PAdES nach eIDAS
Der Kalibrierschein, dem man ansieht, dass er echt ist.
Freigegebene PDFs werden kryptografisch gesiegelt. Ihr Kunde öffnet die Datei im Adobe Reader und sieht: unverändert, und von wem.
- Organisationssiegel und persönliche Signatur getrennt
- Drei Stufen: B-B, B-T mit Zeitstempel, B-LT langzeitprüfbar
- Sichtbare Unterschrift per Positionseditor platzierbar
- Gesiegelt wird nur, was freigegeben wurde
Ablauf
Vom Messwert zum gesiegelten Dokument
Das Siegel hängt nicht am Dateinamen, sondern am Vorgang. Was nicht freigegeben ist, wird auch nicht gesiegelt.
- 1
Messwerte erfassen
Die Kalibrierung wird durchgeführt und dokumentiert, mit Prozedur, Sollwerten und Toleranzen.
- 2
Freigeben
Die Freigabe ist ein eigener Vorgang mit eigener Berechtigung. Auf Wunsch getrennt von der Bearbeitung, also im Vier-Augen-Prinzip.
- 3
Siegeln
Erst nach der Freigabe wird das PDF gesiegelt. Die Siegel-Policy legt fest, welches Zertifikat für welche Dokumentart zulässig ist.
- 4
Prüfen beim Empfänger
Ihr Kunde öffnet die Datei im PDF-Reader und sieht den Signaturstatus, ohne Zusatzsoftware und ohne Ihr System.
Was die drei Stufen bedeuten, und was sie brauchen
B-B ist die Grundstufe. Das Dokument ist signiert, Veränderungen fallen auf. Diese Stufe funktioniert auch in einer Installation ganz ohne Internetzugang.
B-T ergänzt einen qualifizierten Zeitstempel. Damit ist belegt, dass das Dokument zu einem bestimmten Zeitpunkt bereits so vorlag. Dafür muss die Installation einen Zeitstempeldienst erreichen können.
B-LT legt zusätzlich die Prüfinformationen mit ins Dokument, damit die Signatur auch in Jahren noch prüfbar bleibt, wenn das Zertifikat längst abgelaufen ist. Auch dafür braucht es einen Netzzugang beim Siegeln.
Wann ein Siegel wirklich qualifiziert ist
Welche Sicherungsstufe am Ende auf dem Dokument steht, leitet calServer aus Ihrem Zertifikat ab. Es gibt keinen Schalter, mit dem sich eine höhere Stufe behaupten lässt, als das Zertifikat hergibt.
Entscheidend ist dabei nicht nur das Zertifikat, sondern wo der Schlüssel liegt. Liegt er als Datei auf dem Server, wird die Stufe herabgesetzt, unabhängig davon, wie gut das Zertifikat ist. Ein qualifiziertes Siegel im Sinne von eIDAS ist deshalb nur mit einem Fernsiegel bei einem Vertrauensdiensteanbieter erreichbar, bei dem der Schlüssel das Haus des Anbieters nie verlässt. calServer spricht dafür das Protokoll CSC in Version 2; weitere Anbieterprotokolle kommen dazu, wenn eine Anlage sie braucht.
Ehrlich dazu: Ein Konto bei einem qualifizierten Vertrauensdienst ist ein Vertragsverhältnis mit Identitätsprüfung, keine Registrierung, und es gibt keinen Testanbieter. Die Anbindung ist deshalb gegen die Spezifikation gebaut. Welcher Anbieter zu Ihnen passt und was die Einrichtung bedeutet, klären wir vorher gemeinsam, statt Ihnen einen Namen zu nennen, den wir nicht belegen können.
Siegel und Unterschrift sind zwei Dinge
Das kryptografische Siegel ist die Absicherung. Die sichtbare Unterschrift ist die Darstellung: hinterlegte Unterschriftsbilder je Benutzer, per Editor auf dem Dokument platziert, beim Download eingebrannt. Beides lässt sich getrennt einsetzen.
Einrichtung ohne Zertifikats-Kommandozeile
Die Schlüsselverwaltung war bisher der Teil, an dem solche Projekte hängen bleiben. Sie läuft jetzt geführt aus der Oberfläche.
- Geführter EinrichtungsdialogSiegel-Zugangsdaten werden in der Anwendung angelegt, vorbelegt aus den Angaben Ihres Labors. Kein Hantieren mit Schlüsseldateien auf dem Server.
- Fernsiegel beim AnbieterDer Schlüssel bleibt beim Vertrauensdiensteanbieter, calServer schickt nur den Fingerabdruck des Dokuments zum Signieren. Das ist der Weg zum qualifizierten Siegel.
- Siegel-Policy statt HanddisziplinWelches Zertifikat für welche Dokumentart zulässig ist, legt eine Regel fest. Ein Akkreditierungssiegel kann so nicht versehentlich auf ein Werkszertifikat rutschen.
- Ehrlich bei UnklarheitBleibt beim Anbieter eine Antwort aus, meldet calServer genau das, statt blind zu wiederholen. Eine zweite Signatur über dasselbe Dokument wäre sonst auch eine zweite Rechnung.
Passt das zu Ihrer Akkreditierung?
Wir schauen uns Ihre Zertifikatslage an und sagen, welche Stufe realistisch ist, bevor Sie etwas kaufen.