5.2 電子簽名的類型

5.2.1　基本電子簽名（BES）

基本電子簽名（BES）是指包括了簽名的基本數據信息的電子簽名，這些基本數據信息主要包括以下3項：

a) 簽名策略。簽名策略定義了在電子簽名產生和驗證過程中的技術和程序要求，目的是為了滿足特定場合的需要。電子簽名的參與者應識別其策略，并滿足策略的要求；

b) 數字簽名。數字簽名是簽名者對以下各項信息的綜合數據進行的數字簽名，信息主要包括：被簽名數據的雜湊值；簽名策略標識符；其他簽名屬性；

c) 簽名者提供的其他簽名屬性。其他簽名屬性是簽名者為了滿足簽名策略要求或者標準要求而提供的其他屬性信息。
BES的基本組成結構如圖1所示：

5.2.2　驗證數據

根據電子簽名所使用的不同策略，簽名者應收集不同的驗證數據添加到電子簽名中，驗證者同樣也需要收集與之相聯系的驗證信息。這些驗證數據類型包括：

a) 數字證書；

b) 證書撤銷信息，如證書撤銷列表或在線查詢的證書狀態信息等；

c) 時間戳或其他可以用來證明事件發生時間的數據，但作為最小要求，簽名者和驗證者獲得的時間戳必須能夠維持完整性，對其的任何修改都可以被檢測出來，使得各個參與方都能獲得電子簽名的準確產生時間。

根據電子簽名中添加的驗證信息的類型和數量，電子簽名的安全強度也可以得到不同程度的加強，根據這些驗證數據，電子簽名可以分為多種類型。

5.2.3　帶驗證數據的電子簽名

5.2.3.1　分類總述

電子簽名可以有以下5種格式類型：

a) 基本電子簽名（BES），這類電子簽名主要包含數字簽名和其他簽名者提供的基本信息；

b) 帶時間戳的電子簽名（ES-T），這類電子簽名在基本電子簽名的基礎上添加了時間戳，其目的是保證一定程度的長時間的有效性；

c) 帶完全驗證數據的電子簽名（ES-C），這類電子簽名在ES-T的基礎上，添加了一套完整的用來驗證電子簽名的數據，例如證書撤銷參考信息等等。但其中可能包括了一些參考信息，如一個網址，需要驗證者去該網址獲得具體數據；

d) 帶擴展的驗證數據的電子簽名（ES-X），這類電子簽名在ES-C的基礎上，添加了一些額外數據，以適應一些特殊情況；

e) 帶歸檔時間戳的電子簽名（ES-A），這類電子簽名是在上述各種電子簽名基礎上形成的，主要是為長期歸檔保存電子簽名，所以對整個電子簽名添加時間戳，以保證長期安全性。

簽名者在提交電子簽名時，至少應給出BES格式的簽名，在某些情況下可以決定是否提供ES-T格式的電子簽名，在某些極端情況下可以提供ES-C格式的電子簽名。如果簽名者沒有提供ES-T，則驗證者可在收到電子簽名時立即自行創建一個ES-T，或者保存一個接收簽名時間的安全記錄。驗證者的這二種方法都可以為驗證時間提供一個獨立的證據，而驗證時間實際上應接近電子簽名的創建時間，使得其可以有足夠證據來防止對簽名的否認。如果簽名者沒有提供ES-C，驗證者可在BES基礎上自行創建一個ES-C，前提是其可以獲得相應的驗證數據。除此三種外，ES-X和ES-A均為可選支持格式。

5.2.3.2　帶時間戳的電子簽名（ES-T）

ES-T中的時間戳所記錄的時間應盡可能的接近BES的實際創建時間，以提供最大程度的安全保護。

如果簽名者沒有提供ES-T，則驗證者可在收到電子簽名時立即自行創建一個ES-T。

ES-T的基本組成結構如圖2所示：

需要注意，當某些驗證數據的安全性受到威脅的時候，數字簽名上的時間戳或者一個安全的時間記錄都可以幫助保護簽名的有效性，只要這些安全性威脅是在簽名產生以后發生的。因為時間戳和安全時間記錄可以有效證明一份電子簽名是在這些安全威脅產生前創建的，所以這份電子簽名就仍然可以保持其有效性。

5.2.3.3　帶完全驗證數據的電子簽名（ES-C）

ES-C格式的電子簽名不容易與BES同時被創建，因為簽名者需要去收集相關的證書信息和證書撤銷信息。如果發現一份證書已經被暫停使用，則必須等待到證書暫停期結束。從BES被創建到ES-C被創建可能需要等待一段足夠長的時間，簽名者只有滿足上述這種情況才能創建一個完整的ES-C。這樣帶來的好處是驗證者可以獲得完整的用來驗證BES的的數據支持。

如果簽名者沒有提供ES-C，驗證者可在BES基礎上自行創建一個ES-C，前提是其可以獲得相應的驗證數據。
ES-C的基本組成結構如圖3所示：

這里所提到的證書和證書撤銷參考信息，是指驗證者可以根據這些參考信息，通過指定的途徑獲得最終需要的證書和證書撤銷信息。

如果在實際應用中，不需要對數字簽名加蓋時間戳，則可以使用下面圖4的ES-C1組成結構。但是，這種情況下應保存驗證時間的一個安全記錄。

5.2.3.4　帶擴展驗證數據的電子簽名（ES-X）

5.2.3.3所描述的ES-C可以擴展成一種新的ES-X格式，其目的是為了適應以下需求：

1) 簽名者的證書；

2) 構成CA證書鏈所需要的CA證書；

3) 需要的具體證書撤銷信息。

b) 如果CA證書鏈中的任意一個CA密鑰的安全性可能受到威脅，就有必要添加一個額外的時間戳，統稱為擴展時間戳驗證數據。這種情況可以使用下面二種格式：

1) 在ES-C的基礎上，為整個ES-C產生一個時間戳，并添加到電子簽名中。這種擴展格式稱為ES-X1格式（圖6）；

2) 在ES-C的基礎上，僅僅對ES-C添加的“證書和證書撤銷參考信息”產生時間戳，并添加到電子簽名中。這種擴展格式稱為ES-X2格式（圖7）。

c) 如果以上二種情況同時發生，則需要同時在電子簽名中添加二類數據。根據b)中的不同格式，可以產生ES-X3格式（圖8）和ES-X4格式（圖9），統稱為擴展時間戳長驗證數據。

本標準定義的各種ES-X格式僅為可選格式，是否對其支持也是可選的。

ES-X0的組成結構如圖5所示：

5.2.3.5　帶歸檔時間戳的電子簽名（ES-A）

各種算法、密鑰、加密數據、加密函數都會隨著時間而逐漸降低其安全性，各種證書也會隨著時間而紛紛失效，如果要長期保存一個電子簽名，就需要在這些成分的安全性降低前對整個電子簽名加蓋一次時間戳。新加的時間戳盡可能使用比老時間戳更強的算法和密鑰。這類額外添加的驗證數據稱為歸檔驗證數據。

考慮到時間戳所使用的證書、算法和密鑰也會隨著時間而失效或降低安全性，在這種情況發生前，必須加蓋新的時間戳。因此，一個ES-A可能嵌套了多重時間戳。

本標準定義的ES-A是可選格式，對其的支持也是可選的。

ES-A的基本組成結構如圖10所示：