SHA3 podpisy a časová razítka PDF

HotPDF uplatňuje jednu politiku digestu napříč odděleným CMS, podepsanými atributy, identifikátory podpisů RSA či ECDSA, otiští zprávy RFC 3161, časovými razítky podpisu, časovými razítky dokumentu, slovníky Seed Value a ověřením načteného podpisu

Výběr digestu

THPDFCMSDigestAlgorithm poskytuje cmsdaSHA256, cmsdaSHA384, cmsdaSHA512, cmsdaSHA3_256, cmsdaSHA3_384 a cmsdaSHA3_512

Options := HPDFCMSDefaultOptions(palBaseline_B_T);
Options.DigestAlgorithm := cmsdaSHA3_384;
Options.SignatureScheme := cmsRSAPSS;
Options.PSSSaltLength := 48;

HPDFCMSBuildSignedDataEx, funkce podepisování streamu, externí podepisující a poskytovatelé podpisů všechny konzumují vybraný digest bez fallbacku na SHA-256

RSA PKCS#1 v1.5 používá DigestInfo specifické pro digest, RSA-PSS odpovídající parametry hashe a MGF1 a cmsECDSA generuje kombinovaný OID podpisu ECDSA pro vybraný digest

Politika časových razítek

GetContentTimeStamp přijímá vybraný digest dokumentu a GetSignatureTimeStamp přijímá vybraný digest hodnoty podpisu CMS

Vrácené tokeny RFC 3161 se odmítají, pokud se OID otiště zprávy a bajty neshodují s vybranou politikou digestu

Overload THotPDF.RenewPAdESLTATimestamp s parametrem DigestAlgorithm uplatňuje stejnou politiku na obnovu archivního časového razítka, zatímco overload kompatibility zůstává SHA-256

Deklarace v PDF a Seed Value

Použití SHA3-256, SHA3-384 nebo SHA3-512 v THPDFPage.AttachPAdESSeedValue automaticky deklaruje vývojové rozšíření ISO 32001 PDF 2.0

Záznam katalogu používá /Extensions /ISO_ s /BaseVersion /2.0, /ExtensionLevel 32001, /ExtensionRevision (:2022) a /Type /DeveloperExtensions

Požadavky na poskytovatele

THPDFPKCS11SignatureProvider mapuje požadavky SHA3 na odpovídající identifikátory hash a MGF PKCS#11 a převádí surové podpisy ECDSA do DER CMS

THPDFWindowsKeyStorageSignatureProvider předává vybraný algoritmus SHA3 do CNG a také převádí surové podpisy ECDSA do DER CMS

SignPDFWithSystemCertificate uplatňuje stejnou politiku CNG na klíče úložiště certifikátů Windows, zatímco starší klíče CryptoAPI SHA3 explicitně odmítají

Token, poskytovatel úložiště klíčů nebo verze Windows, která neimplementuje požadovaný algoritmus SHA3, vrací explicitní stav nepodporováno

Streamovací výkon

Bajtové rozsahy PDF se hashují v ohraničených blocích a podepisování SHA3 může sdílet stejný sken rozsahu s generováním PDF MAC včetně přímého znovupoužití digestu, když obě politiky vyberou stejný algoritmus