Windows Signed Revocation Information

Windows sign operace může autentizovat důkazy CRL i OCSP, zahrnout je do podepsaného atributu Adobe RevocationInfoArchival a publikovat PDF až po validaci skutečně vygenerovaného CMS i vložených důkazů

Podepisovací volby

{"schemaVersion":1,"type":"sign","incremental":true,
 "existingField":true,"fieldName":"ApprovalOne",
 "pfxFile":"C:/keys/signer.pfx","pfxPassword":"password",
 "cades":true,"digestMethod":"SHA384",
 "revocationInfo":{"enabled":true,
   "trustedCAFile":"C:/trust/signing-roots.pem",
   "certificatesBase64":[],"ocspResponsesBase64":[],
   "crlsBase64":["BASE64_DER_CRL"],
   "requireTimestamp":false,"clockSkewSeconds":300,
   "maxOCSPAgeSeconds":86400}}

revocationInfo je volitelné; enabled defaultuje na true, když se objekt dodá, a vypnuté důkazy nesmí obsahovat certifikáty, OCSP odpovědi ani CRL

trustedCAFile explicitně identifikuje PEM trust rooty a zůstává otevřený se zakázaným sdílením zápisu po celé podepisování; validace netichě nedůvěřuje certifikátu jen proto, že ho obsahuje PFX či důkazy

Důkazní pole obsahují kanonické Base64 řetězce kódující kompletní DER certifikáty, CRL či hodnoty OCSPResponse; při zapnutí se vyžaduje alespoň jedna CRL či OCSP odpověď

Standardní podepsaný atribut obsahuje DER CRL a hodnoty BasicOCSPResponse; kompletní vstupy OCSPResponse se před vložením normalizují a certifikáty dodávají dodatečný validační materiál řetězce

HPDFNormalizeHeadlessOCSPResponse v HPDFHeadlessRevocationInfo vystavuje ohraničenou konverzi úspěšné odpovědi pro Pascal volající; validuje DER rámec a extrahuje BasicOCSPResponse, zatímco kryptografická i stavová validace zůstává odpovědností podepisovacího či LTV verifikátoru

Autentizované důkazy

Validace autentizuje skutečnou CMS signaturu, vazbu signing-certificate, explicitní důvěru certifikátů, platnost certifikátů, signatury i platnostní intervaly CRL a signatury OCSP, autorizaci respondérů, identifikátory vystavitelů, status odpovědi i časy aktualizace

Důkazy musí pokrýt kompletní ne-kořenový podepisovací řetězec; revoked, neznámé, expirované, nekompletní, neautorizované, nedůvěryhodné či poškozené důkazy nemohou publikovat PDF

requireTimestamp vyžaduje skutečný podepisovací timestamp a autentizuje důkazy i pro svůj TSA řetězec; transport aplikace i samostatné TSA trust nastavení popisuje Windows podepisovací timestampy

clockSkewSeconds přijímá 0 až 86400 a maxOCSPAgeSeconds musí být kladné; obojí konfiguruje validaci časů důkazů, nemění důvěru certifikátů

Seed hodnoty a publikace

Vyžadované omezení SV AddRevInfo true vyžaduje tohle validované workflow podepsaných důkazů; vyžadované false vyžaduje vynechání atributu

Workflow podporuje existující i nově vytvořená pole podpisů, certifikační podpisy prvního dokumentu, následné povolené schvalovací podpisy, podporované šifrované zdroje i podepisování nepodepsaných dokumentů

Trust soubor i dekódované důkazy sdílejí bajtový strop jedné osminy memoryBytes; počty důkazních objektů jsou omezené menší z hodnot objectCount a 4096, dřív než alokace

Kanonické Base64, DER rámec, rozpočty, zrušení, integrita CMS i platnost důkazů se kontrolují, dřív než binární publikace; odmítnuté důkazy zachovají původní dokumentový handle a nepublikují žádné PDF bajty, zatímco publikační callbacky si uchovávají stávající sémantiku selhání callbacků

Úspěšný výsledek reportuje revocationInfo: true až po autentizaci skutečného podepsaného atributu; vypnuté či vynechané důkazy reportují false

Ohraničenou nativní konverzi z kompletní OCSPResponse na DER BasicOCSPResponse popisuje HPDFNormalizeHeadlessOCSPResponse

Snapshoty zdroje, šifrovací oprávnění, politiky předchozích podpisů, výstupní rozpočty i sémantiku publikačních callbacků popisuje inkrementální PFX podepisování