SHA3-PDF-Signaturen und Zeitstempel

HotPDF wendet eine Digest-Richtlinie über losgelöste CMS, signierte Attribute, RSA- oder ECDSA-Signaturkennungen, RFC-3161-Message-Imprints, Signaturzeitstempel, Dokumentzeitstempel, Seed-Value-Wörterbücher und Verifikation geladener Signaturen hinweg an

Digest-Auswahl

THPDFCMSDigestAlgorithm bietet cmsdaSHA256, cmsdaSHA384, cmsdaSHA512, cmsdaSHA3_256, cmsdaSHA3_384 und cmsdaSHA3_512

Options := HPDFCMSDefaultOptions(palBaseline_B_T);
Options.DigestAlgorithm := cmsdaSHA3_384;
Options.SignatureScheme := cmsRSAPSS;
Options.PSSSaltLength := 48;

HPDFCMSBuildSignedDataEx, die Stream-Signierfunktionen, externe Unterzeichner und Signaturprovider verwenden alle den gewählten Digest ohne einen SHA-256-Fallback

RSA PKCS#1 v1.5 verwendet das digest-spezifische DigestInfo, RSA-PSS verwendet übereinstimmende Hash- und MGF1-Parameter, und cmsECDSA emittiert die kombinierte ECDSA-Signaturkennung für den gewählten Digest

Zeitstempel-Richtlinie

GetContentTimeStamp empfängt den gewählten Dokumentdigest und GetSignatureTimeStamp den gewählten Digest des CMS-Signaturwerts

Zurückgegebene RFC-3161-Tokens werden abgelehnt, sofern nicht sowohl die Message-Imprint-OID als auch die Bytes der gewählten Digest-Richtlinie entsprechen

Die THotPDF.RenewPAdESLTATimestamp-Überladung mit einem DigestAlgorithm-Parameter wendet dieselbe Richtlinie auf die Erneuerung von Archiv-Zeitstempeln an, während die Kompatibilitätsüberladung SHA-256 bleibt

PDF-Deklaration und Seed Values

Die Verwendung von SHA3-256, SHA3-384 oder SHA3-512 in THPDFPage.AttachPAdESSeedValue deklariert die ISO-32001-PDF-2.0-Entwicklererweiterung automatisch

Der Katalogeintrag verwendet /Extensions /ISO_ mit /BaseVersion /2.0, /ExtensionLevel 32001, /ExtensionRevision (:2022) und /Type /DeveloperExtensions

Anforderungen an Provider

THPDFPKCS11SignatureProvider ordnet SHA3-Anforderungen den entsprechenden PKCS#11-Hash- und MGF-Kennungen zu und konvertiert rohe ECDSA-Signaturen nach CMS DER

THPDFWindowsKeyStorageSignatureProvider übergibt den gewählten SHA3-Algorithmus an CNG und konvertiert rohe ECDSA-Signaturen ebenfalls nach CMS DER

SignPDFWithSystemCertificate wendet dieselbe CNG-Richtlinie auf Schlüssel des Windows-Zertifikatsspeichers an, während Legacy-CryptoAPI-Schlüssel SHA3 explizit ablehnen

Ein Token, ein Key-Storage-Provider oder eine Windows-Version, der bzw. die den angeforderten SHA3-Algorithmus nicht implementiert, liefert einen expliziten Nichtunterstütztungssstatus

Streaming-Leistung

PDF-Bytebereiche werden in begrenzten Blöcken gehasht, und SHA3-Signieren kann denselben Bereichs-Scan mit der PDF-MAC-Erzeugung teilen, einschließlich direkter Digest-Wiederverwendung, wenn beide Richtlinien denselben Algorithmus wählen