Informations de révocation signées sous Windows

L'opération de signature Windows peut authentifier les preuves CRL et OCSP, les inclure dans l'attribut signé Adobe RevocationInfoArchival, et publier le PDF uniquement après validation du CMS réellement généré et des preuves embarquées

Options de signature

{"schemaVersion":1,"type":"sign","incremental":true,
 "existingField":true,"fieldName":"ApprovalOne",
 "pfxFile":"C:/keys/signer.pfx","pfxPassword":"password",
 "cades":true,"digestMethod":"SHA384",
 "revocationInfo":{"enabled":true,
   "trustedCAFile":"C:/trust/signing-roots.pem",
   "certificatesBase64":[],"ocspResponsesBase64":[],
   "crlsBase64":["BASE64_DER_CRL"],
   "requireTimestamp":false,"clockSkewSeconds":300,
   "maxOCSPAgeSeconds":86400}}

revocationInfo est optionnel ; enabled vaut true par défaut quand l'objet est fourni, et des preuves désactivées ne peuvent pas contenir de certificats, réponses OCSP ou CRL

trustedCAFile identifie explicitement les racines de trust PEM et reste ouvert avec le partage en écriture refusé pendant toute la signature ; la validation ne fait pas confiance silencieusement à un certificat simplement parce que le PFX ou les preuves le contiennent

Les tableaux de preuves contiennent des chaînes Base64 canoniques encodant des certificats DER complets, des CRL ou des valeurs OCSPResponse ; au moins une CRL ou réponse OCSP est requise quand c'est activé

L'attribut signé standard contient des CRL DER et des valeurs BasicOCSPResponse ; les entrées OCSPResponse complètes sont normalisées avant embarquement, et les certificats fournissent du matériel de chaîne de validation supplémentaire

HPDFNormalizeHeadlessOCSPResponse dans HPDFHeadlessRevocationInfo expose la conversion bornée de réponses réussies pour les appelants Pascal ; elle valide l'encadrement DER et extrait le BasicOCSPResponse, tandis que la validation cryptographique et de statut reste la responsabilité du vérificateur de signature ou LTV

Preuves authentifiées

La validation authentifie la signature CMS réelle, la liaison du certificat signataire, le trust explicite des certificats, la validité des certificats, les signatures et intervalles de validité des CRL, et les signatures OCSP, l'autorisation du responder, les identifiants d'émetteur, le statut de réponse et les heures de mise à jour

Les preuves doivent couvrir la chaîne de signature complète non racine ; des preuves révoquées, inconnues, expirées, incomplètes, non autorisées, non fiables ou malformées ne peuvent pas publier un PDF

requireTimestamp exige un véritable horodatage de signature et authentifie aussi les preuves pour sa chaîne TSA ; utilisez le transport applicatif et les réglages de trust TSA séparés décrits dans Horodatages de signature Windows

clockSkewSeconds accepte de 0 à 86400, tandis que maxOCSPAgeSeconds doit être positif ; tous deux configurent la validation temporelle des preuves plutôt que de changer le trust des certificats

Valeurs de seed et publication

Une contrainte SV AddRevInfo true requise exige ce workflow de preuves signées validées ; une valeur false requise exige l'omission de l'attribut

Le workflow prend en charge les champs de signature existants et nouvellement créés, les premières signatures de certification, les signatures d'approbation permises subséquentes, les sources chiffrées prises en charge et la signature de documents non signés

Le fichier de trust et les preuves décodées partagent un plafond d'octets d'un huitième de memoryBytes ; les comptes d'objets de preuves sont limités au plus petit entre objectCount et 4096 avant allocation

Le Base64 canonique, l'encadrement DER, les budgets, l'annulation, l'intégrité CMS et la validité des preuves sont vérifiés avant la publication binaire ; des preuves rejetées préservent le handle du document d'origine et ne publient aucun octet PDF, tandis que les callbacks de publication conservent les sémantiques d'échec de callbacks existantes

Un résultat réussi rapporte revocationInfo: true uniquement après authentification de l'attribut signé réel ; des preuves désactivées ou omises rapportent false

Voir HPDFNormalizeHeadlessOCSPResponse pour la conversion native bornée d'un OCSPResponse complet vers du DER BasicOCSPResponse

Voir la signature PFX incrémentale pour les instantanés sources, les permissions de chiffrement, les politiques de signatures antérieures, les budgets de sortie et les sémantiques de publication par callbacks