CMS-Signaturvalidierungsberichte

Die eigenständigen CMS-APIs stellen jede primäre SignerInfo und rekursiv verschachtelte counterSignature in deterministischer Dokumentreihenfolge bereit

Signaturgraph

HPDFParseCMSSignatures liefert alle primären Signaturdatensätze, während HPDFVerifyCMSSignaturesEx sie gegen den bereitgestellten Inhaltsstream prüft

HPDFVerifyCMSSignerReport ergänzt rekursive Gegenzeichnungen und kennzeichnet jeden Eintrag mit Kind, SignerIndex, ParentSignerIndex, NestingDepth und einem stabilen Pfad wie SignerInfo[0].CounterSignature[1]

THPDFCMSVerifyOptions.MaxSignerCount und MaxCounterSignatureDepth begrenzen die Arbeit an feindlichen Containern bei deterministischer Ausgabe

Zertifikats- und Evidenzbericht

HPDFBuildCMSValidationReport kombiniert die Signaturprüfung mit einer vom Aufrufer gesteuerten Offline-Zertifikatsvalidierung für jede Signatur im Graphen

Der zurückgegebene THPDFSignatureValidationReport enthält zusammengefasste Signatur- und Pfadergebnisse, Signaturanzahlen, Erfolgsstatus, einen maschinenlesbaren THPDFValidationFailureCode und vollständige THPDFSignatureInfo je Signatur

Details je Signatur umfassen den gewählten Pfad, das Vertrauenergebnis, Sperrquellen und Zeitstempel, OCSP-Nonce-Entscheidungen, Delta- und indirekte CRL-Nutzung, wirksame Zertifikatsrichtlinien, kleinste beobachtete Schlüsselstärken und Diagnose zur Algorithmus-Richtlinie

JSON-Export

HPDFSignatureValidationReportToJSON exportiert den Bericht als JSON der Schemaversion 1 mit maskierten Textwerten und stabilen Feldnamen für Prüfprotokolle, Richtlinienmodule und Testautomatisierung

Der Exporter greift nicht auf das Netzwerk zu und verändert weder Bericht noch Quellstream

Betriebshinweise

• Verwenden Sie explizite Vertrauensanker und setzen Sie ValidationTime, um eine historische Validierungsentscheidung zu reproduzieren
• Verwenden Sie rvmRequire, wenn ein erfolgreiches Ergebnis aktuelle Offline-Sperrevidenz enthalten muss
• Verwenden Sie onpRequireMatch mit ExpectedOCSPNonce, wenn der Ablauf die ursprüngliche OCSP-Anfrage steuert
• Setzen Sie für nicht vertrauenswürdige CMS-Eingaben konservative Grenzen für Signaturen und Verschachtelungen
• Speichern Sie den JSON-Bericht zusammen mit der exakten signierten Revision und Evidenzmenge, wenn ein Prüfpfad reproduzierbar sein muss

Siehe auch: VerifyLoadedSignatureWithTrust, GetLoadedSignatureInfo