Bewaren van ondertekende PDF's: bewaar niet “een handtekening”. Bewaar het ondertekende document

Bij digitaal vertrouwen op lange termijn is een terugkerende valkuil het bewaren van het cryptografische artefact... maar niet het bewaren van het record dat dat artefact moest beschermen.

Daarom verdient PAdES-bewaring (= digitaal ondertekende PDF) speciale aandacht.

De misvatting

U zult dingen horen als:

“We slaan de PDF op en we slaan de handtekening apart op.”

Die aanpak kan zinvol zijn voor losstaande handtekeningformaten.

Maar als u het hebt over PAdES (PDF Advanced Electronic Signatures), is het een riskant mentaal model.

PAdES is ontworpen om in het PDF-bestand te zitten.

Een PAdES-handtekening is niet “een handtekening over een PDF die ergens anders staat”.

In PAdES maakt de handtekening deel uit van de PDF-structuur:

• de handtekeningwaarde staat in het PDF-handtekeningwoordenboek (in /Contents)
• de bytes die daadwerkelijk worden ondertekend, worden gedefinieerd door /ByteRange

De hash wordt berekend over een bytebereik dat het hele bestand zou moeten omvatten, met uitzondering van alleen de handtekeningwaarde zelf.

In gewone woorden:

“Deze handtekening bindt aan dit PDF-bestand, byte-voor-byte (met één opzettelijke uitzondering: de handtekeningwaarde die in het bestand is opgeslagen).”

Dit is geen klein implementatiedetail - het is het mechanisme dat van een ondertekende PDF een zelfstandig bewijsobject maakt.

Bevestiging (basis):

“Wanneer PAdES wordt geïmplementeerd om een PDF te ondertekenen... wordt de handtekening rechtstreeks op de PDF toegepast - d.w.z. erin gecodeerd.” – Penneo

En voor wie het een en ander weet over eIDAS, is dit een stevige ETSI-vereiste: De handtekening kan niet van de PDF worden gescheiden.

“U kunt de handtekening niet scheiden van de PDF” (wat we bedoelen)

Laten we precies zijn.

Ja, technisch gezien kunt u de CMS-blob uit de inhoud halen.

Maar op het moment dat u die geëxtraheerde waarde als een op zichzelf staand “handtekeningobject” behandelt, verliest u waar het om gaat:

• de ingesloten binding naar de exacte bytes van de ondertekende PDF-revisie
• het standaard validatiemodel dat wordt gebruikt door PDF-viewers en audittools

Met andere woorden: u kunt nog steeds een stuk cryptografische gegevens hebben, maar u hebt niet langer een PAdES-handtekening op die PDF op de manier waarop het formaat is ontworpen om gevalideerd en bewezen te worden.

In lekentaal: de handtekening en de PDF apart bewaren (zelfs als dat technisch zou kunnen) bewijst niets.

Wat Docbyte Vault anders doet

Docbyte Vault bewaart de volledige ondertekende PDF (inclusief de ingesloten PAdES-handtekening) als één bewaard object - met integriteitscontinuïteit en controleerbaarheid.

Een praktische marktrealiteit

PAdES is zo relevant omdat PDF nog steeds het dominante “einddocument” is in veel gereguleerde en zakelijke workflows.

Het echte probleem is dus niet of u ergens een handtekening kunt opslaan.

Het gaat erom of u de ondertekende PDF als een enkel bewijsobject kunt bewaren en in de loop van de tijd verifieerbaar kunt houden.

Een andere ongemakkelijke waarheid: er zijn maar heel weinig oplossingen die dit end-to-end doen

Veel platforms kunnen een ondertekende PDF aanmaken.

Veel minder kunnen de ondertekende PDF + de ingesloten PAdES-handtekening bewaren als één onveranderlijk bewaard record, met integriteitscontinuïteit, controleerbaarheid en verifieerbaarheid op lange termijn (inclusief wanneer de crypto- en validatiecontext onvermijdelijk evolueert).

Dat is precies de kloof die Docbyte Vault helpt dichten.