yargı alanına bağlıdır. İmzalama zamanının bağımsız olarak güvenilir olup olmadığı şurada ele alınır: Zaman damgaları ve güvenilir zaman; uzun vadeli kanıtın bir imzayı nasıl canlı tuttuğu şurada ele alınır: Uzun vadeli doğrulama.

Beklentileri netleştirmek için birkaç kapsam sınırı:

B-LT ve B-LTA, bir uygunluk hükmü değil, uzun vadeli doğrulama yapısını üretir. Motorun yazdığı çıktı, bir Belge Güvenlik Deposu sözlüğü artı bir belge zaman damgası revizyonudur — Spec: ISO 32000-2, §12.8 uyarınca Type = DocTimeStamp olan bir imza sözlüğü. Bu yapı burada profil uygunluğu test edilmiş olarak sunulmaz; ETSI EN 319 142-1 profil denetimleri, Pro ve Enterprise CI hattında sürüm kapısına tabidir, bu nedenle bu sayfa üretilen dosya için ETSI EN 319 142-1 uygunluğu iddia etmez.
Şifreli belgeler B-LT ve B-LTA için kapalı-başarısız davranır. Şifreli bir belgede uzun vadeli bir düzey isteği, kısmi bir uzun vadeli revizyon yazmak yerine uygulanabilir bir hatayla durur.

Her düzeyin katmanlara göre kullanılabilirliği — dördüne de aynı üst düzey ek yerinden erişilir, setSignature($cert, SignatureLevel::PAdES_B_LTA, $tsaClient)->save():

PAdES baseline level — edition availability
Edition	Availability
Core	PAdES B-B — imzalı öznitelik tabanı; Core ek yeri.
Pro	PAdES B-T ekler — bir `TsaClient` ile yürütülen, imza değeri üzerinde güvenilir bir zaman damgası.
Enterprise	PAdES B-LT ve B-LTA ekler — gömülü doğrulama materyali (DSS) ve yenilenebilir belge zaman damgası arşivleme döngüsü. Bunlar aynı üst düzey ek yerinden yürür, ancak yalnızca hem Pro hem de Enterprise paketleri kurulu olduğunda; ikisinden biri eksik olduğunda, çağrı kısmi bir uzun vadeli revizyon yazmak yerine kapalı-başarısız olur.

İlgili belgeler

İmzalar bir PDF’de nasıl yer alır — her düzeyin üzerine inşa edildiği bayt aralığı ve sözlük temeli.
Uzun vadeli doğrulama — B-LT ve B-LTA düzeylerinin aslında neyi gömdüğü ve geçerli bir imzanın bunsuz daha sonra neden başarısız olabileceği.
Zaman damgaları ve güvenilir zaman — RFC 3161’in getirdiği ve B-LTA düzeyinin yenilediği B-T zaman damgası.
İmzalı sözleşmeler iş akışı — seçilen bir PAdES taban düzeyini uygulamaya alan pratik iş akışı.

Sözlükçe

PAdES — PDF Advanced Electronic Signatures; PDF için CMS imzalarını profilleyen ETSI EN 319 142 serisi.
Taban düzeyi — B-B, B-T, B-LT, B-LTA düzeylerinden biri; tanımlı, birikimli bir zorunlu imza öğeleri kümesi.
B-B — zorunlu imzalı öznitelikleriyle birlikte taban imza.
B-T — B-B artı imza değeri üzerinde güvenilir bir zaman damgası.
B-LT — B-T artı gömülü uzun vadeli doğrulama materyali (bir DSS).
B-LTA — B-LT artı arşivsel geçerlilik için yenilenebilir bir belge zaman damgası.
DSS — Document Security Store; gömülü sertifikaları ve iptal verilerini tutan PDF yapısı.
TSA — Time-Stamp Authority; RFC 3161 zaman damgası belirteçleri çıkaran güvenilir bir hizmet.