Native signature validation evidence

HPDFHeadlessLTV uwierzytelnia łańcuchy certyfikatów i dowody DER OCSP albo CRL, zanim magazyn bezpieczeństwa dokumentu zostanie dodany do podpisanego PDF

AddSignatureValidationEvidence weryfikuje oryginalne ByteRanges PDF, podpis CMS, zaufany łańcuch podpisującego i wymagany znacznik czasu RFC3161, a potem sprawdza pokrycie revokacji dla każdego certyfikatu niebędącego kotwicą w łańcuchach podpisującego i TSA

Weryfikacja OCSP sprawdza podpis respondenta, łańcuch i autoryzację, kompletne identyfikatory certyfikatów issuer-name i issuer-key, numery seryjne, status dobry, producedAt, thisUpdate, nextUpdate i skonfigurowane okna świeżości; odpowiedzi revokowane, nieznane, niepowiązane, zduplikowane, przestarzałe, przyszłe albo nieuwierzytelnione są odrzucane

Weryfikacja CRL używa izolowanego magazynu dla każdej dostarczonej listy issuerów i sprawdza issuer, podpis, zakres, okno ważności i status revokacji certyfikatu; starsza CRL załadowana przez inne źródło nie może zastąpić rzeczywiście dostarczonych dowodów

Katalog DSS zawiera globalne tablice Certs, OCSPs i CRLs, z wpisem VRI referencjonującym zweryfikowane dowody dla wybranego podpisu; jego wielkimi literami klucz SHA-1 pokrywa kompletny ciąg Contents, łącznie z rezerwowym paddingiem zerowym, zgodnie z wymaganiami indeksu VRI PDF

SHA-1 jest używany wyłącznie do narzuconego indeksu VRI albo dostarczonego identyfikatora certyfikatu OCSP; nie wybiera algorytmu podpisu PDF podpisującego, TSA, respondenta ani certyfikatu

Writer zachowuje oryginalne podpisane bajty i istniejące wpisy DSS oraz dokleja rewizję przyrostową; źródła Standard AES-256 zachowują szyfrowanie dla nowo generowanych strumieni dowodów, podlegając uprawnieniu modyfikacji albo uwierzytelnieniu właściciela

Sprawdzenia zaufania i dowodów używają bieżącego zegara weryfikacji; to API nie ustanawia historycznej walidacji po wygaśnięciu certyfikatu ani nie dodaje znacznika czasu dokumentu chroniącego późniejsze rewizje DSS

Dane DSS dodane po podpisie leżą poza ByteRange tego podpisu; niezależnie uwierzytelniaj osadzone dowody, gdykolwiek są używane, i użyj późniejszego podpisu albo znacznika czasu dokumentu, gdy wymagana jest uwierzytelniona rewizja archiwalna

Resource and failure behavior

Jawne korzenie zaufania dostarczone przez wywołującego są obowiązkowe, a wymaganie znacznika czasu domyślnie True; zainicjuj THPDFHeadlessLTVOptions przez Default

Limity bajtów, obiektów, zdekodowanych strumieni, wyjścia i anulowania są sprawdzane przed publikacją grafu; odrzucone dowody pozostawiają dokument niezmieniony, a SaveToFile publikuje przez istniejącego atomowego writera

Acceptance

Run-HeadlessLTVTests.sh, Run-HeadlessLTVTests-Windows.cmd i Run-HeadlessLTVTests-Delphi.ps1 ćwiczą rzeczywiste odpowiedzi OpenSSL OCSP, CRL, CMS i lokalne RFC3161 na Linuksie i Windows bez pulpitu czy czytnika PDF

Verify-HeadlessLTV.py niezależnie sprawdza podpisy i identyfikatory dowodów biblioteką cryptography, referencje DSS/VRI pypdf, wyjątek szyfrowania Contents podpisu MuPDF i dokładne ByteRanges PDF OpenSSL-em