Sicheres finales Dokument

Die Datei, die am Ende herauskommt, ist nicht das eingegangene PDF mit darüber geklebten Bildern. Es ist ein kryptografisch versiegeltes Dokument, dessen Verlauf jeder Revision überprüfbar ist und das alles enthält, was nötig ist, um es auch in Jahren noch zu prüfen — ohne die Plattform, ohne Internetverbindung und ohne unsere Mitwirkung.

Diese Seite beschreibt Schicht für Schicht, was darin steckt.

Die Schichten auf einen Blick

Schicht	Wann sie angewendet wird	Was sie garantiert
Zertifizierungssiegel der Plattform (AATL, DocMDP=3)	Beim Versand, bevor jemand unterschreibt	Integrität: Der Inhalt der Seiten wird gesperrt
Visuelle Unterschriften (Anmerkungen)	Sobald jeder Unterzeichner unterschreibt	Erscheinungsbild und sichtbare Urheberschaft, ohne das Siegel zu brechen
Qualifizierte CMD-Signatur	Wenn der Unterzeichner mit der Chave Móvel Digital unterschreibt	QES — Gleichstellung mit der handschriftlichen Unterschrift
SCAP-Siegel	Wenn die Berufsattribute eingebunden sind	Die berufliche Eigenschaft, bestätigt von der zertifizierenden Stelle
LTV-Material + Archivzeitstempel	Beim Versiegeln und beim Abschluss	Langfristige Überprüfbarkeit, offline
Siegel des Abschlussberichts (AATL, DocMDP=1)	Beim Abschluss, im Bericht — nicht im Dokument	Der Nachweisbericht lässt keinerlei Änderung zu

Das Zertifizierungssiegel, angewendet vor jeder Unterschrift

Die über den Assistenten veröffentlichten Dokumente werden im Moment des Versands versiegelt, bevor der erste Unterzeichner sie berührt — außer denen, die bereits unterschrieben ankommen: Ein hochgeladenes PDF, das bereits Signaturen enthält, erhält kein Siegel, weil das Siegel die erste Signatur der Datei sein müsste, und es akzeptiert nur eine Mitunterzeichnung mit der Chave Móvel Digital. Das Siegel ist eine unsichtbare Zertifizierungssignatur, die auf dem Server angewendet wird.

Zertifikat	Sectigo AATL Document Signing (rmb-aatl-signing)
Ausgestellt für	RMB - SISTEMAS DE INFORMACAO LDA — das Unternehmen, das AssinaJá betreibt
Privater Schlüssel	Azure Key Vault Premium HSM, nicht exportierbarer Schlüssel — verlässt das Modul nie
eIDAS-Niveau	AES (Art. 26)
PAdES-Profil	PAdES-BES, oder PAdES-LTV mit dem Archivzeitstempel (ETSI TS 102 778). Kein Baseline-Profil der EN 319 142-1 — siehe unten

AATL ist die Adobe Approved Trust List. Adobe Reader vertraut ihr standardmäßig, und deshalb öffnet sich das Dokument mit dem grünen Häkchen, ohne dass der Leser etwas installieren oder einrichten muss.

Was DocMDP=3 erlaubt und verbietet

Das Siegel schreibt /Perms/DocMDP mit /P 3. Ab dann akzeptiert das PDF nur drei Dinge: das Ausfüllen von Formularfeldern, zusätzliche Signaturen und Anmerkungen. Jede Änderung am Inhalt der Seiten macht das Siegel ungültig, und der PDF-Reader zeigt das Dokument dann als verändert an.

Adobe Reader kündigt das sinngemäß so an:

Der Autor hat festgelegt, dass Ausfüllen von Formularen, Unterschreiben und Kommentieren in diesem Dokument zulässig sind. Andere Änderungen sind nicht zulässig.

Warum das selbst bei einem Dokument mit einfachen Unterschriften zählt

Ein Dokument, das nur mit visuellen Unterschriften unterschrieben ist, verlässt die Plattform trotzdem als kryptografisch versiegeltes PDF, mit qualifiziertem Zeitstempel und Erkennung von Änderungen. Die Unterschrift des Unterzeichners bleibt eine SES — was sich ändert, ist, dass das Dokument nicht mehr unbemerkt manipuliert werden kann.

Die visuellen Unterschriften werden als Anmerkungen eingefügt

Jede visuelle Unterschrift — Bild der Unterschrift oder Paraphe, Name, Datum — wird als Anmerkung mit eigenem Erscheinungsbild-Stream geschrieben und nicht auf die Seite gezeichnet.

Der Grund ist die Regel oben: Unter DocMDP=3 sind Anmerkungen eine erlaubte Änderung, der Seiteninhalt nicht. Die Unterschrift auf die Seite zu schreiben, würde das Siegel der Plattform ungültig machen; sie als Anmerkung zu schreiben, lässt es intakt.

Jede Unterschrift wird in einer inkrementellen Revision hinzugefügt: Nichts, was bereits geschrieben war, wird neu geschrieben. Deshalb funktionieren mehrere qualifizierte Unterzeichner nacheinander — die Signatur der dritten Person berührt den Bytebereich nicht, den die Signatur der ersten abdeckt.

Wenn Adobe „Anmerkungen geändert“ meldet

Jede visuelle Unterschrift trägt eine eigene Kennung, und Adobe markiert sie nicht. Ein älteres Dokument kann noch „Anmerkungen geändert“ anzeigen: Das ist ein informativer Hinweis, keine Ungültigkeit — der unterschriebene Inhalt bleibt Byte für Byte gleich, und /P 3 erlaubt das Hinzufügen von Signaturen.

Die qualifizierte Signatur mit der Chave Móvel Digital

Unterschreibt ein Unterzeichner mit der Chave Móvel Digital (CMD, der mobilen digitalen Identität des portugiesischen Staates), steht im PDF eine QES, erzeugt mit einem qualifizierten Zertifikat der ARTE (ehemals AMA), eines qualifizierten Vertrauensdiensteanbieters auf der portugiesischen EU Trust List. Der private Schlüssel liegt in einem HSM der ARTE — nie auf dem Mobiltelefon des Unterzeichners und nie bei AssinaJá.

Technisch ist es ein CAdES-BES-Container (ETSI.CAdES.detached, mit den signierten Attributen content-type, message-digest und signing-certificate-v2, in SHA-256), versiegelt mit einem qualifizierten Zeitstempel. Der DSS-Validator der Europäischen Kommission stuft das Ergebnis als QESig / TOTAL_PASSED im Profil PAdES-BASELINE-T ein.

Siehe Qualifizierte Signatur mit CMD.

Die SCAP-Siegel, wenn die Attribute eingebunden sind

Mit Berufsattributen (SCAP) erhält das Dokument eine zusätzliche Signatur pro zertifizierender Stelle, die bestätigt, in welcher Eigenschaft der Unterzeichner unterschrieben hat. Was das beweist und was im Stempel steht, finden Sie unter CMD und CMD mit Berufsattributen.

Der Abschlussbericht trägt sein eigenes Siegel

Der Nachweisbericht wird mit demselben AATL-Zertifikat versiegelt, aber mit DocMDP=1 — er lässt keinerlei Änderung zu, während das Dokument das oben beschriebene DocMDP=3 behält. Was er enthält, steht unter Was der Abschlussbericht enthält.

Langzeitvalidierung (LTV)

Eine Signatur lässt sich nur prüfen, wenn zum Zeitpunkt der Prüfung noch feststellbar ist, dass das Zertifikat bei der Verwendung gültig war. Nach einigen Jahren gibt es die Dienste, die diese Frage beantworten, möglicherweise nicht mehr. Genau dieses Problem löst LTV: Die Antworten werden in der Datei gespeichert.

Beim Versiegeln sammelt AssinaJá die OCSP/CRL-Antworten und die Zertifikate der Kette und schreibt sie in das PDF, in einen Document Security Store (/DSS) mit einem Eintrag pro Signatur (/VRI). Dieses Material bewirkt, dass Adobe die Signatur als LTV-fähig anzeigt.

Eine ehrliche Anmerkung zum Namen des Profils. Der Validator der Europäischen Kommission (EU DSS) stuft das Siegel als PAdES-BES ein — oder als PAdES-LTV, wenn der Archivzeitstempel vorhanden ist —, also als Profile der Norm ETSI TS 102 778, und nicht als Baseline-Profil (B-T, B-LT, B-LTA) der EN 319 142-1. Das technische Material ist vorhanden; was sich unterscheidet, ist die Einstufung. Die Signaturrichtlinie sagt dasselbe.

Beim Abschluss wird ein Archivzeitstempel hinzugefügt, der die gesamte Datei abdeckt, einschließlich dieses Validierungsmaterials. Der Validator meldet sie dann als PAdES-LTV, und dadurch verschwindet auch der Hinweis auf „Änderungen nach der letzten Unterschrift“.

Die Zeitstempel stammen von qualifizierten europäischen Zeitstempeldiensten, die in fester Prioritätsreihenfolge angefragt werden, mit Rückgriff auf den nächsten, wenn einer ausfällt — keine rotierende Liste. Für den Zeitstempel jeder Signatur ist der erste die TSA des Cartão de Cidadão (des portugiesischen Personalausweises; IRN/AMA), gefolgt von IZENPE, der belgischen BOSA, Sectigo Europe, BalTstamp und ACCV. Für den Archivzeitstempel bleibt die TSA des Cartão de Cidadão absichtlich außen vor: Ihr Zeitstempel enthält nicht die vollständige Kette, und damit zeigt Adobe „Unterzeichnet von Unbekannt“. Kein Dokument bleibt ohne Zeitstempel, weil ein Dienst nicht verfügbar ist.

Die praktische Wirkung all dessen ist eine einzige: Wer das PDF erhält, prüft es mit dem, was darin enthalten ist. Sie brauchen weder Internetzugang noch AssinaJá.

Die CMD-Signatur bleibt bei B-T, nicht bei B-LT. Die LTV-Anreicherung wird auch für die CMD ausgeführt, aber das Zertifikat des Cartão de Cidadão veröffentlicht keinen Zugangspunkt für Sperrinformationen, über den sie sich zuverlässig einbetten ließen. Die Signatur ist voll gültig; schwieriger wird es, sie viele Jahre nach dem Ablauf des Zertifikats zu prüfen, weil diese Prüfung davon abhängt, dass die damaligen OCSP/CRL-Dienste noch antworten.

Bewahren Sie das Paar auf. Archivieren Sie deshalb das unterschriebene PDF und den Abschlussbericht zusammen — siehe Ein unterschriebenes Dokument prüfen.

Die Grenzen, klar benannt

Die rechtlichen Grenzen — das Siegel der Plattform ist AES und nicht QES, und nur die Chave Móvel Digital erzeugt eine qualifizierte Signatur — stehen unter Rechtsgültigkeit. Die technische Grenze dieser Seite ist eine einzige: Die CMD-Signatur bleibt bei B-T, und deshalb muss das Paar PDF + Abschlussbericht aufbewahrt werden — siehe Langzeitvalidierung (LTV).

Siehe auch

• Ein unterschriebenes Dokument validieren — wie Sie all das ohne AssinaJá bestätigen
• Signaturniveaus
• Qualifizierte Signatur mit CMD
• Verlauf und Prüfpfad
• Rechtsgültigkeit