Het lijkt erop dat het toevoegen van een digitale handtekening aan een PDF alleen de grootte van de handtekeningafbeelding zelf zou moeten toevoegen, misschien 20 tot 50 kilobytes voor een typisch PNG-bestand. De feitelijke toename van de bestandsgrootte is vaak veel groter, soms enkele honderden kilobytes of zelfs megabytes voor een document dat voorheen een bescheiden bestandsgrootte vertoonde. Deze discrepantie brengt gebruikers in verwarring die verwachten dat de bestandsgrootte ongeveer even groot zal zijn als de toegevoegde handtekeninggegevens. De verklaring ligt in de manier waarop digitale handtekeningen zijn ingebed in een PDF, de cryptografische infrastructuur die ze nodig hebben, en de structurele veranderingen die het PDF-formaat ondergaat bij de overgang van een niet-ondertekend naar een ondertekend document.
Wat een digitale handtekening aan een PDF toevoegt naast de zichtbare handtekeningafbeelding
Een digitale handtekening in een PDF is niet zomaar een afbeelding die op een pagina wordt geplakt. Het is een cryptografische constructie die verschillende componenten omvat die verder gaan dan het zichtbare uiterlijk van de handtekening. De kern van de handtekening is een ondertekende hash van de documentinhoud, gemaakt met behulp van een privésleutel en verifieerbaar met behulp van het bijbehorende openbare sleutelcertificaat. Deze cryptografische gegevens, de hash, de handtekeningwaarde en de certificaatketen, nemen doorgaans tussen de 2 en 10 kilobytes in beslag, afhankelijk van het certificaattype en het gebruikte ondertekeningsalgoritme. De zichtbare handtekeningafbeelding, als deze wordt gebruikt, voegt de bestandsgrootte van de afbeelding toe aan de cryptografische gegevens.
Naast de handtekeninggegevens zelf vereist de PDF-specificatie een handtekeningwoordenboek waarin de kenmerken van de handtekening worden beschreven: het ondertekeningstijdstip, de reden voor ondertekening, de locatie, het filter en subfilter dat de handtekeningbehandelaar identificeert, en verwijzingen naar de ondertekende gegevensbereiken in het bestand. Dit woordenboek plus de bijbehorende metadata kunnen nog enkele kilobytes toevoegen. Voor de meeste handtekeningen moet de totale hoeveelheid gegevens die rechtstreeks aan de handtekening kan worden toegeschreven, tussen de 30 en 100 kilobyte liggen. De toename buiten dit bereik is het gevolg van structurele factoren in de manier waarop de PDF de handtekeninggegevens absorbeert. In de onderstaande tabel worden de componenten opgesomd die bijdragen aan de groei van de bestandsgrootte.
| Handtekeningcomponent | Typisch maatbereik | Wat het bevat |
|---|---|---|
| Cryptografische handtekeninggegevens | 2-10 KB | Ondertekende hash, handtekeningwaarde, tijdstempeltoken |
| Certificaatketen | 3-15 KB | Ondertekencertificaat, tussenliggende CA-certificaten, basiscertificaat |
| Intrekkingsgegevens (CRL/OCSP) | 5-30 KB | Bewijs dat certificaten geldig waren op het moment van ondertekening |
| Kenmerkend woordenboek en metadata | 2-5 KB | Ondertekeningstijd, reden, locatie, filter-ID's |
| Zichtbare handtekeningafbeelding | 10-100 KB | PNG of JPEG van de handgeschreven handtekening of zegel |
| Structurele overhead (incrementele besparing) | 30-80 KB | Bijgewerkte kruisverwijzingstabel, toegevoegde objecten, bytebereikdescriptors |
Hoe de PDF-bestandsstructuur verandert wanneer een handtekening wordt toegevoegd
Een PDF-bestand slaat de inhoud op als een verzameling genummerde objecten die met elkaar zijn verbonden door een kruisverwijzingstabel die objectnummers toewijst aan byte-offsets binnen het bestand. Wanneer een digitale handtekening wordt toegevoegd, moet de PDF zodanig worden gewijzigd dat de handtekening niet ongeldig wordt verklaard ten opzichte van de bestaande inhoud. Dit wordt bereikt door incrementeel opslaan, waarbij de oorspronkelijke bestandsinhoud onaangeroerd blijft en nieuwe objecten aan het einde van het bestand worden toegevoegd. De nieuwe objecten omvatten het handtekeningenwoordenboek, de ondertekende gegevens, de bijgewerkte kruisverwijzingstabel en alle objecten die zijn gewijzigd als onderdeel van het ondertekeningsproces.
Het incrementele opslagmechanisme zorgt ervoor dat de handtekening kan worden geverifieerd door de ondertekende bytebereiken te vergelijken met de originele inhoud. Incrementeel opslaan is echter inefficiënt in het gebruik van bestandsruimte. Objecten waarnaar bij een volledige herschrijving compact kan worden verwezen, moeten volledig worden gespecificeerd in de bijgevoegde sectie. De kruisverwijzingstabel groeit met elke incrementele opslag. De eerste handtekening voegt doorgaans 30 tot 80 kilobyte aan structurele overhead toe bovenop de cryptografische gegevens. Bij volgende handtekeningen worden soortgelijke bedragen toegevoegd. Een document dat door vier partijen is ondertekend, kan honderden kilobytes aan handtekeninggerelateerde structurele gegevens bevatten.
De rol van certificaatketens en het controleren van gegevens op intrekking
Een digitale handtekening omvat vaak de volledige certificaatketen die nodig is om de identiteit van de ondertekenaar te verifiëren: het certificaat van de ondertekenaar, de uitgevende certificaten van de tussenliggende certificeringsinstantie en soms het basiscertificaat. Elk certificaat in de keten kan 1 tot 3 kilobyte groot zijn. Een keten van drie certificaten voegt 3 tot 9 kilobytes toe. Sommige ondertekeningstools bevatten ook certificaatintrekkingslijsten (CRL's) of OCSP-reacties die bewijzen dat de certificaten geldig waren op het moment van ondertekening. Deze gegevensstructuren die op intrekking controleren, kunnen verrassend groot zijn en soms groter zijn dan de omvang van de certificaten zelf. Een volledig OCSP-antwoord met meerdere statusvermeldingen kan 10 tot 20 kilobytes of meer toevoegen.
De beslissing om intrekkingsgegevens op te nemen wordt genomen door de ondertekensoftware en wordt beïnvloed door het gebruikte handtekeningprofiel. Langetermijnvalidatiehandtekeningen (LTV-handtekeningen), ontworpen om jaren nadat de certificaten verlopen, verifieerbaar te zijn, bevatten meer intrekkingsgegevens dan basishandtekeningen die zijn ontworpen voor onmiddellijke verificatie. De gebruiker is zich er mogelijk niet van bewust dat zijn ondertekeningstool intrekkingsgegevens insluit, omdat de optie vaak verborgen is in geavanceerde instellingen of standaard is ingeschakeld. De resulterende toename van de bestandsgrootte kan verwarrend zijn omdat de gebruiker een kleine handtekeningafbeelding ziet en een overeenkomstig kleine verandering in de bestandsgrootte verwacht.
Waarom verschillende PDF-tools verschillende bestandsgroottevergrotingen veroorzaken
Verschillende PDF-ondertekeningstools implementeren het ondertekeningsproces met verschillende niveaus van structurele efficiëntie. Eén tool kan de PDF volledig herschrijven als onderdeel van het ondertekenproces, waarbij de bestandsstructuur wordt gecomprimeerd en verweesde gegevens uit eerdere bewerkingen worden verwijderd, zodat de toename van de netto bestandsgrootte ten opzichte van de handtekening wordt gecompenseerd door structurele opschoning. Een ander hulpmiddel kan een incrementele opslag uitvoeren waarbij alle bestaande inhoud ongewijzigd blijft, waardoor de volledige structurele overhead wordt toegevoegd aan de bestaande bestandsgrootte. Dezelfde handtekening die door twee verschillende tools op hetzelfde document wordt toegepast, kan uitvoerbestanden opleveren die honderden kilobytes in grootte verschillen.
De tool Sign PDF van WukongPDF past digitale handtekeningen toe terwijl de bestandsstructuur efficiënt wordt beheerd. De handtekening voegt de noodzakelijke cryptografische gegevens toe zonder onnodige structurele duplicatie. Voor documenten die vóór ondertekening zwaar zijn bewerkt, wordt de cumulatieve bestandsgrootte geminimaliseerd door een volledige herschrijving uit te voeren vóór ondertekening door de functie Opslaan als te gebruiken om een schone kopie te maken en die kopie vervolgens te ondertekenen. De combinatie van een schoon basisbestand en een efficiënte ondertekentool levert de kleinst mogelijke ondertekende PDF op.
Bestandsgrootte beheren wanneer meerdere handtekeningen vereist zijn
Documenten waarvoor meerdere handtekeningen nodig zijn, vormen de grootste uitdaging op het gebied van de bestandsgrootte, omdat elke handtekening zijn eigen cryptografische gegevens en structurele overhead toevoegt via een incrementele opslag. Een contract ondertekend door een koper, een verkoper en twee getuigen bevat vier lagen met handtekeninggegevens. Als elke handtekening 50 tot 100 kilobytes toevoegt, bedraagt de totale handtekeninggerelateerde toename 200 tot 400 kilobytes, wat volkomen redelijk is gezien de geboden juridische zekerheid. Er ontstaan problemen wanneer elke handtekening enkele honderden kilobytes toevoegt als gevolg van ingebedde intrekkingsgegevens en uitgebreide certificaatketens, waardoor de totale toename in het megabytebereik terechtkomt.
Om de bestandsgrootte voor documenten met meerdere handtekeningen te beheren, gebruikt u een ondertekeningsworkflow die de structurele overhead minimaliseert. Onderteken het document met tools die compacte handtekeningen produceren. Vermijd tussen handtekeningen onnodig bewerken en opslaan, waardoor tussenliggende incrementele opslaglagen zouden worden toegevoegd. Als de bestandsgrootte problematisch wordt, gebruik dan een PDF-optimalisatietool nadat alle handtekeningen zijn voltooid om de bestandsstructuur te comprimeren. De handtekeningen blijven geldig door middel van optimalisatie zolang de ondertekende bytebereiken niet worden gewijzigd. De digitale handtekeninggegevens blijven behouden terwijl de structurele overhead van meerdere incrementele opslagbewerkingen wordt opgeruimd, waardoor een ondertekend document ontstaat dat zowel rechtsgeldig als efficiënt van formaat is.
Als u begrijpt wat bijdraagt aan de groei van de bestandsgrootte na ondertekening, kunt u weloverwogen beslissingen nemen over uw ondertekeningsconfiguratie. Voor documenten waarbij de bestandsgrootte van belang is, zoals documenten die per e-mail worden gedistribueerd of worden geüpload naar portals met een beperkte grootte, kan het kiezen van een ondertekeningsprofiel dat onnodige intrekkingsgegevens weglaat en een minimale certificaatketen gebruikt, honderden kilobytes per handtekening besparen. Voor documenten waarbij validatie op lange termijn belangrijker is dan de bestandsgrootte, zoals contracten die jaren later kunnen worden aangevochten, is de extra omvang van intrekkingsgegevens een waardevolle investering in de toekomstige juridische verdedigbaarheid van het document.