HotPDF Docs
Startseite Contents Helper-Typen

THPDFCertificateValidationOptions Record

Konfiguriert Trust Anchors, Offline-Widerrufsnachweise, Policy-Constraints und Algorithmusgrenzen für die Zertifikatspfadvalidierung

Deklaration

THPDFCertificateValidationOptions= record
  TrustAnchors: THPDFDERArray;
  IntermediateCertificates: THPDFDERArray;
  OCSPResponses: THPDFDERArray;
  CRLs: THPDFDERArray;
  DeltaCRLs: THPDFDERArray;
  CRLIssuerCertificates: THPDFDERArray;
  OCSPResponseSources: THPDFValidationEvidenceSourceArray;
  CRLSources: THPDFValidationEvidenceSourceArray;
  DeltaCRLSources: THPDFValidationEvidenceSourceArray;
  RevocationMode: THPDFRevocationMode;
  ValidationTime: TDateTime;
  MaxPathLength: Integer;
  OCSPNoncePolicy: THPDFOCSPNoncePolicy;
  ExpectedOCSPNonce: TBytes;
  OCSPMaxAgeDays: Double;
  OCSPAllowedClockSkewMinutes: Integer;
  RequireOCSPNextUpdate: boolean;
  AllowDelegatedOCSPResponders: boolean;
  RequireOCSPNoCheckForDelegated: boolean;
  CRLMaxAgeDays: Double;
  CRLAllowedClockSkewMinutes: Integer;
  RequireCRLNextUpdate: boolean;
  AllowIndirectCRLs: boolean;
  RequireDeltaCRLWhenAdvertised: boolean;
  TrustPurpose: THPDFCertificateTrustPurpose;
  CustomTrustPurposeOID: AnsiString;
  InitialPolicySet: THPDFOIDArray;
  RequireExplicitCertificatePolicy: boolean;
  InhibitCertificatePolicyMapping: boolean;
  InhibitAnyCertificatePolicy: boolean;
  AlgorithmPolicy: THPDFCertificateAlgorithmPolicy;
  // v2.738.0 online chain building: when the path cannot close with
  // the supplied pool, fetch the missing intermediates through the
  // AIA caIssuers URLs of the leaf-most unmatched certificate before
  // failing with cvsPathBuildingFailed (transport stays caller-side)
  FetchMissingIntermediates: boolean;
  MaxFetchedIntermediates: Integer;
  class function Default: THPDFCertificateValidationOptions; static;
end;

Unit

HPDFSignVerify

Felder

FeldZweck
TrustAnchorsDER-kodierte Trust-Anchor-Zertifikate, die den Pfad abschließen dürfen
IntermediateCertificatesZusätzliche nicht vertrauenswürdige Zertifikate, die der Builder nutzen darf, wenn der CMS-Pool unvollständig ist
OCSPResponses / CRLs / DeltaCRLsOffline-Pools aus OCSP-Antworten, Basis-CRLs und Delta-CRLs
CRLIssuerCertificatesZertifikate zur Prüfung von CRL-Signator-Signaturen
OCSPResponseSources / CRLSources / DeltaCRLSourcesJe Pooleintrag aufgezeichneter Nachweisquellen-Tag, ausgewiesen in den Validierungs-Infos
RevocationModeWählt das Widerrufsverhalten rvmNone, rvmBestEffort oder rvmRequire
ValidationTimeZeit, zu der Gültigkeits- und Frische-Prüfungen bewertet werden
MaxPathLengthMaximale Zertifikatzahl zwischen Blatt und Trust Anchor; Default setzt 12
OCSPNoncePolicyOb OCSP-Noncen gefordert, bei Vorhandensein abgeglichen oder ignoriert werden; Default gleicht bei Vorhandensein ab
ExpectedOCSPNonceGenaue Nonce-Bytes, die gefordert werden, wenn die Policy eine verlangt
OCSPMaxAgeDays / CRLMaxAgeDaysMaximal akzeptiertes Alter von OCSP-Antworten und CRLs; Default setzt 7 und 30 Tage
OCSPAllowedClockSkewMinutes / CRLAllowedClockSkewMinutesUhrentoleranz für Nachweis-Zeitstempel; Default setzt je 5 Minuten
RequireOCSPNextUpdate / RequireCRLNextUpdateNachweise ohne Next-Update-Feld zurückweisen
AllowDelegatedOCSPRespondersAntworten delegierter Responder akzeptieren; Default erlaubt sie
RequireOCSPNoCheckForDelegatedDie OCSPNoCheck-Erweiterung auf Zertifikaten delegierter Responder fordern
AllowIndirectCRLsCRLs eines indirekten CRL-Signators akzeptieren; Default erlaubt sie
RequireDeltaCRLWhenAdvertisedScheitern, wenn ein Delta-CRL-Zeiger gemeldet wird, aber keine Delta-CRL geliefert wurde
TrustPurpose / CustomTrustPurposeOIDGeforderter Zertifikatszweck für den Trust Anchor; Default akzeptiert jeden Zweck
InitialPolicySetCertificate-Policy-OIDs, die der validierte Pfad erfüllen muss
RequireExplicitCertificatePolicyMindestens eine explizite Certificate Policy im Pfad fordern
InhibitCertificatePolicyMappingDie Verarbeitung von Certificate-Policy-Mappings deaktivieren
InhibitAnyCertificatePolicyDen anyPolicy-Qualifier aus der Policy-Verarbeitung ausschließen
AlgorithmPolicySchlüsselgrößen- und Algorithmusgrenzen für jedes Zertifikat und jede Signatur im Pfad
FetchMissingIntermediatesFehlende Intermediates über AIA-caIssuers-URLs holen, bevor mit cvsPathBuildingFailed abgebrochen wird; der Transport bleibt caller-seitig
MaxFetchedIntermediatesObergrenze, wie viele Intermediates eine Validierung über AIA holen darf
DefaultKlassenfunktion, die die oben zusammengefasste eingebaute Konfiguration zurückgibt

Verwendungshinweise

Verwandte APIs