Relatórios de validação de assinaturas CMS

The standalone CMS APIs expose every primary SignerInfo and recursively nested counterSignature in deterministic document order

Signer graph

HPDFParseCMSSignatures returns all primary signer records, while HPDFVerifyCMSSignaturesEx verifies them against the supplied content stream

HPDFVerifyCMSSignerReport acrescenta counter-signatures recursivas e identifica cada entrada por Kind, SignerIndex, ParentSignerIndex, NestingDepth e um caminho estável como SignerInfo[0].CounterSignature[1]

THPDFCMSVerifyOptions.MaxSignerCount e MaxCounterSignatureDepth bound work on hostile containers while preserving deterministic output

Certificate and evidence report

HPDFBuildCMSValidationReport combina a verificação do signatário com a validação offline de certificados, controlada por quem chama, para todos os signatários do grafo

O THPDFSignatureValidationReport devolvido contém os resultados agregados de assinatura e de caminho, as contagens de signatários, o estado de sucesso, um THPDFValidationFailureCode legível por máquina e o THPDFSignatureInfo completo de cada signatário

Os detalhes de certificado por signatário incluem o caminho selecionado, o resultado de confiança, a origem e os timestamps de revogação, as decisões sobre nonce OCSP, o uso de delta CRLs e CRLs indiretas, as políticas de certificado efetivas, as forças mínimas de chave observadas e diagnósticos da política de algoritmos

JSON export

HPDFSignatureValidationReportToJSON exporta o relatório como JSON de schema versão 1, com valores de texto escapados e nomes de campo estáveis, adequados a logs de auditoria, motores de políticas e automatização de testes

O exportador não faz qualquer acesso à rede e não modifica o relatório nem o stream de origem

Operational guidance

• Use trust anchors explícitas e defina ValidationTime ao reproduzir uma decisão de validação histórica
• Use rvmRequire quando um resultado bem-sucedido tiver de incluir evidência de revogação offline atual
• Use onpRequireMatch com ExpectedOCSPNonce quando o fluxo de trabalho controla o pedido OCSP de origem
• Defina limites conservadores de signatários e de aninhamento para CMS de origem não fiável
• Guarde o relatório JSON juntamente com a revisão assinada exata e o conjunto de evidências quando o rasto de auditoria tiver de ser reproduzível

Ver também: VerifyLoadedSignatureWithTrust, GetLoadedSignatureInfo