Enterprise phiên bản
Lưu trữ: DSS, VRI, tình trạng LTV, dấu thời gian tài liệu
Tổng quan nhanh
Phần tiêu đề “Tổng quan nhanh”NextPDF Enterprise giữ cho một chữ ký dài hạn vẫn hợp lệ theo thời gian. Nó ghi Document Security Store (DSS) và VRI theo từng chữ ký, xem xét mức độ đầy đủ của bản lưu trữ bằng một kiểm tra tình trạng LTV, và đóng dấu lại bằng một dấu thời gian tài liệu trước khi chứng chỉ dấu thời gian hết hạn. Trang này ở mức hành vi. Nó nêu bề mặt lưu trữ làm gì, xem xét những gì, và điều gì vẫn do bên xác minh quyết định.
Tính khả dụng & cấp phép
Phần tiêu đề “Tính khả dụng & cấp phép”Năng lực này đi kèm trong NextPDF Enterprise (nextpdf/enterprise) và được kích hoạt bằng một phong bì giấy phép cấp Enterprise. Một triển khai không có quyền đó sẽ không nạp các lớp của năng lực này. So sánh các phiên bản và lấy giấy phép.
Bề mặt DSS, VRI, tình trạng LTV, và vòng lặp lưu trữ chỉ dành cho Enterprise. NextPDF Core tạo ra các cấp baseline B-B và B-T (Core kèm theo đường dẫn dấu thời gian RFC 3161, nên B-T không yêu cầu một gói premium). NextPDF Pro tạo ra các cấp baseline B-B và B-T; nó không tạo ra một DSS hay dấu thời gian tài liệu. Các cấp B-LT và B-LTA chỉ được tạo ra bởi Enterprise, khớp với bảng cấp đã xuất bản trên trang bảo mật Pro. Trong một triển khai chỉ có Pro, việc yêu cầu một cấp dài hạn sẽ fail closed với một thông báo nêu tên thành phần Enterprise còn thiếu.
| Cấp PAdES | Bổ sung | Phiên bản trình tạo |
|---|---|---|
| B-B | Chữ ký CMS với các thuộc tính đã ký | Core, Pro, Enterprise |
| B-T | Dấu thời gian RFC 3161 đáng tin cậy trên giá trị chữ ký | Core, Pro, Enterprise |
| B-LT | Document Security Store với tài liệu xác thực | Chỉ Enterprise (nextpdf/enterprise) |
| B-LTA | Dấu thời gian tài liệu cho tính hợp lệ lưu trữ (vòng lặp lưu trữ) | Chỉ Enterprise (nextpdf/enterprise) |
Đây là ma trận cấp→phiên bản chính tắc: B-B là baseline được mọi phiên bản tạo ra; B-T (có dấu thời gian) được Core, Pro, và Enterprise tạo ra; B-LT và B-LTA chỉ dành cho Enterprise.
Cài đặt
Phần tiêu đề “Cài đặt”composer require nextpdf/enterprisenextpdf/enterprise phụ thuộc vào nextpdf/core và nextpdf/pro. Bề mặt lưu trữ là một phần của phiên bản Enterprise.
Tổng quan khái niệm
Phần tiêu đề “Tổng quan khái niệm”Xác thực dài hạn dựa trên hai cấu trúc: DSS và từ điển dấu thời gian tài liệu — ISO 32000-2 §12.8. DSS chứa các chứng chỉ, phản hồi OCSP, và CRL cần để xác thực một chữ ký sau khi chứng chỉ của nó hết hạn — ISO 32000-2 §12.8.4.3. VRI là một chỉ mục theo từng chữ ký vào tài liệu đó, được lập khóa theo content hash của chữ ký. Từ điển dấu thời gian tài liệu neo toàn bộ trạng thái tài liệu theo thời gian — ISO 32000-2 §12.8.5. ETSI EN 319 142-2 mô tả cùng hình dạng dài hạn đó — §5.5 — và phần hỗ trợ của trình xử lý cho nó — §6.3.3.3.
Một chứng chỉ dấu thời gian có vòng đời hữu hạn. Trước khi nó hết hạn, vòng lặp lưu trữ thu thập tài liệu thu hồi tươi mới cho chuỗi chứng chỉ dấu thời gian, ghi lại DSS, và bổ sung một dấu thời gian tài liệu mới bao trùm trạng thái đã cập nhật. Mỗi dấu thời gian mới bao trùm các dấu thời gian trước đó, nên chuỗi tin cậy được kéo dài vô thời hạn miễn là vòng lặp chạy đúng lịch. Dấu thời gian là một trao đổi RFC 3161 — §2.4.1 — với một genTime UTC (§2.4.2).
Kiểm tra tình trạng LTV xem xét một tài liệu hiện có về mức độ đầy đủ của bản lưu trữ: liệu DSS có hiện diện không, liệu phản hồi OCSP hay CRL có được nhúng không, liệu kho chứng chỉ và VRI theo từng chữ ký có hiện diện không. Nó kiểm tra sự hiện diện về cấu trúc; nó không xác minh lại hiệu lực mã hóa của dữ liệu OCSP hay CRL được nhúng. Tài liệu thu hồi có một cửa sổ độ tươi mới: một phản hồi OCSP báo cáo good, revoked, hoặc unknown — RFC 6960 §2.2 — được giới hạn bởi thisUpdate/nextUpdate — RFC 6960 §4.2.
Việc chữ ký đã lưu trữ có xác thực được hay không vẫn là một quyết định của bên xác minh, dựa trên các trust anchor và chính sách độ tươi mới của bên đó. Bề mặt lưu trữ giữ cho tài liệu đầy đủ và được neo theo thời gian; nó không khẳng định một kết quả đáng tin cậy.
Vì sao nó hoạt động theo cách này
Phần tiêu đề “Vì sao nó hoạt động theo cách này”Bề mặt lưu trữ chỉ được tiếp cận thông qua các hợp đồng của Core — LtvManagerInterface và enum SignatureLevel — không bao giờ qua các lớp Enterprise cụ thể. Ranh giới đó là chịu lực. Mã gọi vẫn giữ nguyên từ Core đến Enterprise, nên một lần nâng cấp bổ sung năng lực mà không cần viết lại. Enum phân giải cấp được yêu cầu dựa trên môi trường đã cài đặt. Một yêu cầu dài hạn khi không có trình tạo Enterprise sẽ fail closed thay vì âm thầm hạ cấp xuống một chữ ký chưa được lưu trữ. Điều đó quan trọng vì một chữ ký trông có vẻ dài hạn nhưng không mang theo DSS hay dấu thời gian tài liệu sẽ thất bại khi xác thực nhiều năm sau, lúc không ai để mắt tới.
Bối cảnh thiết kế: Xác thực dài hạn.
Bề mặt API
Phần tiêu đề “Bề mặt API”Bề mặt lưu trữ được dùng thông qua hợp đồng dài hạn của Core và bề mặt chính sách compliance của Enterprise. Mã sản phẩm phụ thuộc vào các hợp đồng.
| Kiểu | Loại | Vai trò | Độ ổn định | Từ |
|---|---|---|---|---|
LtvManagerInterface | interface (NextPDF\Contracts) | Hợp đồng trình tạo xác thực dài hạn và vòng lặp lưu trữ | stable | 1.0.0 |
TsaClientInterface | interface | Client RFC 3161 TSA do vòng lặp lưu trữ dùng | stable | 1.0.0 |
SignatureLevel | enum (NextPDF\Security\Signature) | Cấp PAdES: B-LTA là cấp lưu trữ | stable | 1.0.0 |
Kiểm tra tình trạng LTV chạy dưới dạng một chính sách compliance của Enterprise. Nó phát ra các kết quả phát hiện có cấu trúc — mang tính thông tin khi một cấu trúc hiện diện, một cảnh báo hoặc lỗi khi một cấu trúc lưu trữ còn thiếu — mỗi kết quả mang theo tham chiếu ISO 32000-2 §12.8.4.3. Các lớp lưu trữ cụ thể là nội bộ và không thuộc API công khai.
Mẫu mã — Bắt đầu nhanh
Phần tiêu đề “Mẫu mã — Bắt đầu nhanh”<?php
declare(strict_types=1);
require_once __DIR__ . '/../../vendor/autoload.php';
use NextPDF\Security\Signature\SignatureLevel;
/** * B-LTA is the archival level: DSS plus a document timestamp, * maintained by the archival loop. Requires nextpdf/enterprise. * * @return bool True when this level needs a document timestamp. */function isArchivalLevel(SignatureLevel $level): bool{ return $level->requiresDocumentTimestamp();}Mẫu mã — Sản phẩm
Phần tiêu đề “Mẫu mã — Sản phẩm”<?php
declare(strict_types=1);
require_once __DIR__ . '/../../vendor/autoload.php';
use NextPDF\Contracts\LtvManagerInterface;use NextPDF\Exception\NextPdfException;use Psr\Log\LoggerInterface;
final readonly class ArchivalMaintenance{ public function __construct( private LtvManagerInterface $ltv, private LoggerInterface $logger, ) {}
/** * Run the archival loop before the timestamp certificate expires. * * The loop collects fresh revocation material for the timestamp * certificate chain, rewrites the DSS, and adds a new document * timestamp over the updated state. * * @throws NextPdfException When no TSA is configured, or under a * strict-offline network policy. */ public function maintain(): void { try { // The orchestrator drives DSS rewrite + document timestamp via // the resolved LtvManagerInterface. Schedule this before the // timestamp certificate's notAfter. $this->logger->info('archival loop completed'); } catch (NextPdfException $e) { $this->logger->error('archival loop failed', ['reason' => $e->getMessage()]); throw $e; } }}Hãy lập lịch chạy vòng lặp lưu trữ trước thời điểm hết hạn của chứng chỉ dấu thời gian. Một vòng lặp chạy sau khi đã hết hạn thì không thể kéo dài chuỗi tin cậy.
Trường hợp biên & điều cần lưu ý
Phần tiêu đề “Trường hợp biên & điều cần lưu ý”- Vòng lặp là một lịch trình, không phải một lần chạy duy nhất. Tính hợp lệ B-LTA chỉ là vô thời hạn khi vòng lặp vẫn chạy trước khi mỗi chứng chỉ dấu thời gian hết hạn. Hãy coi đó là một nghĩa vụ vận hành.
- Kiểm tra tình trạng là kiểm tra cấu trúc. Kiểm tra tình trạng LTV báo cáo sự hiện diện của DSS, OCSP/CRL, kho chứng chỉ, và VRI. Nó không xác minh lại dữ liệu thu hồi được nhúng bằng mã hóa; một phản hồi OCSP hiện diện-nhưng-cũ vẫn được báo cáo là hiện diện.
- Thiếu VRI là một cảnh báo, không phải một lỗi. Một DSS không có VRI vẫn hợp lệ; kiểm tra tình trạng đánh dấu nó là một cảnh báo vì một số trình xác thực hiển thị trạng thái theo từng chữ ký tốt hơn khi có VRI.
- Strict-offline chặn vòng lặp. Vòng lặp lưu trữ cần một token TSA tươi mới và tài liệu thu hồi tươi mới; nó phát sinh một lỗi dưới một chính sách mạng strict-offline.
- Không có TSA nghĩa là không có vòng lặp lưu trữ. Giống như chính B-LTA, vòng lặp phát sinh một lỗi khi không có client TSA nào được cấu hình.
Hiệu năng
Phần tiêu đề “Hiệu năng”Một lần kiểm tra tình trạng là một lượt quét cấu trúc của tài liệu và có chi phí thấp. Một vòng lặp lưu trữ tốn một lượt khứ hồi TSA cộng với các lần truy xuất OCSP/CRL cho chuỗi chứng chỉ dấu thời gian; tài liệu đã thu thập trước sẽ loại bỏ những lượt khứ hồi truy xuất đó. Ngân sách thời gian thực thi 1500 ms bao gồm một vòng lặp trên các kết nối đã được làm nóng. Hồ sơ khả năng tái lập là structural: mỗi dấu thời gian tài liệu nhúng genTime của nó, nên các lần chạy đóng dấu lại sẽ khác nhau ở những byte đó trong khi cấu trúc vẫn giống hệt nhau.
Lưu ý bảo mật
Phần tiêu đề “Lưu ý bảo mật”- Tính hợp lệ là quyết định của bên xác minh. Bề mặt lưu trữ giữ cho tài liệu đầy đủ và được neo theo thời gian. Việc bên xác minh có chấp nhận hay không phụ thuộc vào các trust anchor và chính sách độ tươi mới thu hồi của bên đó.
- Độ tươi mới có một đồng hồ. Tài liệu OCSP/CRL được nhúng bị giới hạn bởi các trường cập nhật của nó. Vòng lặp lưu trữ là thứ giữ cho chuỗi nằm trong một cửa sổ đáng tin cậy qua nhiều năm.
- Tình trạng cấu trúc không phải là xác thực mã hóa. Một lần kiểm tra tình trạng LTV đạt nghĩa là các cấu trúc tồn tại, không phải là mọi phản hồi được nhúng hiện đều đáng tin cậy.
- Xem Chữ ký: PAdES B-LT / B-LTA và phần mô hình mối đe dọa.
Lưu trú dữ liệu & biện pháp giảm thiểu PII
Phần tiêu đề “Lưu trú dữ liệu & biện pháp giảm thiểu PII”Vòng lặp lưu trữ liên hệ các bộ phản hồi OCSP/CRL và TSA. Trong một triển khai bị ràng buộc về lưu trú, hãy thu thập trước tài liệu thu hồi và dùng chính sách strict-offline ở nơi không cần vòng lặp, hoặc đặt TSA và các bộ phản hồi trong khu vực. DSS nhúng các chứng chỉ mang theo danh tính chủ thể; bề mặt lưu trữ thêm vào tài liệu cần cho xác thực và không đưa thêm danh tính nào ngoài các chuỗi chứng chỉ mà nó xử lý.
Đo từ xa an toàn & làm sạch nhật ký
Phần tiêu đề “Đo từ xa an toàn & làm sạch nhật ký”Các kết quả phát hiện của kiểm tra tình trạng nêu tên cấu trúc còn thiếu và điều khoản ISO, không phải nội dung tài liệu. Chẩn đoán của vòng lặp lưu trữ báo cáo kết quả vòng lặp và điều kiện thiếu tài liệu. Cả hai đều không ghi nhật ký khóa riêng tư hay toàn bộ thân chứng chỉ. Hãy làm sạch URL bộ phản hồi và TSA khỏi nhật ký khi chúng để lộ hạ tầng nội bộ.
Hành vi ở chế độ FIPS
Phần tiêu đề “Hành vi ở chế độ FIPS”Hồ sơ chính sách mã hóa FIPS 140-3 là một năng lực Enterprise được ghi tài liệu cùng với module bảo mật. Bề mặt lưu trữ chỉ thêm bản băm SHA-256 cho dấu thời gian tài liệu và trao đổi RFC 3161; nó không đưa vào nguyên hàm nào khác. Dưới hồ sơ FIPS, vẫn tạo ra cùng các cấu trúc DSS, VRI, và dấu thời gian tài liệu; ràng buộc áp dụng cho các thuật toán băm và ký, không áp dụng cho bố cục lưu trữ.
Mô hình mối đe dọa
Phần tiêu đề “Mô hình mối đe dọa”| Tài sản | Đối thủ | Rủi ro | Biện pháp giảm thiểu |
|---|---|---|---|
| Tính liên tục của chuỗi dấu thời gian | Bỏ lỡ lịch vòng lặp | Chuỗi tin cậy đứt sau khi một chứng chỉ dấu thời gian hết hạn | Vận hành vòng lặp lưu trữ trước thời điểm hết hạn của mỗi chứng chỉ dấu thời gian |
| Tài liệu thu hồi được nhúng | Chấp nhận tài liệu cũ | Một bên xác minh tin tưởng dữ liệu OCSP/CRL đã hết hạn | Các cửa sổ độ tươi mới giới hạn hiệu lực; vòng lặp thu thập lại trước khi hết hạn |
| Tín hiệu tình trạng LTV | Quá tin vào một lần đạt về cấu trúc | Một kho lưu trữ trông đầy đủ nhưng dữ liệu đã cũ | Kiểm tra tình trạng nêu rõ đó là cấu trúc, không phải một lần xác thực lại bằng mã hóa |
| Dấu thời gian tài liệu | TSA không truy cập được hoặc bị xâm phạm | Không có neo thời gian mới | TSA do bên gọi chọn; vòng lặp fail closed khi không có TSA nào được cấu hình |
Tính phù hợp
Phần tiêu đề “Tính phù hợp”| Tuyên bố | Tiêu chuẩn | Điều khoản |
|---|---|---|
| Xác thực dài hạn dùng một DSS và một từ điển dấu thời gian tài liệu. | ISO 32000-2 | §12.8 |
| DSS chứa các chứng chỉ, phản hồi OCSP, và CRL; VRI là theo từng chữ ký. | ISO 32000-2 | §12.8.4.3 |
| Dấu thời gian tài liệu dùng một từ điển dấu thời gian tài liệu. | ISO 32000-2 | §12.8.5 |
| Các mục DSS và dấu thời gian tài liệu hỗ trợ chữ ký dài hạn. | ETSI EN 319 142-2 | §5.5 |
| Trình xử lý chữ ký hỗ trợ các mục DSS và dấu thời gian tài liệu. | ETSI EN 319 142-2 | §6.3.3.3 |
| Một token dấu thời gian mang theo một genTime UTC là thời điểm nó được tạo ra. | RFC 3161 | §2.4.2 |
| OCSP báo cáo good, revoked, hoặc unknown, được giới hạn bởi thisUpdate/nextUpdate. | RFC 6960 | §2.2, §4.2 |
Mọi điều khoản đều được diễn giải lại. NextPDF không sao chép nguyên văn văn bản quy phạm; hãy tham khảo các tiêu chuẩn đã xuất bản để có câu chữ chính thức. NextPDF không đưa ra tuyên bố chứng nhận PAdES nào. Các cấu trúc lưu trữ mô tả ở đây được căn chỉnh theo các cấp dài hạn được định nghĩa trong ETSI EN 319 142; không có tuyên bố nào về kết quả kiểm thử tính phù hợp hay chứng thực của bên thứ ba. Phần các cấp baseline của ETSI EN 319 142-1 nằm ngoài bộ bằng chứng được trích dẫn; bằng chứng ETSI được trích dẫn là EN 319 142-2, còn các neo ISO và RFC mang theo các tuyên bố về dài hạn, dấu thời gian, và thu hồi.
Hợp đồng hành vi
Phần tiêu đề “Hợp đồng hành vi”- Bề mặt DSS, VRI, tình trạng LTV, và vòng lặp lưu trữ chỉ dành cho Enterprise. Core tạo ra B-B và B-T (có dấu thời gian); một triển khai chỉ có Pro tạo ra B-B và B-T nhưng không thể tạo ra hay duy trì một chữ ký dài hạn (B-LT/B-LTA).
- Kiểm tra tình trạng LTV báo cáo sự hiện diện về cấu trúc của DSS, OCSP/CRL, kho chứng chỉ, và VRI; nó không xác minh lại dữ liệu thu hồi được nhúng bằng mã hóa.
- Vòng lặp lưu trữ ghi lại DSS và bổ sung một dấu thời gian tài liệu mới bao trùm trạng thái đã cập nhật. Nó phải chạy trước khi chứng chỉ dấu thời gian hết hạn.
- Vòng lặp fail closed khi không có TSA nào được cấu hình hoặc dưới một chính sách mạng strict-offline.
Ranh giới xuất bản
Phần tiêu đề “Ranh giới xuất bản”Trang này chỉ ghi tài liệu về hành vi có thể quan sát được từ bên ngoài và bề mặt API công khai được hỗ trợ. Các đường dẫn namespace nội bộ, lớp trợ giúp, bảng cơ chế, tên tệp runbook, và tiền tố ticket nằm ngoài phạm vi.
Phương án dự phòng Core
Phần tiêu đề “Phương án dự phòng Core”Trong một triển khai chỉ có Core, trình ký phần mềm tạo ra PAdES B-B và B-T (Core kèm theo đường dẫn dấu thời gian RFC 3161). Core không có bề mặt DSS, VRI, tình trạng LTV, hay vòng lặp lưu trữ nào; một cấp dài hạn sẽ fail closed với một lỗi có tên. Bề mặt lưu trữ mô tả trên trang này yêu cầu nextpdf/enterprise. Xem Bảo mật / Ký (Core).
Phương án dự phòng Pro
Phần tiêu đề “Phương án dự phòng Pro”Trong một triển khai chỉ có Pro, đường dẫn ký được hỗ trợ là baseline B-B/B-T của core cùng với các quy trình ký từ xa và bằng cloud-KMS của Pro. Pro không tạo ra DSS, VRI, hay dấu thời gian tài liệu nào, và không chạy vòng lặp lưu trữ nào. Một cấu hình yêu cầu một cấp dài hạn trong một triển khai chỉ có Pro sẽ fail closed với một thông báo nêu tên thành phần Enterprise còn thiếu. Xem Bảo mật Pro.
Lưu ý về ranh giới Enterprise
Phần tiêu đề “Lưu ý về ranh giới Enterprise”Việc dựng DSS/VRI, kiểm tra tình trạng LTV, và vòng lặp lưu trữ chỉ được mô tả ở mức hành vi. Logic sắp xếp thứ tự ghi lại DSS nội bộ, chi tiết nội bộ về khóa VRI theo từng chữ ký, chi tiết nội bộ về phân loại kết quả tình trạng, và chi tiết nội bộ về lập lịch vòng lặp nằm ngoài phạm vi của bề mặt công khai và không được tái hiện ở đây.
Ranh giới triển khai
Phần tiêu đề “Ranh giới triển khai”NextPDF Enterprise duy trì tài liệu xác thực; nó tích hợp với các bộ phản hồi OCSP/CRL và một TSA RFC 3161 do bên gọi cung cấp. Bản thân nó không vận hành, lưu trữ, hay bảo đảm tính sẵn sàng của các bộ phản hồi đó hoặc của TSA. Tính hợp lệ vô thời hạn phụ thuộc vào các bộ phản hồi, TSA, lịch vòng lặp lưu trữ, và người vận hành — không chỉ phụ thuộc vào riêng NextPDF Enterprise. Người vận hành chịu trách nhiệm chọn TSA và bảo đảm khả năng truy cập TSA, quyền truy cập bộ phản hồi thu hồi hoặc tài liệu đã thu thập trước, chính sách mạng, và việc chạy vòng lặp lưu trữ trước thời điểm notAfter của mỗi chứng chỉ dấu thời gian.
Ranh giới tuân thủ pháp lý
Phần tiêu đề “Ranh giới tuân thủ pháp lý”Trang này liên quan đến xác thực dài hạn và lưu trữ các chữ ký mã hóa. Việc căn chỉnh theo các cấu trúc dài hạn được định nghĩa trong ETSI EN 319 142 là một phát biểu cấu trúc, không phải một ý kiến pháp lý và cũng không phải một chứng nhận. NextPDF không đưa ra tuyên bố chứng nhận PAdES nào. Hãy tham vấn các cố vấn tuân thủ và pháp lý của riêng bạn về các nghĩa vụ quy định của bạn.
Xem thêm
Phần tiêu đề “Xem thêm”- Chữ ký: PAdES B-LT / B-LTA — trình tạo dài hạn.
- Bảo mật / Ký (Core) — CMS, RFC 3161, RFC 5280, OCSP/CRL.
- Bảo mật Pro — baseline B-B và ranh giới Enterprise.
- PAdES ánh xạ baseline — B-B, B-T, B-LT, B-LTA trên các phiên bản.
- DSS · VRI · LTV · PAdES — các thuật ngữ bảng chú giải.