如何为时间戳签名启用LTV？

Question

我正在使用iText 5.5.3来签署PDF文档。我需要这些文件是时间戳和LTV启用。我按照说明使用addLtv方法（代码示例5.9，Lowagie白皮书第137页）。我得到一个带有2个签名的PDF，这是正常的：第一个是我自己的签名，第二个是文档级时间戳。

但是，Acrobat告诉我我的签名启用了LTV，但时间戳签名没有：

图片来自Acrobat Pro XIhttp://img15.hostingpics.net/pics/727285so2.jpg

这是因为时间戳证书的撤销信息没有嵌入到文档中：

缺少吊销信息1http://img15.hostingpics.net/pics/491507so2a.jpg

缺少吊销信息2http://img15.hostingpics.net/pics/312720so2b.jpg

根据我的理解，addLtv方法应该获得所需的所有撤销信息，并将其嵌入到文档中。这是正确的，还是我必须“手动”获取并嵌入这些信息？

Answer 1

我所做的是通过请求两个时间戳（使用第一个时间戳提取LTV数据并更新DSS，使用第二个时间戳实际为文档添加时间戳），在为文档添加时间戳之前为时间戳嵌入LTV数据：

1. 从TSA请求虚拟时间戳令牌
2. 提取并验证此令牌的信任链
3. 在文档DSS中为链中的证书添加OSP回复和CRL
4. 现在请求文档的第二个时间戳（包括更新的DSS），并用它来给PDF加盖时间戳
5. 验证两个时间戳由同一个证书签名（对于不太可能的情况，TSA使用不同的证书）

从tsa令牌中提取签名证书：

        IDigest messageDigest = tsaClient.GetMessageDigest();
        byte[] tsImprint = new byte[messageDigest.GetDigestSize()];
        messageDigest.DoFinal(tsImprint, 0);
        byte[] tsToken;
        try {
            tsToken = tsaClient.GetTimeStampToken(tsImprint);
        } catch(Exception e) {
            throw new GeneralSecurityException(e.Message);
        }
        Asn1Sequence asn1Seq = Asn1Sequence.GetInstance(tsToken);
        ContentInfo sigData = ContentInfo.GetInstance(asn1Seq);
        TimeStampToken token = new TimeStampToken(sigData);
        IX509Store tokenCerts = token.GetCertificates("COLLECTION");
        List<X509Certificate> signingCerts = new List<X509Certificate>();
        foreach(X509Certificate cert in tokenCerts.GetMatches(token.SignerID)) {
            signingCerts.Add(cert);
        }
        // now perform LTV steps for signingCerts[0] ...

Answer 2

这是该问题涉及的示例代码：

public void addLtv(String src, String dest, OcspClient ocsp, CrlClient crl, TSAClient tsa) throws IOException, DocumentException, GeneralSecurityException
{
    PdfReader r = new PdfReader(src);
    FileOutputStream fos = new FileOutputStream(dest);
    PdfStamper stp = PdfStamper.createSignature(r, fos, '\0', null, true);
    LtvVerification v = stp.getLtvVerification();
    AcroFields fields = stp.getAcroFields();
    List<String> names = fields.getSignatureNames();
    String sigName = names.get(names.size() - 1);
    PdfPKCS7 pkcs7 = fields.verifySignature(sigName);
    if (pkcs7.isTsp())
    {
        v.addVerification(sigName, ocsp, crl,
            LtvVerification.CertificateOption.SIGNING_CERTIFICATE,
            LtvVerification.Level.OCSP_CRL,
            LtvVerification.CertificateInclusion.NO);
    }
    else
    {
        for (String name : names)
        {
            v.addVerification(name, ocsp, crl,
                LtvVerification.CertificateOption.WHOLE_CHAIN,
                LtvVerification.Level.OCSP_CRL,
                LtvVerification.CertificateInclusion.NO);
        }
    }
    PdfSignatureAppearance sap = stp.getSignatureAppearance();
    LtvTimestamp.timestamp(sap, tsa, null);
}

此代码标识PDF中最近填写的签名字段，并检查它是文档时间戳还是常用签名。

如果它是文档时间戳，则代码仅为此文档时间戳添加验证信息。否则，代码将为所有签名添加验证信息。

（这背后的假设工作流程是首先对文档进行多次签名（用于认证和/或批准），然后文档进入LTV周期，添加验证信息和文档时间戳，但不再进行常规签名。您的工作流程可能会有所不同，因此您的程序逻辑也会有所不同。（

只有在完成所有这些之后，才会添加新的文档时间戳。

对于最终添加的时间戳，没有向PDF中明确添加验证信息（如果来自同一TSA的文件时间戳已短时间连续应用，则先前时间戳中包含的验证信息可能适用）。这就是为什么Adobe Reader／AcROBAT通常不考虑这个文档时间戳启用LTV的原因。

如果您也需要此最终文档时间戳的验证信息，只需将此方法（与上述方法相同，只是不添加文档时间戳）应用于具有文档时间戳的文件：

public void addLtvNoTS(String src, String dest, OcspClient ocsp, CrlClient crl) throws IOException, DocumentException, GeneralSecurityException
{
    PdfReader r = new PdfReader(src);
    FileOutputStream fos = new FileOutputStream(dest);
    PdfStamper stp = new PdfStamper(r, fos, '\0', true);
    LtvVerification v = stp.getLtvVerification();
    AcroFields fields = stp.getAcroFields();
    List<String> names = fields.getSignatureNames();
    String sigName = names.get(names.size() - 1);
    PdfPKCS7 pkcs7 = fields.verifySignature(sigName);
    if (pkcs7.isTsp())
    {
        v.addVerification(sigName, ocsp, crl,
            LtvVerification.CertificateOption.SIGNING_CERTIFICATE,
            LtvVerification.Level.OCSP_CRL,
            LtvVerification.CertificateInclusion.NO);
    }
    else
    {
        for (String name : names)
        {
            v.addVerification(name, ocsp, crl,
                LtvVerification.CertificateOption.WHOLE_CHAIN,
                LtvVerification.Level.OCSP_CRL,
                LtvVerification.CertificateInclusion.NO);
        }
    }
    stp.close();
}

为什么iTextaddtlv示例不（一定）创建支持LTV的PDF，是因为它更接近ETSI在PAdES规范中提出的LTV最佳实践，而不是Adobe的LTV最佳实践。

根据ETSI TS 102 778-4 V1。1.2（2009-12）采用LTV的PDF文件的结构如图2所示。

通过添加进一步的DSS信息来验证前一个最后一个文档的时间戳以及新文档的时间戳，可以进一步延长保护的生命期，使其超过应用的最后一个文档的时间戳的生命期。图3说明了这一点。

另一方面，根据Adobe（2013年1月，他们的PDF传道者Leonard Rosenthol在iText邮件列表上撰文）的说法，

启用LTV意味着验证文件所需的所有信息（减去根证书）都包含在其中。所以你的这个说法是真的。

PDF已正确签名，并包含所有必要的证书、每个证书的有效CRL或OSCP响应

但是，由于该语句为真的唯一方法是DSS的存在，因此必须启用LTV的DSS才能显示。不需要时间戳（常规或文档级别）。

由于这种分歧，根据ETSI，PDF文档与LTV通常由Adobe软件呈现，以具有一个不启用LTV的文档时间戳。

另见

• 在iText中启用LTV