Støtte for å utsteda signerte dokument utan å krevja sluttbrukarsignering

[ivarref]

Hei

Me ynskjer å kunne utsteda signerte dokument, utan at nokon sluttbrukar skal måtte signera dei. Dvs. me ynskjer å kunne senda inn ein usignert PDF og få attende ein signert PDF av vårt verksemdssertifikat, gjerne med ei framside om kva verksemd (vår) som har signert den.

Har de høve til å laga ein slik funksjonalitet?

På førehand tusen takk!

[runeflobakk]

Hei,

Vi er faktisk i ferd med å utforske hvordan vi kan støtte "virksomhetssignering" i tjenesten. Jeg skriver i anførselstegn, fordi temaet er stort, og kan for ulike aktører bety litt ulike ting. Skal det signeres med et faktisk virksomhetssertifikat (som du nevner), eller skal en undertegner signere på vegne av en virksomhet med ulike kontrollere på at det går riktig for seg, rolle-validering, etc.

Et virksomhetssertifikat (eller et hvilket som helst sertifikat man selv er eier av) er jo noe man ikke skal overdra til andre, så derfor er jeg litt nysgjerrig på hva slags løsning du ser for deg? (Dette er kjekt for oss å ha med i arbeidet videre.) Ser du for deg at dere signerer PDF-en selv med virksomhetssertifikatet, og sender signatur til oss, slik at vi kan gjøre "bundlingen" til en PAdES, og ev. vår forsegling hvor Posten går god for signaturen?

Siden du nevner egen forside også, så begynner dette uansett å bli såpass stort at jeg tror det realistisk sett ikke er å anta at vi har noe på plass som støtter dette med det aller første. Men problemstillingen med signering ved bruk av eget virksomhetssertifikat skal jeg ta med videre i arbeidet med virksomhetssignering her.

Har du utforsket noe med f.eks. PDFBox om du kan fremstille en PAdES på egen hånd? PDFBox er jo litt sånn "nære jernet" når det kommer til PDF-prosessering, men det bør være mulig å få til noe f.eks. med hjelp av litt AI kanskje? Du må i alle fall rent konseptuelt ha PDF-en, lage en signatur med virksomhetssertifikatet, og til slutt pakke dette sammen til en PAdES. Det som vel blir utfordrende å få til er at Adobe Acrobat vurderer signaturen/forseglingen av PAdESen som gyldig, da de opererer med en Trusted Identities List for å vurdere hvilke sertifikater de stoler på når de validerer PAdESer som åpnes med f.eks. Adobe Reader/Acrobat.

[eirikolberg]

Jeg kan skyte inn med litt bonus-info. Det du ber om høres litt ut som et såkalt "eSegl". Det er ikke funksjonalitet vi har i dag, men vi jobber med et nytt produkt innenfor det som populært kalles "virksomhetslommebok". Virksomhetslommebøker er pålagt å støtte å lage eSegl. Men når vi har kommet oss dit er litt vanskelig å si, blir nok ikke med det aller første.

[ivarref]

Hallo og takk for gode og grundige svar!

@eirikolberg

Ja, eSegl er nok det me er ute etter. Kva legg du i "med det aller fyrste"? Er det snakk om år eller månader? Det er greit å vita.

@runeflobakk

Et virksomhetssertifikat (eller et hvilket som helst sertifikat man selv er eier av) er jo noe man ikke skal overdra til andre, så derfor er jeg litt nysgjerrig på hva slags løsning du ser for deg? Ser du for deg at dere signerer PDF-en selv med virksomhetssertifikatet, og sender signatur til oss, slik at vi kan gjøre "bundlingen" til en PAdES, og ev. vår forsegling hvor Posten går god for signaturen?

Eg kjenner ikkje til dei ulike stega i signering/forsegling av PDF-er. Kva rolle har verksemdssertifikatet i dag? Vert det nytta til mutual TLS? Eller vert det allereie nytta til signering av PDF-er i dag?

Eg tenker også me ikkje bør overdra verksemdssertifikatet. Det du skisserer høyrest ut som den beste løysinga: me signerer lokalt med dykkar bibliotek. Då kan me verifisera at det faktisk er oss som har laga PDF-en i framtida(?). Og de gjer bundling til PAdES.

Det som vel blir utfordrende å få til er at Adobe Acrobat vurderer signaturen/forseglingen av PAdESen som gyldig, da de opererer med en Trusted Identities List for å vurdere hvilke sertifikater de stoler på når de validerer PAdESer som åpnes med f.eks. Adobe Reader/Acrobat.

Ja, dette vert sikkert utfordrande. Dette er det viktigaste for oss, ser eg for meg. Og dersom Posten kunne tilbode til dette, via biblioteket, så hadde det vore ein stor fordel for oss.

Eg såg på lista over Adobe Trusted Identities. Der ligg Buypass som medlem av denne lista for Noreg. Me har valgt Buypass som vår leverandør. Ein skulle då tru at me kan signera PDF-er som vert gyldige i Adobe Reader med vårt eksisterande verksemdssertifikat. Har de prøvd dette ut?

PDFBox

Takk for tipset! Eg har utforska lite førebels. Me har kome over biblioteket pyHanko.

[runeflobakk]

Kva rolle har verksemdssertifikatet i dag?

Det eneste virksomhetssertifikat brukes til er autentisering av klientintegrasjon i API, samt signering av dokumentpakke. Det har ingen deltagelse videre i løpet. Signering foregår av personer som bruker sin identitet (personsertifikat) hos en eID (f.eks. BankID eller Buypass).

Det kan godt hende at virksomhetssertifikater (mer spesifikt utsteder-kjeden) er i godkjenningslisten til Adobe. Jeg har ikke sett veldig spesifikt på hva som ligger der. Det kan kanskje også være spesifikke utsteder-kjeder fra Buypass, andre enn for virksomhetssertifikater, som brukes spesifikt som signeringssertifikater, jeg har ikke undersøkt noe rundt dette. Jeg vet at ved kjøp av virksomhetssertifikater, så får man to varianter fra Buypass, ett spesifikt for signering. Det er jo nærliggende å anta at dette er aktuelt for å få signerte dokumenter til å valideres av Adobe. Det er den andre varianten, authentication and encryption, som brukes i.f.m. API-kommunikasjon mot Posten signering.

Posten bruker en underleverandør som gjør liksom alt teknisk heavy lifting i.f.m. signering, så vi har først og fremst kjennskap til signerings-output på et mer konseptuelt nivå. Så jeg kjenner ikke til nøyaktig detaljene for hva som kreves for at en PAdES skal være i henhold til aktuelle standarder, og ikke minst valideres av Adobe som gyldig. Jeg vet at det er noe kvalifisert tidsstempling involvert, og jeg vil kanskje anta at i tillegg til at et sertifikat må komme fra en utsteder som er i "trusted list", må det også ha spesifikk KeyUsage (f.eks. "Digital signature" og/eller "Non-Repudiation").

Problemstillingen med å få allerede utførte signaturer fra klient, og inkludere dette i en PAdES er interessant, og noe vi både har såvidt diskutert i mulighetsrommet "virksomhetssignering". Dette er p.t. ikke noe vi har konkrete planer om å støtte, så jeg tror ikke noe realistisk sett kan komme i 2026, og heller ikke i 2027 med mindre det er noe vi bestemmer oss for å tilby støtte for. Men dette er veldig vanskelig for meg å spå.

Å benytte et bibliotek (PDFBox eller andre) for å teknisk lage en PAdES med signatur fra deres virksomhetssertifikat bør vel være ganske overkommelig. Men om det er verdt det m.t.p. nødvendig rigg rundt for å være i henhold til standarder man er forventet å følge, det vet jeg rett og slett ikke. Det blir vel en vurdering av hvilke forventninger og krav man har til de signerte dokumentene som fremstilles via dere.