Glossário

O Cachet assina documentos PDF em lote. Pode aplicar três tipos de marca: uma assinatura criptográfica feita com o seu cartão eID belga (beid), uma assinatura criptográfica feita com o seu certificado pessoal guardado no Azure Key Vault (azure), ou uma simples imagem colada sem valor legal (image). Para os dois modos criptográficos, segue a norma europeia PAdES e, depois de assinar, volta a verificar cada ficheiro e indica-lhe exatamente o que foi alcançado. Os termos abaixo explicam o significado dessas verificações e etiquetas.

Assinatura eletrónica

• Uma forma juridicamente reconhecida de assinar um documento por via eletrónica. Ao contrário de uma assinatura manuscrita digitalizada, uma assinatura eletrónica criptográfica prova também QUEM assinou e que o ficheiro não foi alterado desde então.

SES / AES / QES

• Os três níveis eIDAS, do mais fraco ao mais forte. A SES (simples) é apenas «uma marca eletrónica». A AES (avançada) está ligada de forma única ao signatário e deteta qualquer alteração posterior. A QES (qualificada) é uma AES feita com um certificado qualificado e um dispositivo seguro, e é juridicamente equivalente a uma assinatura manuscrita. eID = QES, Azure = AES, image = nenhuma.

eIDAS

• O regulamento da UE que define as assinaturas eletrónicas, os serviços de confiança e os níveis SES/AES/QES, para que uma assinatura feita num país da UE seja reconhecida nos restantes.

PAdES

• «PDF Advanced Electronic Signatures» (assinaturas eletrónicas avançadas em PDF): a norma ETSI (EN 319 142-1) para incorporar assinaturas em ficheiros PDF. O Cachet escreve assinaturas PAdES para que qualquer leitor de PDF conforme com a norma (p. ex. Adobe) as possa verificar.

CMS

• O formato de contentor de baixo nível (sintaxe de mensagens criptográficas) que contém efetivamente os bytes da assinatura, os certificados e os selos temporais dentro do PDF. O PAdES é um perfil específico para PDF construído sobre o CMS.

Resumo (digest) / hash

• Uma impressão digital curta e de comprimento fixo calculada a partir do documento. Basta alterar um byte para a impressão digital mudar por completo. A assinatura é feita sobre esta impressão digital, razão pela qual apenas o resumo (digest), e nunca o ficheiro completo, é enviado para o Azure.

Certificado

• Um cartão de identidade eletrónico para uma chave criptográfica: associa uma chave pública a uma pessoa ou serviço e é, ele próprio, assinado por uma autoridade de certificação. O seu certificado prova que a assinatura veio realmente de si.

CA / cadeia de certificados

• Uma autoridade de certificação (CA) emite certificados. Verificar uma assinatura significa seguir a cadeia desde o seu certificado, passando por uma ou mais CA, até uma raiz de confiança. Se toda a cadeia for válida, a assinatura é considerada fidedigna.

eID / certificado de não repúdio

• Um cartão eID belga contém dois certificados; o Cachet usa o de «não repúdio», reservado a assinaturas juridicamente vinculativas (por oposição ao certificado de «autenticação», usado apenas para iniciar sessão).

RRN

• O número de registo nacional belga. É incorporado em cada assinatura eID. Qualquer pessoa que receba um PDF assinado pode lê-lo, pelo que deve partilhar os ficheiros assinados com cuidado.

PKCS#11

• A interface de software normalizada que o Cachet usa para comunicar com o cartão eID através do middleware do leitor de cartões. Permite à aplicação usar a chave do cartão sem que esta alguma vez saia do cartão.

PIN

• O código secreto que desbloqueia a chave de assinatura do seu cartão eID. O cartão nunca revela a chave; só assina quando o PIN está correto. No modo beid, o Cachet pede-o uma vez POR DOCUMENTO.

Azure Key Vault

• Um serviço na nuvem da Microsoft que guarda o seu certificado e a sua chave pessoais de modo que a chave não possa ser exportada. A assinatura acontece dentro do cofre: apenas o resumo (digest) do documento é enviado para lá, e o resultado assinado é devolvido.

Microsoft Entra ID

• O serviço de identidade e início de sessão da Microsoft (anteriormente Azure Active Directory). No modo azure, inicia sessão uma vez POR LOTE para provar que pode usar a sua chave no cofre.

UPN

• Nome principal de utilizador (User Principal Name): a sua identidade de início de sessão no Entra ID, normalmente na forma name@organisation. É assim que a aplicação sabe qual é a sua conta no cofre.

Selo temporal RFC 3161 / TSA

• Um carimbo datado e fiável que prova que a assinatura existia num dado momento. É emitido por uma autoridade de selos temporais (TSA) através da rede e protege a assinatura mesmo depois de o certificado de assinatura expirar.

Selo temporal qualificado vs. gratuito

• Um selo temporal gratuito (a predefinição do Cachet, da DigiCert) é tecnicamente válido e amplamente reconhecido. Um selo temporal qualificado provém de uma TSA qualificada ao abrigo do eIDAS e tem maior peso jurídico. Ambos provam «quando»; só o qualificado é «qualificado».

LTV

• Validação de longo prazo — o PDF guarda em si provas suficientes para poder ainda ser verificado anos mais tarde, mesmo depois de os certificados terem expirado ou de a CA emissora ter deixado de estar disponível.

DSS

• O armazém de segurança do documento (Document Security Store): a área dentro do PDF onde as provas LTV (certificados e dados de revogação) são guardadas para que o ficheiro seja autossuficiente.

OCSP

• Uma verificação online em tempo real que pergunta à CA «este certificado ainda é válido neste momento ou foi revogado?». A resposta é guardada no DSS para a LTV.

CRL

• Lista de revogação de certificados — uma lista publicada dos certificados que a CA anulou. Uma alternativa ao OCSP para provar que um certificado ainda era válido quando foi usado; também guardada para a LTV.

Lista de confiança da UE (LOTL)

• A lista oficial da UE de prestadores qualificados de serviços de confiança (a lista das listas de confiança). A confiança da eID (QES) remonta, em última análise, a esta lista. A do Azure (AES) NÃO: assenta antes na CA interna da sua organização.

CA interna

• A autoridade de certificação da sua própria organização. No modo azure, a confiança e a LTV assentam nesta cadeia da CA interna (um ficheiro PEM fornecido por si), e não na lista de confiança da UE.

Vinheta

• O pequeno carimbo visível que o Cachet desenha na página nos modos eID e Azure: a fotografia do titular do cartão (apenas eID), «Signed by:» (assinado por), o nome e a data. É a face legível de uma assinatura criptográfica que, de outro modo, seria invisível. A posição é escolhida clicando na pré-visualização da página; sem clique, a vinheta fica em baixo à direita na última página.

Validação face ao modelo

• Uma verificação de segurança — antes de assinar, cada PDF de entrada é comparado com um documento de referência (o «modelo») e tem de ter o mesmo número de páginas e dimensões de página idênticas. Isto garante que a assinatura fica no sítio certo em todos os ficheiros do lote. Quando alguns ficheiros têm um número de páginas DIFERENTE (p. ex. foram acrescentados anexos digitalizados), aparece um seletor de primeira/última página no passo de validação e no topo do passo de posicionamento: cada um desses ficheiros é então assinado na sua própria primeira ou última página — essa página tem ainda de ter exatamente as dimensões de página do modelo, pelo que a posição que escolher cabe garantidamente nela.

Renovação B-LTA

• O B-LTA (o nível predefinido) acrescenta uma cadeia de selos temporais de arquivo para que as provas se mantenham demonstráveis durante décadas. «Renovação» significa que, de poucos em poucos anos, tem de ser acrescentado um novo selo temporal de arquivo antes que a proteção do anterior enfraqueça.