Native signature validation evidence

HPDFHeadlessLTV authentifiziert Zertifikatsketten und DER-OCSP- oder CRL-Evidenz, bevor ein Document Security Store in ein signiertes PDF eingetragen wird

AddSignatureValidationEvidence verifiziert die ursprünglichen PDF-ByteRanges, die CMS-Signatur, die vertrauenswürdige Signer-Kette und den erforderlichen RFC3161-Signatur-Timestamp und prüft dann die Revocation-Abdeckung für jedes Nicht-Anker-Zertifikat in Signer- und TSA-Ketten

Die OCSP-Verifikation prüft Responder-Signatur, Kette und Autorisierung, vollständige Issuer-Name- und Issuer-Key-Zertifikatsidentifikatoren, Serialnummern, good-Status, producedAt, thisUpdate, nextUpdate und konfigurierte Freshness-Fenster; widerrufene, unbekannte, nicht verwandte, doppelte, veraltete, zukünftige oder nicht authentifizierte Antworten werden abgelehnt

Die CRL-Verifikation nutzt einen isolierten Store für jede gelieferte Issuerliste und prüft Issuer, Signatur, Scope, Gültigkeitsfenster und den Certificate-Revocation-Status; eine ältere über eine andere Quelle geladene CRL kann die tatsächlich gelieferte Evidenz nicht ersetzen

Der Catalog-DSS enthält globale Certs-, OCSPs- und CRLs-Arrays mit einem VRI-Eintrag, der verifizierte Evidenz für die ausgewählte Signatur referenziert; sein Großbuchstaben-SHA-1-Key deckt den vollständigen Contents-String ab, einschließlich reserviertem Null-Padding, wie es der PDF-VRI-Index verlangt

SHA-1 wird nur für den vorgeschriebenen VRI-Index oder einen gelieferten OCSP-Zertifikatsidentifikator genutzt; er wählt weder den PDF-Signer, die TSA, den Responder noch den Zertifikatssignaturalgorithmus

Der Writer behält die ursprünglichen signierten Bytes und bestehende DSS-Einträge bei und hängt eine inkrementelle Revision an; Standard-AES-256-Quellen behalten die Verschlüsselung für neu erzeugte Evidenz-Streams, vorbehaltlich Modifikationsberechtigung oder Owner-Authentifizierung

Trust- und Evidenzprüfungen nutzen die aktuelle Verifikationsuhr; diese API etabliert keine historische Validierung nach Zertifikatsablauf und fügt keinen Dokument-Timestamp hinzu, der spätere DSS-Revisionen schützt

Nach einer Signatur hinzugefügte DSS-Daten liegen außerhalb der ByteRange dieser Signatur; authentifizieren Sie die eingebettete Evidenz unabhängig, wann immer sie genutzt wird, und nutzen Sie eine spätere Signatur oder einen Dokument-Timestamp, wenn eine authentifizierte Archivrevision erforderlich ist

Ressourcen- und Fehlerverhalten

Explizite aufruferseitige Trust-Roots sind Pflicht, und die Timestamp-Anforderung ist standardmäßig True; initialisieren Sie THPDFHeadlessLTVOptions mit Default

Byte-, Objekt-, Dekodiert-Stream-, Output- und Abbruchlimits werden vor der Graphveröffentlichung geprüft; zurückgewiesene Evidenz lässt das Dokument unverändert, und SaveToFile veröffentlicht über den bestehenden atomaren Writer

Abnahme

Run-HeadlessLTVTests.sh, Run-HeadlessLTVTests-Windows.cmd und Run-HeadlessLTVTests-Delphi.ps1 üben echte OpenSSL-OCSP-, CRL-, CMS- und lokale RFC3161-Antworten auf Linux und Windows aus, ohne Desktop oder PDF-Reader

Verify-HeadlessLTV.py prüft unabhängig Evidenzsignaturen und Identifikatoren mit cryptography, DSS-/VRI-Referenzen mit pypdf, die Signatur-Contents-Verschlüsselungsausnahme mit MuPDF und exakte PDF-ByteRanges mit OpenSSL