네이티브 서명 검증 증거

HPDFHeadlessLTV는 문서 보안 저장소를 서명된 PDF에 추가하기 전에 인증서 체인과 DER OCSP·CRL 증거를 인증합니다

AddSignatureValidationEvidence는 원본 PDF ByteRange, CMS 서명, 신뢰한 서명자 체인, 요구된 RFC3161 서명 timestamp를 검증한 뒤, 서명자·TSA 체인의 앵커가 아닌 모든 인증서에 대한 폐기 커버리지를 검사합니다

OCSP 검증은 응답자 서명, 체인, 권한, 완전한 발급자 이름·발급자 키 인증서 식별자, 일련번호, good 상태, producedAt, thisUpdate, nextUpdate, 구성한 신선도 창을 검사합니다. 폐기됨, 알 수 없음, 무관, 중복, 오래됨, 미래, 미인증 응답은 거절됩니다

CRL 검증은 공급된 발급자 목록마다 격리된 저장소를 쓰고 발급자, 서명, 범위, 유효 창, 인증서 폐기 상태를 검사합니다. 다른 소스로 로드한 더 오래된 CRL은 실제 공급 증거를 대체할 수 없습니다

catalog DSS는 전역 Certs, OCSPs, CRLs 배열을 담고 선택한 서명의 검증된 증거를 참조하는 VRI 항목이 있습니다. 대문자 SHA-1 키는 예약된 0 패딩을 포함한 완전한 Contents 문자열을 덮으며, 이는 PDF VRI 인덱스의 요구 사항입니다

SHA-1은 규정된 VRI 인덱스나 공급 OCSP 인증서 식별자에만 쓰입니다. PDF 서명자, TSA, 응답자, 인증서 서명 알고리즘 선택에는 쓰이지 않습니다

라이터는 원본 서명 바이트와 기존 DSS 항목을 유지하고 증분 리비전을 덧붙입니다. Standard AES-256 소스는 새로 만든 증거 스트림의 암호화를 유지하며, 변경 권한이나 소유자 인증의 적용을 받습니다

신뢰·증거 검사는 현재 검증 clock을 씁니다. 이 API는 인증서 만료 뒤 과거 시점 검증을 수립하지 않고 이후 DSS 리비전을 보호하는 문서 timestamp도 추가하지 않습니다

서명 뒤에 추가된 DSS 데이터는 그 서명의 ByteRange 밖입니다. 임베드 증거를 쓸 때마다 독립적으로 인증하고, 인증된 아카이브 리비전이 필요하면 이후 서명이나 문서 timestamp를 쓰세요

리소스와 실패 동작

명시적인 호출자 제공 신뢰 루트는 필수이고 timestamp 요구의 기본값은 True입니다. THPDFHeadlessLTVOptions는 Default로 초기화하세요

바이트, 객체, 디코딩 스트림, 출력, 취소 한도는 그래프 발행 전에 검사됩니다. 거절된 증거는 문서를 그대로 두고 SaveToFile은 기존 원자적 라이터로 발행합니다

인수 검증

Run-HeadlessLTVTests.sh, Run-HeadlessLTVTests-Windows.cmd, Run-HeadlessLTVTests-Delphi.ps1은 Linux와 Windows에서 데스크톱이나 PDF 리더 없이 실제 OpenSSL OCSP, CRL, CMS, 로컬 RFC3161 응답을 실습합니다

Verify-HeadlessLTV.py는 cryptography로 증거 서명·식별자를, pypdf로 DSS·VRI 참조를, MuPDF로 서명 Contents 암호화 예외를, OpenSSL로 정확한 PDF ByteRange를 독립 검사합니다