CMS SubjectKeyIdentifier Signers

HotPDF kan identificere den primære CMS-underskriver via X.509-subjectKeyIdentifier-udvidelsen i stedet for et udstedernavn og et certifikatserienummer

Valg af identifikatoren

HPDFCMSDefaultOptions sætter THPDFCMSSignOptions.SignerIdentifier til cmsidIssuerAndSerialNumber, så eksisterende kaldere bevarer deres deterministiske CMS-byteform

Angiv feltet til cmsidSubjectKeyIdentifier, før du kalder HPDFCMSBuildSignedDataEx, en udbyderbaseret CMS-bygger, placeholder-estimering eller en højtstående signerings-overload, der accepterer THPDFCMSSignOptions

Options := HPDFCMSDefaultOptions(palBaseline_B_B);
Options.SignerIdentifier := cmsidSubjectKeyIdentifier;
CMS := HPDFCMSBuildSignedDataEx(KeyMaterial, DocumentDigest, Options);

Certifikatkrav

Underskrivercertifikatet skal indeholde præcis én ikke-tom X.509-udvidelse med OID 2.5.29.14, hvis udvidelsesværdi indeholder en komplet DER OCTET STRING

HotPDF fejler før signering, når denne udvidelse mangler, er duplikeret, tom, afkortet eller fejlbehæftet; det syntetiserer ikke en nøgleidentifikator ud fra den offentlige nøgle

SigningCertificateV2 fortsætter med at binde det samme certifikat med dets udsteder- og seriefelter, selv når SignerInfo-SID bruger nøgleidentifikatoren

Wire-format og verifikation

Nøgleidentifikatoren kodes som primitiv IMPLICIT [0], SignerInfo.version er 3, og den genererede single-underskriver SignedData.version er 3 som krævet af RFC 5652

Verifikation kræver, at SID-bytes matcher den indlejrede certifikatudvidelse, og afviser afvigende SID-værdier, udsteder-og-serienumre-poster med en signer-version, der ikke er 1, SKI-poster med en signer-version, der ikke er 3, samt SKI-containere, hvis ydre version er under 3

Den kompakte identitet er nyttig til nøgleorienterede certifikatlagre og workflows, der ikke bevarer udsteder-navnekodninger, men forbrugende software skal understøtte RFC 5652 SKI-valget

HPDFCMSBuildCounterSignerInfo fortsætter med at bruge udsteder-og-serienumre-identiteter; konfigurér den primære underskriver gennem THPDFCMSSignOptions

Se moderne signaturudbydere og CMS digest-algoritme-konsistens