Windows signeret revocation-information

Windows sign-operationen kan autentificere CRL- og OCSP-evidence, inkludere den i Adobes RevocationInfoArchival signede attribut og publicere PDF'en først efter at have valideret den faktisk genererede CMS og indlejrede evidence

Signerings-options

{"schemaVersion":1,"type":"sign","incremental":true,
 "existingField":true,"fieldName":"ApprovalOne",
 "pfxFile":"C:/keys/signer.pfx","pfxPassword":"password",
 "cades":true,"digestMethod":"SHA384",
 "revocationInfo":{"enabled":true,
   "trustedCAFile":"C:/trust/signing-roots.pem",
   "certificatesBase64":[],"ocspResponsesBase64":[],
   "crlsBase64":["BASE64_DER_CRL"],
   "requireTimestamp":false,"clockSkewSeconds":300,
   "maxOCSPAgeSeconds":86400}}

revocationInfo er valgfri; enabled er som standard true, når objektet leveres, og deaktiveret evidence må ikke indeholde certifikater, OCSP-responser eller CRL'er

trustedCAFile identificerer eksplicit PEM trust roots og forbliver åben med write sharing nægtet gennem hele signeringen; valideringen stoler ikke stille på et certifikat blot fordi PFX'en eller evidence indeholder det

Evidence-arrays indeholder kanoniske Base64-strenge, der encoder komplette DER-certifikater, CRL'er eller OCSPResponse-værdier; mindst én CRL eller OCSP-respons er krævet, når aktiveret

Den standard signede attribut indeholder DER CRL'er og BasicOCSPResponse-værdier; komplette OCSPResponse-inputs normaliseres inden indlejring, og certifikater leverer ekstra valideringskæde-materiale

HPDFNormalizeHeadlessOCSPResponse i HPDFHeadlessRevocationInfo udstiller den afgrænsede succesfuld-respons-konvertering til Pascal-kaldere; den validerer DER-rammen og udtrækker BasicOCSPResponse, mens kryptografisk og statusvalidering forbliver signerings- eller LTV-verifikatorens ansvar

Autentificeret evidence

Validering autentificerer den faktiske CMS-signatur, signeringscertifikatbinding, eksplicit certifikattrust, certifikatgyldighed, CRL-signaturer og gyldighedsintervaller samt OCSP-signaturer, responder-autorisation, issuer-identifikatorer, responsstatus og opdateringstider

Evidence skal dække den komplette ikke-roden signeringskæde; revokeret, ukendt, udløbet, ufuldstændig, uautoriseret, ubetroet eller misdannet evidence kan ikke publicere en PDF

requireTimestamp kræver et rigtigt signeringstidsstempel og autentificerer evidence for dets TSA-kæde også; brug applikationstransporten og separate TSA trust-indstillinger beskrevet i Windows signerings-tidsstempler

clockSkewSeconds accepterer 0 til 86400, mens maxOCSPAgeSeconds skal være positivt; begge konfigurerer evidence tidsvalidering snarere end at ændre certifikattrust

Seed-værdier og publicering

En krævet SV AddRevInfo true-begrænsning kræver dette validerede signede evidence-workflow; en krævet false-værdi kræver udeladelse af attributten

Workflowet understøtter eksisterende og nyligt oprettede signaturfelter, første certificeringssignaturer, efterfølgende tilladte approval-signaturer, understøttede krypterede kilder og usigneret dokumentsignering

Trust-filen og dekodet evidence deler en bytegrænse på en ottendedel af memoryBytes; evidence objektantal er begrænset til det mindste af objectCount og 4096 inden allokering

Kanonisk Base64, DER-ramme, budgetter, cancellation, CMS-integritet og evidence-gyldighed tjekkes inden binær publicering; afvist evidence bevarer det originale dokumenthandle og publicerer ingen PDF-bytes, mens publicerings-callbacks beholder den eksisterende callback-fejlsemantik

Et succesfuldt resultat rapporterer revocationInfo: true først efter at have autentificeret den faktisk signede attribut; deaktiveret eller udeladt evidence rapporterer false

Se HPDFNormalizeHeadlessOCSPResponse for den afgrænsede native konvertering fra et komplet OCSPResponse til BasicOCSPResponse DER

Se inkrementel PFX-signering for kilde-snapshots, krypteringstilladelser, tidligere signaturpolitikker, outputbudgetter og callback-publiceringssemantik