Windows signierte Revocation-Informationen

Die Windows-sign-Operation kann CRL- und OCSP-Evidence authentifizieren, sie ins Adobe-RevocationInfoArchival-Signed-Attribute aufnehmen und das PDF erst veröffentlichen, nachdem der tatsächlich erzeugte CMS und die eingebettete Evidence validiert wurden

Signaturoptionen

{"schemaVersion":1,"type":"sign","incremental":true,
 "existingField":true,"fieldName":"ApprovalOne",
 "pfxFile":"C:/keys/signer.pfx","pfxPassword":"password",
 "cades":true,"digestMethod":"SHA384",
 "revocationInfo":{"enabled":true,
   "trustedCAFile":"C:/trust/signing-roots.pem",
   "certificatesBase64":[],"ocspResponsesBase64":[],
   "crlsBase64":["BASE64_DER_CRL"],
   "requireTimestamp":false,"clockSkewSeconds":300,
   "maxOCSPAgeSeconds":86400}}

revocationInfo ist optional; enabled hat den Default true, wenn das Objekt geliefert wird, und deaktivierte Evidence darf keine Zertifikate, OCSP-Antworten oder CRLs enthalten

trustedCAFile identifiziert explizit PEM-Trust-Roots und bleibt während des gesamten Signierens mit verweigertem Write-Sharing offen; die Validierung vertraut einem Zertifikat nicht stillschweigend, nur weil PFX oder Evidence es enthalten

Evidence-Arrays enthalten kanonische Base64-Strings, die vollständige DER-Zertifikate, CRLs oder OCSPResponse-Werte kodieren; mindestens eine CRL oder OCSP-Antwort ist erforderlich, wenn aktiviert

Das Standard-Signed-Attribute enthält DER-CRLs und BasicOCSPResponse-Werte; vollständige OCSPResponse-Eingaben werden vor dem Einbetten normalisiert, und Zertifikate liefern zusätzliches Validierungsketten-Material

HPDFNormalizeHeadlessOCSPResponse in HPDFHeadlessRevocationInfo legt die begrenzte erfolgreiche Antwortkonvertierung für Pascal-Aufrufer offen; es validiert DER-Framing und extrahiert BasicOCSPResponse, während kryptografische und Statusvalidierung in der Verantwortung des Signier- oder LTV-Verifiers bleibt

Authentifizierte Evidence

Die Validierung authentifiziert die tatsächliche CMS-Signatur, Signaturzertifikats-Bindung, expliziten Zertifikats-Trust, Zertifikatsgültigkeit, CRL-Signaturen und Gültigkeitsintervalle sowie OCSP-Signaturen, Responder-Autorisierung, Issuer-Identifikatoren, Antwortstatus und Aktualisierungszeiten

Evidence muss die vollständige Nicht-Root-Signaturkette abdecken; widerrufene, unbekannte, abgelaufene, unvollständige, unberechtigte, nicht vertrauenswürdige oder fehlerhafte Evidence kann kein PDF veröffentlichen

requireTimestamp verlangt einen echten Signaturzeitstempel und authentifiziert Evidence auch für seine TSA-Kette; nutze den Anwendungstransport und die separaten TSA-Trust-Einstellungen, beschrieben unter Windows-Signaturzeitstempel

clockSkewSeconds akzeptiert 0 bis 86400, während maxOCSPAgeSeconds positiv sein muss; beide konfigurieren die Evidence-Zeitvalidierung, statt Zertifikats-Trust zu ändern

Seed-Werte und Veröffentlichung

Eine erforderliche SV-AddRevInfo-true-Beschränkung verlangt diesen validierten Signed-Evidence-Workflow; ein erforderlicher false-Wert verlangt das Weglassen des Attributs

Der Workflow unterstützt bestehende und neu erzeugte Signaturfelder, erste Zertifizierungssignaturen, nachfolgende erlaubte Approval-Signaturen, unterstützte verschlüsselte Quellen und das Signieren unsignierter Dokumente

Die Trust-Datei und decodierte Evidence teilen sich ein Byte-Limit von einem Achtel von memoryBytes; Evidence-Objektzahlen sind vor der Allokation auf das kleinere von objectCount und 4096 begrenzt

Kanonisches Base64, DER-Framing, Budgets, Abbruch, CMS-Integrität und Evidence-Gültigkeit werden vor der Binary-Veröffentlichung geprüft; abgelehnte Evidence bewahrt das ursprüngliche Dokument-Handle und veröffentlicht keine PDF-Bytes, während Veröffentlichungs-Callbacks die bestehenden Callback-Fehler-Semantiken behalten

Ein erfolgreiches Ergebnis meldet revocationInfo: true erst nach der Authentifizierung des tatsächlichen Signed-Attributes; deaktivierte oder fehlende Evidence meldet false

Siehe HPDFNormalizeHeadlessOCSPResponse für die begrenzte native Konvertierung von einem vollständigen OCSPResponse zu BasicOCSPResponse-DER

Siehe inkrementelles PFX-Signieren für Quell-Snapshots, Verschlüsselungsberechtigungen, frühere Signatur-Policys, Output-Budgets und Callback-Veröffentlichungs-Semantiken