Opções nativas de assinatura em Linux

A ABI nativa de callbacks vincula as restrições de assinatura de documentos à saída real de CMS e à aparência gerada

Digest e metadados Unicode

A operação de assinatura aceita digestMethod como SHA256, SHA384 ou SHA512; o default é SHA256 e o valor selecionado determina o digest real do signer CMS

reason, location, contactInfo, signerName e legalAttestation aceitam strings Unicode sem carateres NUL incorporados

Os metadados seguem a política de encriptação de strings do documento fonte, incluindo entradas autenticadas AES-256

legalAttestation aplica-se a assinaturas de certificação e torna-se o valor de catalog Legal.Attestation

Valores exigidos de seeds governam o digest real, o reason, as propriedades de certificados, a permissão de certificação, o atestado legal, o perfil de aparências, a informação de revogação e o comportamento de timestamps

Bytes explícitos de confiança

trustedCAPEM, timestampTrustedCAPEM e timestampTrustedCRLPEM aceitam bytes PEM em strings JSON

As entradas legadas correspondentes de caminhos são trustedCAFile, timestampTrustedCAFile e timestampTrustedCRLFile; forneça bytes ou um caminho para cada fonte de confiança

As entradas PEM são guardadas em ficheiros privados exclusivos com modo 0600 durante a operação e removidos depois; as respostas não expõem esses caminhos gerados

A confiança em certificados de signers só é avaliada quando configurada explicitamente, enquanto a verificação de integridade CMS continua a verificar a assinatura real e o binding de certificados de assinatura

Informação validada assinada de revogação

Forneça um objeto revocationInfo com enabled, certificatesBase64, ocspResponsesBase64, crlsBase64 e trustedCAPEM ou trustedCAFile

enabled tem por defeito true; informação desativada não pode incluir arrays de evidência

Os arrays contêm strings Base64 canónicas para certificados DER completos, objetos OCSPResponse bem-sucedidos e objetos CertificateList

clockSkewSeconds tem por defeito 300 e tem de estar entre 0 e 86400; maxOCSPAgeSeconds tem por defeito 86400 e tem de ser positivo; requireTimestamp tem por defeito false

A validação verifica as cadeias de certificados de signers e de timestamps incluídos contra confiança explícita, cobertura completa não raiz, correspondência de emissores e números de série, assinaturas de CRLs e OCSP, autorização de respondedores, intervalos de validade e estado de revogação

Evidência malformada, obsoleta, incompleta, não fidedigna ou revogada falha antes da publicação do PDF

Evidência validada torna-se o atributo assinado CMS 1.2.840.113583.1.1.8, e o resultado reporta revocationInfoEvaluated e revocationInfoValid

signatures.verify aceita o mesmo objeto revocationInfo para validar o atributo assinado realmente incorporado; CRLs e respostas OCSP de quem chama não substituem esse atributo durante a verificação

Objetos de evidência e bytes totais partilham os limites da operação, e as verificações criptográficas usam o token de cancelamento da operação

Presets reais nomeados de aparências

Forneça um objeto appearance com caption, fontFamily opcional e profileName opcional

O preset determina o estilo dele e o tamanho do tipo de letra; um perfil desconhecido falha em vez de rotular uma aparência arbitrária

Um AppearanceFilter exigido corresponde ao perfil realmente gerado durante a operação atual; uma aparência previamente carregada tem de ser regenerada

Sem profileName, fontSize tem por defeito 12; caption, fontFamily e fontSize legados de topo permanecem suportados

Não combine uma caption de topo com um objeto appearance

Proveniência de transports de aplicações

credentialSourceURL declara a proveniência de credenciais afirmada pela aplicação que fornece a identidade, e timestampServerURL declara a proveniência de endpoints afirmada pelo callback de timestamps dela

Estes valores são comparados com as restrições correspondentes exigidas de seeds; eles não vão buscar credenciais, não acedem a um servidor remoto nem autenticam de forma independente a identidade de endpoints HTTPS

A aplicação controla a recuperação de identidades e a autenticação de transports

timestampServerURL exige um callback real em hpdf_signing_operation_v1, e a resposta RFC 3161 devolvida tem de passar nas verificações de imprint de assinaturas, de nonce, de propósito de certificados TSA, de confiança explícita e de revogação pedida

Workflows de assinatura · Transport de timestamps · Restrições de seeds · Perfis de aparências