Podpisy i znaczniki czasu SHA3 w PDF

HotPDF stosuje jedną politykę digestu dla odłączonego CMS, atrybutów podpisanych, identyfikatorów podpisu RSA lub ECDSA, odcisków wiadomości RFC 3161, znaczników czasu podpisu i dokumentu, słowników Seed Value oraz weryfikacji załadowanych podpisów

Wybór digestu

THPDFCMSDigestAlgorithm dostarcza cmsdaSHA256, cmsdaSHA384, cmsdaSHA512, cmsdaSHA3_256, cmsdaSHA3_384 i cmsdaSHA3_512

Options := HPDFCMSDefaultOptions(palBaseline_B_T);
Options.DigestAlgorithm := cmsdaSHA3_384;
Options.SignatureScheme := cmsRSAPSS;
Options.PSSSaltLength := 48;

HPDFCMSBuildSignedDataEx, funkcje podpisywania strumieni, zewnętrzni podpisujący i dostawcy podpisów — wszyscy zużywają wybrany digest bez fallbacku do SHA-256

RSA PKCS#1 v1.5 używa specyficznego dla digestu DigestInfo, RSA-PSS używa pasujących parametrów hash i MGF1, a cmsECDSA emituje złożony OID podpisu ECDSA dla wybranego digestu

Polityka znaczników czasu

GetContentTimeStamp odbiera wybrany digest dokumentu, a GetSignatureTimeStamp wybrany digest wartości podpisu CMS

Zwrócone tokeny RFC 3161 są odrzucane, chyba że i OID, i bajty odcisku wiadomości pasują do wybranej polityki digestu

Przeciążenie THotPDF.RenewPAdESLTATimestamp z parametrem DigestAlgorithm stosuje tę samą politykę do odnowienia znacznika czasu archiwizacji, a przeciążenie kompatybilności pozostaje przy SHA-256

Deklaracja w PDF i Seed Values

Użycie SHA3-256, SHA3-384 lub SHA3-512 w THPDFPage.AttachPAdESSeedValue automatycznie deklaruje rozszerzenie deweloperskie ISO 32001 PDF 2.0

Wpis katalogu używa /Extensions /ISO_ z /BaseVersion /2.0, /ExtensionLevel 32001, /ExtensionRevision (:2022) i /Type /DeveloperExtensions

Wymagania dostawców

THPDFPKCS11SignatureProvider mapuje żądania SHA3 na odpowiadające identyfikatory hash i MGF PKCS#11 oraz konwertuje surowe podpisy ECDSA do CMS DER

THPDFWindowsKeyStorageSignatureProvider przekazuje wybrany algorytm SHA3 do CNG i również konwertuje surowe podpisy ECDSA do CMS DER

SignPDFWithSystemCertificate stosuje tę samą politykę CNG do kluczy z magazynu certyfikatów Windows, a klucze legacy CryptoAPI jawnie odrzucają SHA3

Token, dostawca magazynu kluczy lub wersja Windows, które nie implementują żądanego algorytmu SHA3, zwracają jawny status nieobsługiwane

Wydajność strumieniowania

Zakresy bajtów PDF są hashowane w ograniczonych porcjach, a podpisywanie SHA3 może dzielić ten sam skan zakresów z generowaniem PDF MAC, włącznie z bezpośrednim ponownym użyciem digestu, gdy obie polityki wybiorą ten sam algorytm