Native signature validation evidence

HPDFHeadlessLTV autentizuje certifikátové řetězce i DER důkazy OCSP či CRL, dřív než se do podepsaného PDF přidá document security store

AddSignatureValidationEvidence verifikuje původní PDF ByteRanges, signaturu CMS, důvěryhodný řetězec podepsávajícího i vyžadovaný RFC3161 signature timestamp a pak zkontroluje revokační pokrytí každého ne-ukotveného certifikátu v řetězcích podepsávajícího a TSA

Verifikace OCSP kontroluje signaturu, řetězec i autorizaci respondéra, kompletní certifikátové identifikátory issuer-name i issuer-key, sériová čísla, status good, producedAt, thisUpdate, nextUpdate i nakonfigurovaná okna čerstvosti; odpovědi revoked, unknown, nesouvisející, duplicitní, zastaralé, budoucí či neautentizované se odmítají

Verifikace CRL používá izolovaný store pro každý dodaný seznam vystavitelů a kontroluje jeho vystavitele, signaturu, rozsah, platnostní okno i revokační status certifikátů; starší CRL načtená jiným zdrojem nemůže nahradit skutečně dodané důkazy

Katalogový DSS obsahuje globální pole Certs, OCSPs a CRLs, s položkou VRI referencující verifikované důkazy pro vybraný podpis; jeho uppercase SHA-1 klíč pokrývá kompletní řetězec Contents, včetně rezervovaného nulového paddingu, jak vyžaduje PDF VRI index

SHA-1 se používá jen pro předepsaný VRI index či dodaný identifikátor OCSP certifikátu; nevybírá PDF podepsávajícího, TSA, respondéra ani signační algoritmus certifikátu

Writer si ponechá původní podepsané bajty i stávající položky DSS a připojí inkrementální revizi; Standard AES-256 zdroje si zachovají šifrování nově generovaných důkazních streamů, podléhajíc oprávnění k modifikaci či autentizaci vlastníkem

Kontroly důvěry i důkazů používají aktuální verifikační hodiny; toto API nezakládá historickou validaci po expiraci certifikátu ani nepřidá document timestamp chránící pozdější revize DSS

DSS data přidaná po podpisu leží mimo ByteRange toho podpisu; vložené důkazy nezávisle autentizujte při každém použití a pro autentizovanou archivní revizi použijte pozdější podpis či document timestamp

Chování resource a selhání

Explicitní trust rooty od volajícího jsou povinné a požadavek na timestamp má výchozí True; THPDFHeadlessLTVOptions inicializujte přes Default

Limity bajtů, objektů, dekódovaných streamů, výstupu i zrušení se kontrolují dřív než publikace grafu; odmítnuté důkazy ponechají dokument beze změny a SaveToFile publikuje přes stávající atomický writer

Akceptace

Run-HeadlessLTVTests.sh, Run-HeadlessLTVTests-Windows.cmd a Run-HeadlessLTVTests-Delphi.ps1 zkoušejí skutečné OpenSSL OCSP, CRL, CMS i lokální RFC3161 odpovědi na Linuxu a Windows, bez desktopu či PDF čtečky

Verify-HeadlessLTV.py nezávisle kontroluje signatury a identifikátory důkazů přes cryptography, reference DSS/VRI přes pypdf, výjimku šifrování Contents podpisu přes MuPDF a přesné PDF ByteRanges přes OpenSSL