Elektronické podpisy bez zmatků: Jak se vyznat ve formátech XAdES, PAdES, ASiC i úrovních podpisů

Elektronické podpisy jsou běžnou součástí komunikace s úřady, bankami i obchodními partnery. Přesto se kolem nich objevuje řada zkratek a technických pojmů, které mohou působit nepřehledně. Co znamenají formáty XAdES, PAdES nebo ASiC, jaký je rozdíl mezi úrovněmi B-B, B-T a B-LTA a podle jakých standardů se elektronické podpisy řídí?

Co je elektronický podpis

Elektronický podpis slouží k ověření totožnosti podepisující osoby a k potvrzení, že od okamžiku podpisu nebyl dokument nijak změněn. Využívá kryptografii s dvojicí klíčů – soukromým, kterým se dokument podepisuje, a veřejným, pomocí kterého lze podpis ověřit.

Na rozdíl od naskenovaného vlastnoručního podpisu nebo obrázku vloženého do dokumentu poskytuje elektronický podpis technickou záruku integrity dokumentu. Pokud by byl po podepsání jakkoli upraven, ověření podpisu selže.

V Evropské unii se elektronické podpisy řídí nařízením eIDAS, které stanovuje jejich právní rámec. Elektronické podpisy se dnes běžně používají při podepisování smluv, komunikaci s úřady, elektronické fakturaci nebo schvalování firemních dokumentů.

Elektronické podpisy jsou navíc úzce propojené s digitálními certifikáty, které zajišťují důvěryhodnost podepisující osoby. Správu certifikátů i jejich automatizovanou obnovu usnadňují například nástroje jako je SSLmarket Certificate Lifecycle Management (CLM).

Formát podpisu není totéž, co typ podpisu

Při práci s elektronickými podpisy se často zaměňují dva různé pojmy – formát podpisu a typ (nebo úroveň) elektronického podpisu. Přestože spolu souvisejí, označují něco úplně jiného.

Formát podpisu určuje, jakým způsobem jsou podpisová data technicky uložena v dokumentu. Mezi nejrozšířenější formáty patří PAdES pro PDF dokumenty, XAdES pro XML soubory nebo CAdES (PKCS#7/CMS) pro obecné binární soubory. Formát tedy říká, jak je podpis zapsán a s jakým typem dokumentu pracuje.

Typ elektronického podpisu naopak vyjadřuje jeho právní úroveň podle nařízení eIDAS. Rozlišuje se běžný elektronický podpis, zaručený (pokročilý) elektronický podpis a kvalifikovaný elektronický podpis, který má při splnění zákonných podmínek stejnou právní sílu jako vlastnoruční podpis.

To znamená, že například kvalifikovaný elektronický podpis může být uložen ve formátu PAdES i XAdES. Samotný formát tedy neurčuje, zda je podpis kvalifikovaný nebo nikoliv – pouze definuje způsob jeho technického uložení. O právní síle podpisu rozhoduje použitý certifikát, způsob vytvoření podpisu a splnění požadavků nařízení eIDAS.

Nejpoužívanější formáty elektronických podpisů

Elektronický podpis může být uložen v několika různých formátech. Ty se liší především typem dokumentů, pro které jsou určeny, a způsobem, jakým ukládají podpisová data. V praxi se nejčastěji setkáte s formáty XAdES, PAdES, CAdES a kontejnerem ASiC.

1) XAdES (XML Advanced Electronic Signatures) – standard pro elektronické podpisy XML dokumentů. Využívá se především ve veřejné správě, při komunikaci mezi informačními systémy nebo u elektronických faktur. Podporuje přidání časových razítek a dalších validačních údajů pro dlouhodobé ověřování podpisu.

2) PAdES (PDF Advanced Electronic Signatures) – formát určený pro dokumenty PDF. Podpis je uložen přímo v souboru, takže jej lze snadno ověřit například v Adobe Acrobat Readeru. Jde o nejrozšířenější formát pro podepisování smluv, faktur a dalších běžných dokumentů.

3) CAdES (CMS Advanced Electronic Signatures, PKCS#7) – formát založený na standardu CMS, vhodný pro podpis téměř libovolného typu souboru. Často se s ním setkáte u přípon .p7m, .p7s nebo .cms.

4) ASiC (Associated Signature Containers) – kontejner pro uložení jednoho nebo více dokumentů společně s elektronickými podpisy. Varianta ASiC-S obsahuje jeden podepsaný soubor, zatímco ASiC-E umožňuje uložit více dokumentů i podpisů do jednoho balíčku. Nejčastěji obsahuje podpisy ve formátu XAdES.

Při výběru formátu je nejdůležitější zohlednit typ podepisovaného dokumentu a požadavky systému, se kterým komunikujete. Většina moderních aplikací zvolí vhodný formát automaticky, přesto se vyplatí znát jejich základní vlastnosti, zejména pokud pracujete s elektronickými podpisy pravidelně.

Co znamenají úrovně podpisů B-B, B-T nebo B-LTA

Kromě samotného formátu elektronického podpisu se můžete setkat také s označeními B-B, B-T, B-LT nebo B-LTA. Nejde o různé typy podpisů, ale o tzv. Baseline profily definující, jaké informace podpis obsahuje a jak dlouho jej bude možné spolehlivě ověřit.

Jednotlivé úrovně na sebe navazují. Každá vyšší úroveň obsahuje všechny vlastnosti té předchozí a přidává další údaje, například časová razítka nebo validační informace. Díky tomu lze podpis ověřit i dlouho po jeho vytvoření, například po vypršení platnosti certifikátu.

1) B-B (Baseline Basic) – základní úroveň elektronického podpisu. Obsahuje všechny informace potřebné k ověření podpisu v okamžiku jeho vytvoření, neobsahuje však časové razítko ani údaje pro dlouhodobou validaci.

2) B-T (Baseline Time) – k základnímu podpisu přidává kvalifikované časové razítko. To prokazuje, že podpis existoval v určitém okamžiku, což je důležité například při uzavírání smluv nebo právních úkonech.

3) B-LT (Baseline Long Term) – vedle časového razítka obsahuje také validační data, například certifikáty, seznamy zneplatněných certifikátů (CRL) nebo odpovědi služby OCSP. Díky tomu lze podpis ověřit i po skončení platnosti podpisového certifikátu nebo při nedostupnosti ověřovacích služeb.

4) B-LTA (Baseline Long Term Archive) – nejvyšší úroveň určená pro dlouhodobou archivaci dokumentů. K podpisu jsou pravidelně přidávána nová archivní časová razítka, která zajišťují možnost jeho důvěryhodného ověření i po mnoha letech, kdy již mohou být původní kryptografické algoritmy nebo certifikáty zastaralé.

Pro běžné použití často postačuje úroveň B-B nebo B-T, například při podepisování smluv či formulářů. Organizace, které musí dokumenty uchovávat desítky let, například úřady, zdravotnická zařízení nebo velké firmy, naopak obvykle využívají úrovně B-LT nebo B-LTA, které umožňují jejich dlouhodobé a nezávislé ověření.

Starší profily XAdES

Kromě dnešních Baseline profilů (B-B, B-T, B-LT a B-LTA) se můžete setkat také se starším označením XAdES-C, XAdES-X nebo XAdES-XL. Tyto profily byly definovány v dřívějších verzích standardu XAdES a sloužily pro elektronické podpisy s podporou dlouhodobého ověřování.

Jednotlivé profily postupně přidávaly další informace potřebné pro validaci podpisu. Zatímco XAdES-C obsahoval odkazy na validační data, XAdES-X přidával časová razítka a XAdES-XL ukládal přímo do podpisu certifikáty i další validační údaje potřebné pro jeho ověření.

S vývojem standardů ETSI byly tyto profily nahrazeny jednoduššími Baseline profily, které sjednotily úrovně podpisů napříč formáty XAdES, PAdES i CAdES. Se starším označením se dnes můžete setkat především při ověřování historických dokumentů nebo ve starších informačních systémech.

ETSI standardy, které stojí za elektronickými podpisy

Elektronické podpisy v Evropské unii nejsou založeny pouze na nařízení eIDAS, ale také na technických standardech organizace ETSI (European Telecommunications Standards Institute). Ty přesně definují, jak mají elektronické podpisy vznikat, jaké kryptografické algoritmy používat, jak mají vypadat certifikáty nebo jakým způsobem probíhá jejich ověřování.

Díky těmto standardům jsou elektronické podpisy interoperabilní napříč členskými státy Evropské unie. Dokument podepsaný v jedné zemi tak může být bez problémů ověřen i v jiné, pokud splňuje požadavky eIDAS a příslušných standardů ETSI.

Mezi nejdůležitější patří:

Přestože většina uživatelů s těmito standardy nepřijde do přímého kontaktu, tvoří základ celé evropské infrastruktury elektronických podpisů. Právě díky nim mohou různé aplikace, certifikační autority i ověřovací služby používat společná pravidla a vzájemně spolupracovat.

Pokud například podepíšete dokument kvalifikovaným elektronickým podpisem v České republice, měl by být bez problémů ověřitelný i v ostatních státech Evropské unie.

Jak elektronický podpis ověřit

Elektronický podpis je vhodné ověřit, abyste měli jistotu, že dokument nebyl po podepsání změněn a že podpis i použitý certifikát jsou platné. Moderní validační nástroje kontrolují nejen samotný podpis, ale také časová razítka, certifikáty a další údaje potřebné pro jeho ověření.

Pokud pracujete s PDF dokumentem, často postačí otevřít jej v Adobe Acrobat Readeru, který zobrazí informace o podpisu, jeho platnosti i případných změnách dokumentu.

Pro podrobnější kontrolu lze využít specializované online validátory:

• VerifySignature.eu – ověří podpis, integritu dokumentu i platnost certifikátů a umožní vytvořit validační protokol.
• DSS Demonstration WebApp Evropské komise – referenční validátor podporující formáty XAdES, PAdES, CAdES i ASiC podle eIDAS.
• I.CA QVerify – česká služba pro ověřování elektronických podpisů včetně kvalifikovaných.
• Deep Validator – validátor podporující evropské nařízení eIDAS i švýcarský standard ZertES.

Při ověřování se kontroluje, zda podpis odpovídá dokumentu, nebyl po jeho vytvoření změněn a zda byl použit důvěryhodný a v době podpisu platný certifikát. Pokud dokument obsahuje časové razítko nebo validační údaje pro dlouhodobé ověřování, validátor ověří také jejich správnost.

Spolehlivé ověření proto závisí nejen na samotném podpisu, ale také na kvalitě a důvěryhodnosti použitého certifikátu. Certifikáty vydané uznávanými certifikačními autoritami, včetně řešení DigiCert dostupných prostřednictvím SSLmarketu, pomáhají zajistit bezproblémovou validaci i splnění požadavků nařízení eIDAS.

Elektronické podpisy jsou dnes výrazně jednodušší než dříve

Přestože se může množství zkratek zdát složité, většinu technických detailů dnes řeší aplikace automaticky. Uživatel tak obvykle nemusí přemýšlet nad tím, jaký formát nebo profil podpisu použít.

Obecně platí, že pro PDF dokumenty se používá PAdES, pro XML dokumenty XAdES a pro ostatní typy souborů CAdES. Pokud je potřeba dokument dlouhodobě uchovávat, využívají se profily B-LT nebo B-LTA, které obsahují údaje potřebné pro jeho budoucí ověření.

Díky standardům ETSI a nařízení eIDAS jsou dnes elektronické podpisy kompatibilní napříč Evropskou unií, což usnadňuje jejich vytváření, sdílení i ověřování.