Hvad betyder niveauerne B, T, LT og LTA i PAdES for digitale signaturer?

Når du har læst om digitale signaturer, er du måske stødt på udtrykket »PAdES« (PDF Advanced Electronic Signatures). Det er en række begrænsninger og udvidelser til PDF-formatet, der gør det egnet til elektroniske signaturer inden for eIDAS.

PAdES og dets fire niveauer af basissignaturer er defineret i tekniske detaljer i ETSI EN 319 142-1 og ETSI EN 319 142-2.

Nedenfor forklarer vi dem i enklere vendinger.

PAdES-B-B-niveau

Dette er en grundlæggende signatur. Den forbliver gyldig, så længe det certifikat, der er brugt til at underskrive den, også er gyldigt (dvs. ikke er udløbet eller tilbagekaldt).

PAdES-B-T-niveau

Denne signatur er en udvidelse af den grundlæggende signatur. Den indeholder et kryptografisk tidsstempel, der beviser, at det signerede dokument eksisterede på et bestemt tidspunkt.

PAdES-B-LT-niveau

Denne signatur bygger videre på den foregående ved at inkorporere alt det materiale, der kræves for at validere det signerede dokument. Dette omfatter typisk signaturcertifikater, tidsstemplingscertifikater og tilbagekaldelsesdata (som f.eks. CRL- og OCSP-svar). Dette gør det muligt at validere det signerede dokument ved hjælp af indholdet i selve filen.

PAdES-B-LTA-niveau

Denne signatur sikrer valideringsmaterialets tilgængelighed og integritet på lang sigt. Den bygger videre på det foregående niveau ved at tilføje et kryptografisk tidsstempel-token til selve dokumentet og valideringsmaterialet (også kaldet et »dokumenttidsstempel«).

Dette fastslår, at valideringsmaterialet eksisterede på det pågældende tidspunkt, hvilket giver en signaturvaliderer mulighed for at fastslå, at ingen certifikater var tilbagekaldt eller udløbet på det tidspunkt, hvor signaturen blev oprettet.

I teorien er det muligt med jævne mellemrum at tilføje yderligere dokumenttidsstempel-tokens. Dette gør det muligt for en dokumentsignatur at forblive gyldig længe efter, at de oprindelige certifikater – og endda signeringsalgoritmer – er udløbet eller blevet anset for usikre.

De fire PAdES-niveauer: Sammenligning

Her er en sammenligning af de fire niveauer af baseline-signaturer:

Hvilket PAdES-niveau bør du vælge til dokumentsignaturer?

Nu hvor du kender forskellen, er det naturlige spørgsmål: »Hvilket PAdES-niveau bør jeg anvende til mine dokumentsignaturer?«

Kort sagt afhænger det af to hovedfaktorer:

1. Hvor længe skal underskriften være gyldig?
2. Hvor forretningskritisk er underskriftens gyldighed?

For enkle dokumenter som f.eks. fakturaer – hvor gyldigheden kan bevises ved den efterfølgende betaling af selve fakturaen – bør en grundlæggende signatur (B) eller en signatur med tidsstempel (T) være tilstrækkelig.

For signaturer, der muligvis skal valideres langt ude i fremtiden, såsom investeringsaftaler, skal du som minimum have et PAdES-B-LT-niveau. Vi anbefaler at implementere PAdES-B-LTA i sådanne tilfælde, da de tekniske forskelle mellem de to sidstnævnte niveauer er ubetydelige.