Adobe Acrobat 时间戳错误答案

【问题标题】：Adobe Acrobat timestamp errorAdobe Acrobat 时间戳错误
【发布时间】：2017-09-28 20:54:27
【问题描述】：

我正在测试 RFC 3161 Timestamp Server，我正在使用 Foxit Reader、Xolido Sign Desktop 和 Adobe Acrobat Pro DC 为 PDF 添加时间戳。我可以使用 Foxit Reader 和 Xolido 制作时间戳，但 Adobe Acrobat 会返回“Error durante la Firma。El nombre TSA 不重合”，类似于“签名错误。TSA 名称不匹配”。我已经搜索并且 Adobe config 中的 TSA 服务器名称是您想要的，我已经用证书的主题进行了完全测试，只是公用名等。服务器在时间戳响应中将证书主题作为 TSA 名称返回，但它似乎是行。我不知道为什么 Adobe 会这么说，而 Foxit 和 Xolido 都可以。

I added a FoxitReader Screen after validate the timestamp.

Foxit Reader 对话框显示“签名有效。由 TimestampTest 签名。文档自签名后未被修改。签名是来自安全时间等的文档时间戳。”

PDF timestamp example with Foxit Reader

【问题讨论】：

我认为 TSA 签名者证书或连接保护证书存在问题。请分享样本进行分析。
嗯，我不知道你想要什么样的样品。我只是用 KeyStoreExplorer 和 PFX 证书生成器生成了很多证书。我已经下载了一些 TSA 证书并与我的证书进行比较，并更新了一些字段，但一切都是一样的。我有 ExtendedKeyUsage="Timestamping" (Critical), KeyUsage="Digital Signature, Non repudiation" (Critical), Basic Constraints="Subject is not a CA, Path Length Constraint: None", Authority Key Id 和 Subject Key Id跨度>
在主题中我有 {CN, O, C} 就像其他 TSA 证书一样（例如timestamp.wosign.com）。也许我的服务器有问题，不是证书，但我不明白为什么 foxit 阅读器可以正常工作。
“我不知道你想要什么样的样本。” - 一个带有时间戳的示例 PDF，可以观察到你描述的行为。
屏幕截图没有帮助。请分享一个带有时间戳的示例 PDF，您所描述的行为可以被观察到。

标签： pdf adobe trusted-timestamp

【解决方案1】：

好吧，我终于解决了这个问题。我使用 OpenSSL 发现了相同的“tsa 名称不匹配”错误，并阅读了 OpenSSL 源代码，我看到这是时间戳令牌中 TSA 名称和证书主题之间的本地比较。我的服务器正在使用 BouncyCastle，当您从 X500 主题创建 TSAName 时，由于“标准事物”，它会反转主题 RDN（例如，它交换 C=Foo、O=SomeOrg 等），因为 TSA 名称是 GeneralName 对象而不是 X500Name 对象。

我反转主题，然后创建令牌 TSA 名称，现在 Openssl 和 Adobe 都验证正常。

在我现在拥有的服务器中：

tsTokenGen.setTSA(new GeneralName(reverseX500Name(new X500Name(tsuName))));

public static X500Name reverseX500Name(final X500Name name) {
    RDN[] orig = name.getRDNs();
    int n = orig.length;
    RDN[] _new = new RDN[n];
    for (int i = 0; i < n; i++) {
        _new[i] = orig[n - 1 - i];
    }
    return new X500Name(_new);
}

OpenSSL 等效错误是 INT_TS_RESP_VERIFY_TOKEN，它会在 ts_rsp_verify.c 第 459 行（相对于 OpenSSL 版本的行）中抛出错误。

【讨论】：