Verklarende woordenlijst

De termen die Cachet gebruikt, van PAdES en LTV tot het rijksregisternummer dat in elke eID-handtekening zit.

Cachet ondertekent PDF-documenten in reeksen. Het kan drie soorten merktekens aanbrengen: een cryptografische handtekening met uw Belgische eID-kaart (beid), een cryptografische handtekening met uw persoonlijke certificaat in Azure Key Vault (azure), of een eenvoudige geplakte afbeelding zonder juridische waarde (image). Voor de twee cryptografische modi volgt het de Europese PAdES-norm en controleert het na het ondertekenen elk bestand opnieuw, waarbij het precies meldt wat is bereikt. De onderstaande termen verklaren wat die controles en labels betekenen.

Elektronische handtekening: Een wettelijk erkende manier om een document elektronisch te ondertekenen. In tegenstelling tot een gescande handgeschreven handtekening bewijst een cryptografische elektronische handtekening ook WIE heeft ondertekend en dat het bestand sindsdien niet is gewijzigd.
SES / AES / QES: De drie eIDAS-niveaus, van zwak naar sterk. SES (eenvoudig) is gewoon 'een elektronisch merkteken'. AES (geavanceerd) is uniek gekoppeld aan de ondertekenaar en detecteert elke latere wijziging. QES (gekwalificeerd) is een AES die is aangemaakt met een gekwalificeerd certificaat en een beveiligd apparaat, en is juridisch gelijkwaardig aan een handgeschreven handtekening. eID = QES, Azure = AES, image = geen.
eIDAS: De EU-verordening die elektronische handtekeningen, vertrouwensdiensten en de niveaus SES/AES/QES definieert, zodat een handtekening die in één EU-land is gezet, ook in de andere landen wordt erkend.
PAdES: 'PDF Advanced Electronic Signatures' — de ETSI-norm (EN 319 142-1) voor het inbedden van handtekeningen in PDF-bestanden. Cachet schrijft PAdES-handtekeningen, zodat elke conforme PDF-lezer (bv. Adobe) ze kan verifiëren.
CMS: Het onderliggende containerformaat (Cryptographic Message Syntax) dat de eigenlijke handtekeningbytes, certificaten en tijdstempels in de PDF bevat. PAdES is een PDF-specifiek profiel dat op CMS is gebouwd.
Digest / hash: Een korte vingerafdruk met vaste lengte die uit het document wordt berekend. Wijzig één byte en de vingerafdruk verandert volledig. De handtekening wordt over deze vingerafdruk berekend; daarom wordt alleen de digest, nooit het volledige bestand, naar Azure gestuurd.
Certificaat: Een elektronische identiteitskaart voor een cryptografische sleutel: ze koppelt een publieke sleutel aan een persoon of dienst en is zelf ondertekend door een certificaatautoriteit. Uw eigen certificaat bewijst dat de handtekening echt van u afkomstig is.
CA / certificaatketen: Een certificaatautoriteit (CA) geeft certificaten uit. Een handtekening verifiëren betekent de keten volgen van uw certificaat via een of meer CA's tot een vertrouwde root. Als de hele keten klopt, wordt de handtekening vertrouwd.
eID / handtekeningcertificaat (non-repudiation): Een Belgische eID-kaart bevat twee certificaten; Cachet gebruikt het 'handtekeningcertificaat' (non-repudiation), dat is voorbehouden voor juridisch bindende handtekeningen (in tegenstelling tot het 'authenticatiecertificaat', dat alleen dient om u aan te melden).
RRN: Het Belgische rijksregisternummer. Het wordt in elke eID-handtekening opgenomen. Iedereen die een ondertekende PDF ontvangt, kan het lezen; ga dus zorgvuldig om met het delen van ondertekende bestanden.
PKCS#11: De gestandaardiseerde software-interface waarmee Cachet via de middleware van de kaartlezer met de eID-kaart communiceert. Zo kan de toepassing de sleutel van de kaart gebruiken zonder dat die sleutel ooit de kaart verlaat.
PIN: De geheime code (pincode) die de handtekeningsleutel van uw eID-kaart ontgrendelt. De kaart geeft de sleutel nooit prijs; ze ondertekent alleen wanneer de pincode juist is. In de modus beid vraagt Cachet de pincode één keer PER DOCUMENT.
Azure Key Vault: Een clouddienst van Microsoft die uw persoonlijke certificaat en sleutel bewaart, zodat de sleutel niet kan worden geëxporteerd. Het ondertekenen gebeurt in de kluis: alleen de digest van het document wordt ernaartoe gestuurd, en het ondertekende resultaat komt terug.
Microsoft Entra ID: De identiteits- en aanmelddienst van Microsoft (voorheen Azure Active Directory). In de modus azure meldt u zich één keer PER REEKS aan om te bewijzen dat u uw sleutel in de kluis mag gebruiken.
UPN: User Principal Name — uw aanmeldidentiteit in Entra ID, meestal in de vorm name@organisation. Zo weet de toepassing welk kluisaccount van u is.
RFC 3161-tijdstempel / TSA: Een betrouwbare, gedateerde stempel die bewijst dat de handtekening op een bepaald moment bestond. Hij wordt via het netwerk bij een tijdstempelautoriteit (TSA) opgehaald en beschermt de handtekening, ook nadat het handtekeningcertificaat later is verlopen.
Gekwalificeerde of gratis tijdstempel: Een gratis tijdstempel (de standaardkeuze van Cachet, geleverd door DigiCert) is technisch geldig en wordt algemeen vertrouwd. Een gekwalificeerde tijdstempel komt van een eIDAS-gekwalificeerde TSA en heeft een sterkere juridische waarde. Beide bewijzen 'wanneer'; alleen de gekwalificeerde is 'gekwalificeerd'.
LTV: Long-Term Validation (langetermijnvalidatie): er wordt genoeg bewijs in de PDF opgeslagen om die jaren later nog te kunnen verifiëren, zelfs nadat de certificaten zijn verlopen of de uitgevende CA offline is gegaan.
DSS: De Document Security Store — het gedeelte van de PDF waarin het LTV-bewijs (certificaten en intrekkingsgegevens) wordt bewaard, zodat het bestand op zichzelf staat.
OCSP: Een rechtstreekse onlinecontrole die de CA vraagt: 'Is dit certificaat op dit moment nog geldig, of is het ingetrokken?' Het antwoord wordt voor LTV in de DSS opgeslagen.
CRL: Certificate Revocation List (certificaatintrekkingslijst): een gepubliceerde lijst van certificaten die de CA heeft ingetrokken. Een alternatief voor OCSP om te bewijzen dat een certificaat nog geldig was toen het werd gebruikt; wordt ook voor LTV opgeslagen.
Vertrouwenslijst van de EU (LOTL): De officiële EU-lijst van vertrouwde gekwalificeerde dienstverleners (de List of Trusted Lists). Het vertrouwen in eID (QES) gaat uiteindelijk hierop terug. Voor Azure (AES) geldt dat NIET: daar berust het vertrouwen op de interne CA van uw organisatie.
Interne CA: De eigen certificaatautoriteit van uw organisatie. In de modus azure zijn het vertrouwen en LTV verankerd in deze interne CA-keten (een PEM-bestand dat u aanlevert), niet in de vertrouwenslijst van de EU.
Vignet: De kleine zichtbare stempel die Cachet in de modi eID en Azure op de pagina tekent: de foto van de kaarthouder (alleen eID), 'Signed by:', de naam en de datum. Het is de voor mensen leesbare kant van een verder onzichtbare cryptografische handtekening. U kiest de positie door op het paginavoorbeeld te klikken; zonder klik komt het rechtsonder op de laatste pagina.
Sjabloonvalidatie: Een veiligheidscontrole — vóór het ondertekenen wordt elke invoer-PDF vergeleken met een model ('sjabloon') en moet die hetzelfde aantal pagina's en identieke paginagrootten hebben. Dat garandeert dat de handtekening bij elk bestand van de reeks op de juiste plek terechtkomt. Wanneer sommige bestanden een ANDER aantal pagina's hebben (bv. omdat gescande bijlagen zijn toegevoegd), verschijnt een keuzelijst 'eerste/laatste pagina' in de validatiestap en bovenaan de plaatsingsstap: elk van die bestanden wordt dan op zijn eigen eerste of laatste pagina ondertekend — die pagina moet nog steeds exact de paginagrootte van het sjabloon hebben, zodat de door u gekozen positie gegarandeerd past.
B-LTA-vernieuwing: B-LTA (het standaardniveau) voegt een keten van archiveringstijdstempels toe, zodat het bewijs tientallen jaren aantoonbaar blijft. 'Vernieuwing' betekent dat om de paar jaar een nieuwe archiveringstijdstempel moet worden toegevoegd voordat de bescherming van de vorige verzwakt.