QESeal LTV 验证

Question

几个月前，我遇到了签名 PDF 和 LTV 的问题。 Acrobat Reader 显示签名已启用 LTV，几个月后它开始显示其他情况，签名未启用 LTV，并将在签名后约 1 年到期。

现在我正在开发一个新的实施方案，只是想确保 LTV 这次不会消失。我也得到了一些关于使用 DSS 库来验证我的签名的提示。 Adobe 这次还表示签名已启用 LTV。 DSS 验证器抱怨一件事：签名属性：'signing-certificate' 不存在！我已经检查过，这是正确的，因为 ASN1 结构中没有签名证书属性，但有签名证书V2。我还尝试添加签名证书属性，但后来遇到了一些其他问题。不过，我可能以错误的方式做到了这一点。有必要两者兼得吗？我应该/可以忽略这个警告吗？如何确定 LTV？还有其他的验证方式吗？

Answer 1

首先，“启用 LTV”一词的定义并不像人们希望的那样明确。正如这里多次提到的堆栈溢出（例如here、here 或 here），如果在验证过程中观察到它不需要，Adobe Acrobat 将显示给定签名“启用 LTV”访问远程资源以检索验证所需的信息。

因此，Adobe Acrobat 是否认为您的签名 LTV 已启用，取决于 Adob​​e 签名验证代码的（关闭！）算法以及 Adob​​e Acrobat 中的签名验证配置。

这两个因素都可能发生变化！

因此，从本质上讲，您无法“确定 LTV”！

不过，您可以尽量提供尽可能多的相关验证相关信息并及时修复。这会提高您的签名被并将继续被视为由 Adob​​e Acrobat 启用的 LTV 的机会。

---

现在关于您的问题：

signing-certificate ... signing-certificate V2 ... 两者都需要吗？

首先，Adobe Acrobat 验证例程不需要这些属性。 （不是还，也就是说。）所以这（还没有？）与您的目标无关。

如果您仍然感兴趣 - 不。如果您的签名算法依赖于 SHA-1 进行散列（它当然不应该这样做！），您应该使用普通的签名证书属性（在 CMS 中称为 ESSCertID）。如果它依赖于不同的、更高级的算法，您应该使用较新的 signing-certificate-V2 属性（在 CMS 中称为 ESSCertIDv2）并使用与您的签名算法相同的哈希算法。

仅当您的签名也将由支持 ESSCertID 但尚不支持 ESSCertIDv2 的较旧（非常古老）软件验证时，您才可以考虑添加这两个属性。

顺便说一下，eSig DSS 确实支持 ESSCertID 和 ESSCertIDv2。因此，如果它说缺少签名属性，则意味着您在签名中看到的签名属性 V2 有问题...

我应该/我可以忽略这个警告吗？

关于 Adob​​e 的“启用 LTV”配置文件，您目前可以暂时忽略该警告。而且，Adobe 是否会在未来默认开始要求该属性以及（如果是）究竟如何，很难说。

如何确定 LTV？是否有其他验证方式？

如上所述，您可以不确定签名的“LTV 启用”状态。

不过，考虑到screen shot you shared，它提到您的 PDF 签名仅达到了 BASELINE-T 等效级别。特别是，您没有达到 BASELINE-LT 等价物，更不用说这里的 BASELINE-LTA 等价物了。因此，就 ETSI 一致性验证而言，所需的撤销信息并非都在您的 PDF 中找到。

与 ETSI 规则相比，Adobe 的验证规则（当前）非常宽松，因此它可能仍会显示“LTV 已启用”。但是，除非您至少想将签名改进到 BASELINE-LT，否则使用电子签名 DSS 作为验证工具并不能帮助您...