Solución de firma de pdf (servidor) PDF_SIGN v Versión 1.6

Transcripción

1 Solución de firma de pdf (servidor) PDF_SIGN v Versión 1.6 1

2 Hoja de Control Título Documento de Referencia Responsable Solución de firma de PDF (servidor) PDF_SIGN v UASA Versión 1.6 Fecha Versión 14/05/2012 Registro de Cambios Versión Causa del Cambio Responsable del Cambio Fecha del Cambio 1.0 Versión inicial del documento 1.5 Modificaciones para la versión de la librería 1.6 Reestructurar y completar variables configuración. UASA 04/07/2011 UASA 14/05/2012 Página 2 de 15

3 Índice 1 INTRODUCCIÓN AUDIENCIA OBJETIVO CONOCIMIENTOS PREVIOS DESCRIPCIÓN INSTALACIÓN Y CONFIGURACIÓN INSTALACIÓN CONFIGURACIÓN Firma con ASF Firma con Itext Keystore TSA Server (Servidor de timestamping) Proxy para TSA Server USO FIRMA Paso 1: PdfSigner Paso 2: Cambiar apariencia de la firma Paso 3: Firma en varias páginas Paso 4: Firmar EJEMPLO DE USO EJEMPLO GENERAL DE FIRMA CON ASF EJEMPLO GENERAL DE FIRMA CON ITEXT EJEMPLO GENERAL CON SELLO DE TIEMPO EJEMPLO INVOCANDO CON SELLO DE TIEMPO Y FIRMA INVISIBLE Página 3 de 15

4 Índice 1 INTRODUCCIÓN En algunos proyectos nos podemos encontrar la necesidad de firma digital de ficheros en formato pdf desde el servidor. Un ejemplo de esta firma es cuando la Comunidad de Madrid firma documentos con un sello de órgano (certificado digital de firma de documentos) que devuelve al ciudadano. Para cumplir con esta necesidad dentro del framework 2 se ha creado la librería pdf_sign que permite firmar documentos PDF. Actualmente en ICM existe la plataforma ASF 5 que es la encarga de efectuar todas las operaciones relacionadas con los certificados digitales. La librería pdf_sign que ahora publicamos contiene los siguientes aspectos: Firma digital de pdf con ASF 5 (incluyendo tanto la firma visible como la invisible) Firma digital de pfs con sellado de tiempo con itext. Para incluir el sello de tiempo es necesario disponer de una TSA (Timestamping Server) que normalmente es un tercero que certifica la hora en la que se firma mediante un sello de tiempo. A este tercero se accede a través de una URL que será definida en el fichero de configuración. Además puede que requiera de una autenticación que también irá en el fichero de configuración. Para las pruebas se ha utilizado la TSA aunque actualmente se están realizando pruebas con otras TSAs. A continuación se explicará más detalladamente como incorporar las funcionalidades indicadas en nuestra aplicación. 1.1 AUDIENCIA OBJETIVO Este documento está dirigido a cualquier persona del equipo de desarrollo de un proyecto software que requiera de la implementación de firma digital de pdfs en su aplicación. 1.2 CONOCIMIENTOS PREVIOS Página 4 de 15

5 Para un completo entendimiento del documento, el lector deberá tener conocimientos previos sobre las siguientes tecnologías: Java Certificados digitales 2 DESCRIPCIÓN La librería pdf_sign se utilizara para la firma digital de documentos PDF en aplicaciones desarrolladas con el framework 2 de ICM. 3 INSTALACIÓN Y CONFIGURACIÓN 3.1 INSTALACIÓN Hay que descargarse la librería pdf_sign_2_5_2.jar y sus dependencias e incluirlas en el directorio WEB-INF/lib de la aplicación. Las dependencias de esta librería se pueden descargar directamente de la web de soja en el fichero pdf_sign_2_5_2.zip. Necesitaremos un certificado X509 en formato PKCS#12 instalado en un keystore, con el que firmaremos los documentos (sólo si se utiliza la versión itext [desaconsejada por normativa]). En soja está disponible un keystore para pruebas (solo podrá ser usado en el entorno de desarrollo). 3.2 CONFIGURACIÓN Existen dos opciones para la implementación. Por defecto, se utilizará la implementacion utilizando la plataforma ASF. La implementación utilizando itext está desaconsejada por normativa. VARIABLE DESCRIPCION OBLIGATORIA VALOR POR DEFECTO pdf.sign.implementacion Permite cambiar la implementación que se usa para la firma a través del fichero de configuración. Valores posibles pdf.sign.impl.pdfsigneras FImpl o pdf.sign.impl.pdfsigneritex timpl Tabla: Variables para selección de implementación pdf.sign.impl.pdfsignerasfimpl Página 5 de 15

6 3.2.1 Firma con ASF. Estas variables solo serán necesarias si se elige la implementación de pdf_sign basada en ASF. VARIABLE DESCRIPCION OBLIGATORIA EJEMPLO pdf.sign.invokingapp ID de la aplicación en ASF. EJPP_WEB pdf.sign.alias Alias de ASF del certificado que firma. 110p pdf.sign.operacion.asf Operación de firma de ASF (para el ID de la aplicación). FIRMA_PDF pdf.sign.registerrevocation Registro de no repudio en ASF. false pdf.sign.ignorecaches Ignorar cachés de verificación de certificados de ASF. false pdf.sign.tsa Inclusión de sello de tiempo en la firma. TSA asociada en la aoperación de firma de ASF. false Tabla: Variables para la firma con ASF Página 6 de 15

7 3.2.2 Firma con Itext. Estas variables solo serán necesarias si se elige la implementación de pdf_sign basada en IText. Esta solución se debe utilizar sólo en casos excepcionales supervisados por Arquitectua. La solución natural debería ser la descrita en el apartado anterior Keystore. VARIABLE DESCRIPCION OBLIGATORIA EJEMPLO pdf.sign.rutakeystore Ruta física en la que se encuentra el certificado con el que queremos firmar.../test/resource/2w.p12 pdf.sign.clavekeystore Clave del almacen de certificados encriptada con la semilla de BD. CA655C9BB562C D666CFD99B pdf.sign.alias Alias con el que vamos a firmar el PDF. Certificado importado pdf.sign.clavealias Clave del alias que vamos a usar encriptada con la semilla de BD (usualmente coincidirá con la clave del keystore) CA655C9BB562C D666CFD99B Tabla: Variables para del keystore para la firma con Itext Página 7 de 15

8 TSA Server (Servidor de timestamping). VARIABLE DESCRIPCION OBLIGATORIA EJEMPLO pdf.sign.tsa En el caso de utilizarlo incluiría el sello en todas las operaciones de firma aunque se haya indicado que no. true pdf.sign.tsa.url. indica la url de la entidad de certificación de tiempo donde se encuentra en Servicio de TSA. Obligatorio en caso de usar una TSA. pdf.sign.tsa.login login con el que identificarse dentro de la TSA para utilizar sus servicios. Este parámetro no es obligatorio, ya que no en todos los casos es necesaria la autorización a través de login logintsa pdf.sign.tsa.password Clave asociada al login anterior encriptada con la semilla de BD. CA655C9BB562C D666CFD99B pdf.sign.tsa.keystore almacén que contiene el certificado para conectarse a la TSA con certificado y https../test/resource/certificadotsa.pfx pdf.sign.tsa.keystoretype Tipo de almacén que contiene el pkcs12 Página 8 de 15

9 certificado anterior. pdf.sign.tsa.keystorepassword clave del almacén encriptada con la semilla de BD CA655C9BB562C D666CFD99B pdf.sign.tsa.keystore.alias alias del certificado dentro del almacén, en caso de sólo contener uno, no es necesario indicarla Certificado TSA pdf.sign.tsa.truststore almacén de entidades de confianza, en el que se debe incluir la clave pública del servidor de la TSA../test/resource/trustTSA.keystore pdf.sign.tsa.truststoretype tipo del almacén anterior jks pdf.sign.tsa.truststorepassword clave del almacén encriptada con la semilla de BD CA655C9BB562C D666CFD99B Tabla: Variables para TSA Server (Servidor de timestamping) ATENCION Para pruebas utilizar pdf.sign.tsa y pdf.sign.tsa.url pero sin login y password ni opciones de keystore. Página 9 de 15

10 Proxy para TSA Server. VARIABLE DESCRIPCIÓN OBLIGATORIA EJEMPLO pdf.sign.proxy boolean que indica si es necesario proxy para acceder al TSA (Timestamping Server). true pdf.sign.proxy.host Host donde se encuentra el proxy para salir a internet. Este valor sólo será obligatorio en caso de ser necesario proxy. Obligatorio en caso de usar proxy proxycm.madrid.org pdf.sign.proxy.port Puerto dentro del host por el que se puede acceder al proxy. Este valor sólo será obligatorio en caso de ser necesario proxy 80 pdf.sign.proxy.login Login para acceder al proxy. Sólo obligatorio en caso de ser necesario. loginproxy pdf.sign.proxy.password password asociada al login del proxy. Sólo obligatorio en caso de ser necesario. Encriptada con la semilla de BD CA655C9BB562C D666CFD99B Tabla: Variables para proxy para TSA Server Página 10 de 15

11 4 USO 4.1 FIRMA Paso 1: PdfSigner PdfSigner es la clase principal en el proceso de firma y se encargará de firmar el documento según los parámetros indicados en el fichero de configuración. PdfSigner pdfsigner = new PdfSigner(Config.getConfig()); Listado 1: Paso 2: Cambiar apariencia de la firma Para cambiar la apariencia de la firma, se obtiene la referencia al bean que la define, se le da forma dentro del fichero PDF y se sitúa la firma en la posición donde queremos que aparezca o incluso la haremos invisible llegado el caso.... if (visible) { PdfSignAppearance psa = pdfsigner.getpdfsignappearance(); psa.setx(200); psa.sety(390); psa.setheight(430); psa.setwidth(400); } else { PdfSignAppearance psa = pdfsigner.getpdfsignappearance(); }... psa.setvisible(false); Listado 2: Página 11 de 15

12 4.1.3 Paso 3: Firma en varias páginas En el caso en el que se quiera firmar en varias páginas, debe indicarse la página de destino antes de efectuar la firma: psa.setpage(<nº de página>); Listado 3: Paso 4: Firmar Por último, basta con indicar qué fichero se desea firmar y donde se ubicará el fichero ya firmado. pdfsigner.signpdf(pdf) Listado 4: Página 12 de 15

13 4.2 EJEMPLO DE USO Ejemplo general de firma con ASF import pdf.sign.pdfsigner; import pdf.sign.bean.pdfsignappearance;... PdfSigner pdfsigner = new PdfSigner(Config.getConfig()); //Llamada a realizar desde una aplicacion con Framework 2.0 if (visible){ PdfSignAppearance psa = pdfsigner.getpdfsignappearance(); psa.setx(200); psa.sety(390); psa.setheight(430); psa.setwidth(400); } else { PdfSignAppearance psa = pdfsigner.getpdfsignappearance(); } psa.setvisible(false); pdfsigner.signpdf(pdf, resultado); Listado 6: Ejemplo general de firma con itext import pdf.sign.pdfsigner; import pdf.sign.bean.pdfsignappearance;... PdfSigner demo = new PdfSigner(Config.getConfig()); //Llamada a realizar desde una aplicacion con Framework 2.0 try { PdfSignAppearance psa = demo.getpdfsignappearance(); if (!visible) { psa.setvisible(false); Página 13 de 15

14 } else { psa.setfieldname("firma1"); } demo.signpdf(pdf, resultado); } catch (Exception e) { Trazas.imprimeErrorExtendido(e); Trazas.impLog(e.getMessage()); throw new Exception(e.getMessage()); } Listado 7: Ejemplo general con sello de tiempo import pdf.sign.pdfsigner; import pdf.sign.bean.pdfsignappearance;... // Configuración de la firma PdfSigner demo = new PdfSigner(Config.getConfig()); // Bean con las propiedades PdfSignAppearance psa = pdfsigner.getpdfsignappearance(); // Colocación de la firma psa.setx(<columna>); psa.sety(<fila>); psa.setheight(<alto>); psa.setwidth(<ancho>); // Firma pdfsigner.signpdf( new FileInputStream(<ruta del documento a firmar>), new FileOutputStream(<ruta destino con el documento firmado>), true); Listado 8: Ejemplo invocando con sello de tiempo y firma invisible import pdf.sign.pdfsigner; import pdf.sign.bean.pdfsignappearance;... // Configuración de la firma Página 14 de 15

15 PdfSigner demo = new PdfSigner(Config.getConfig()); // Bean con las propiedades PdfSignAppearance psa = demo.getpdfsignappearance(); // Establecer firma invisible psa.setvisible(false); // Firma demo.signpdf(<ruta del documento a firmar>, <ruta destino con el documento firmado>,true); Listado 9: Página 15 de 15