Gesigneerde PDF bestanden genereren

[TripleQ]

Beste Tweakers.

Mijn vraag
Graag heb ik van jullie wat advies nodig.
Let op, ik verwacht geen code voorbeelden of kant en klare oplossingen, maar meer een duw in de juiste richting.

Wij hebben een webapplicatie geschreven in mvc.net. Hierin kan een gebruiker PDF bestanden genereren en die worden dan opgeslagen in de database en zijn eventueel te downloaden. Deze PDF bestanden genereren wij met EO.PDF.

Nu krijgen wij als eis dat de PDF bestanden digitaal moeten worden ondertekend met een SSL certificaat.

Eitje dacht ik, gezien de documentatie van EO.PDF is dit mogelijk.
https://www.essentialobjects.com/doc/pdf/advanced/sign.aspx

Je hebt enkel een certificaat nodig.

Maar dan verdwalen we een beetje in wat er hier allemaal voor nodig is.

https://www.digitalehandt.../PDF_Signing_certificaten


We kunnen bij Xolphin een zogenaamd "organistie handtekening" aanschaffen, maar dan moet je schijnbaar ook een HSM hebben. Dit is een hardwarematig iets wat je in de server moet stoppen. Waarom moet dit? En hoe strookt dit met de documentatie van EO.PDF, die zegt enkel een .pfx bestand nodig te hebben om het te ondertekenen.

Daarnaast zit ons datacenter niet in Nederland (managed hosting in het buitenland), en kunnen we ook niet zo 123 iets op de server installeren (als dit echt moet, dan is het vast te regelen met de hosting partij)

En ook qua prijzen van zo'n HSM, waarom moet dit zo enorm duur zijn? We hebben een beetje het idee dat we het veel te ingewikkeld maken en lopen nu vast.

Kan iemand misschien vertellen hoe zij een simpele webapplicatie gesigneerde PDF bestanden kunnen laten genereren?

Relevante software en hardware die ik gebruik
MVC.NET C#
EO.PDF

Wat ik al gevonden of geprobeerd heb
Informatie opgevraagd bij Xolphin Maar die komen alleen met erg dure HSM oplossingen

[Hydra]

Er zijn gewoon command line tools (voorbeeld) die gewoon je PDF aan de hand van een certificaat kunnen signen. Er zijn meerdere wegen die naar Rome leiden, je kunt prima een andere tool gebruiken om een eenmaal gegenereerde PDF digitaal te signen.

[TripleQ]

Bedankt voor je reactie!

Dat het signen op meerdere manieren kan had ik inderdaad ook al gevonden. Ik vermoed dat je gelinkte command line tool ongeveer hetzelfde doet als EO.PDF met de Sign Methode.

Maar hier heb je dus helemaal geen HSM oplossing voor nodig?

[RobIII]

TripleQ schreef op woensdag 10 juli 2019 @ 11:12:
Maar hier heb je dus helemaal geen HSM oplossing voor nodig?

Bij mijn weten heb je een HSM alleen nodig als je een groot volume doet (waarbij de HSM dan dus de processor ontlast). Maar pin me er niet op vast; het zal niet voor 't eerst zijn dat Adobe allerlei rare eisen stelt.

[Orion84]

RobIII schreef op woensdag 10 juli 2019 @ 11:15:
[...]

Bij mijn weten heb je een HSM alleen nodig als je een groot volume doet (waarbij de HSM dan dus de processor ontlast). Maar pin me er niet op vast; het zal niet voor 't eerst zijn dat Adobe allerlei rare eisen stelt.

Een HSM is vooral nodig om een bepaald beveiligingsniveau te bereiken. Het voornaamste doel van een HSM is niet zozeer de CPU ontlasten, maar vooral een tamper proof stukje hardware waar de private keys veilig in bewaard worden en waar de ondertekening / encryptie/decryptie handelingen plaatsvinden.

Dat lijkt me hier veel kans wat overkill. Volgens mij moet je gewoon met een commandline tool als openssl een key pair en Certificate Signing Request genereren met de juiste opties om het te gebruiken voor ondertekening. En dat daarna door je favoriete Certificate Authority laten ondertekenen. Daarna is het dan een kwestie van via openssl de boel converteren naar een .pfx.

Blijkbaar biedt Xolphin alleen ondersteuning voor certificaten op een HSM. Als dat niet nodig is voor de betreffende toepassing is het dus vooral een kwestie van een andere certificaat boer uitzoeken.

[ Voor 12% gewijzigd door Orion84 op 10-07-2019 11:30 ]

[Freeaqingme]

Waarom moet je de certificaten signeren? Mogelijk dat een self-signed certificaat ook al uitkomst biedt?

Overigens bestaan er ook "goedkope" HSM's. De YubiHSM doet volgens mij iets van 600 euro.

Ben trouwens wel benieuwd hoe Xolphin controleert of je het certificaat daadwerkelijk inlaadt op een HSM. Jij stuurt een CSR op, en je krijgt een x509 certificaat terug, lijkt me. Of je die daarna in je HSM laadt of op je harde schijf zet kunnen ze niet ruiken lijkt me zo.

[TripleQ]

Freeaqingme schreef op woensdag 10 juli 2019 @ 12:22:
Waarom moet je de certificaten signeren? Mogelijk dat een self-signed certificaat ook al uitkomst biedt?

....


Ben trouwens wel benieuwd hoe Xolphin controleert of je het certificaat daadwerkelijk inlaadt op een HSM. Jij stuurt een CSR op, en je krijgt een x509 certificaat terug, lijkt me. Of je die daarna in je HSM laadt of op je harde schijf zet kunnen ze niet ruiken lijkt me zo.

Een self-signed certificaat is denk ik niet 'goed' genoeg, aangezien we geen controle hebben over de computers waarop onze klanten deze pdf bestanden inladen. Dus volgens mij moet het een door adobe gecertificeerd certficaat zijn. Bijvoorbeeld van GlobalSign (die Xolphin aanbied)

En ja. Geen idee, zij kwamen met de opmerking:

"Jullie hebben zojuist een aanvraag ingediend voor PDF Handtekening HSM van GlobalSign. Om deze te kunnen gebruiken hebben jullie ook een HSM nodig. "

[ Voor 11% gewijzigd door TripleQ op 10-07-2019 15:07 ]

[Orion84]

Freeaqingme schreef op woensdag 10 juli 2019 @ 12:22:
Ben trouwens wel benieuwd hoe Xolphin controleert of je het certificaat daadwerkelijk inlaadt op een HSM. Jij stuurt een CSR op, en je krijgt een x509 certificaat terug, lijkt me. Of je die daarna in je HSM laadt of op je harde schijf zet kunnen ze niet ruiken lijkt me zo.

Het fijne weet ik er ook niet van, maar volgens mij heb je wel specifieke methodes om sleutelmateriaal en certificaten en signing requests uit te wisselen specifiek voor gebruik van een HSM.

De vraag is of Xolphin ook non-HSM certificaten voor dit doeleinde kan uitgeven (specifiek op hun site staan bij de PDF signing certificaten zo te zien alleen HSM opties), zo niet dan zal je op zoek moeten naar een andere aanbieder die dat wel doet.

[ Voor 5% gewijzigd door Orion84 op 10-07-2019 17:03 ]

[TripleQ]

Het lijkt erop dat Xolphin dat dus niet aanbied. Maar wie dan wel...?
Ik heb enkele websites bekeken van partijen die op de lijst van Adobe staan. Die dus door adobe als 'veilig' worden beschouwd,

Maar ook daar kom ik enkel HSM oplossingen tegen?

[ThomasG]

TripleQ schreef op donderdag 11 juli 2019 @ 08:22:
Het lijkt erop dat Xolphin dat dus niet aanbied. Maar wie dan wel...?
Ik heb enkele websites bekeken van partijen die op de lijst van Adobe staan. Die dus door adobe als 'veilig' worden beschouwd,

Maar ook daar kom ik enkel HSM oplossingen tegen?

De reden dat je enkel HSM oplossingen tegen komt, is omdat Adobe dat min of meer vereist.

quote: https://www.adobe.com/misc/pdfs/Adobe_CDS_CP.pdf

Subscriber key pairs must be generated in a manner that ensures that the private key is not known by anybody other than the Subscriber or a Subscriber’s authorized representative. Subscriber key pairs must be generated in a medium that prevents exportation or duplication and that meets or exceed FIPS 140-1 Level 2 certification standards.

Als je hebt hebt over FIPS 140-1 Level 2, kom je enkel uit bij HSM.

[ Voor 3% gewijzigd door ThomasG op 11-07-2019 09:31 ]