认证签名的LTV

Question

在过去的几周里，我一直在使用iText对PDF文件进行数字签名，根据我的理解，有两种方法可以将信息添加到PDF中，使其启用LTV：

>

使用iText示例中提供的代码添加信息，此方法要求签名已经存在，因为DSS

嵌入crl字节

尽管第一种方法生成了一个整洁的pdf文件，但问题是它修改pdf文件以创建/附加条目，从而导致认证签名无效，第二个很好，但它会根据crl列表的大小大幅增加pdf大小（这也可能会增加超时时间）。

综上所述，除了将信息嵌入签名本身之外，还有其他方法使认证签名LTV启用吗？有没有办法在签名时创建dds/vri字典？

编辑：以下是评论中要求的更多信息：

用于添加ltv信息的代码：

    public static void processDocumentLtv(String filePath) throws IOException, GeneralSecurityException, DocumentException {

    long startTime = System.currentTimeMillis();

    File original = new File(filePath);
    File temp = new File(filePath + ".ltv");

    PdfReader reader = new PdfReader(filePath);
    PdfStamper stamper = new PdfStamper(reader, new FileOutputStream(temp), '\0', true);

    LtvVerification ltvVerification = stamper.getLtvVerification();
    OcspClient ocspClient = new OcspClientBouncyCastle();
    AcroFields fields = stamper.getAcroFields();
    List<String> signatureNames = fields.getSignatureNames();
    String sigName = signatureNames.get(signatureNames.size() - 1);
    PdfPKCS7 pkcs7 = fields.verifySignature(sigName);
    Certificate[] chain = pkcs7.getSignCertificateChain();
    X509Certificate x509certificate = pkcs7.getSigningCertificate();

    byte[] ocspResponse = ocspClient.getEncoded(x509certificate, CertificateUtils.getParent(x509certificate, chain), null);
    Collection<byte[]> crlBytes = CertificateUtils.fetchCrlBytes(x509certificate, chain);
    Collection<byte[]> ocspBytes = null;

    if (ocspResponse != null) {
        ocspBytes = new ArrayList<>();
        ocspBytes.add(ocspResponse);
    }

    ltvVerification.addVerification(sigName, ocspBytes, crlBytes, null);

    ltvVerification.merge();

    stamper.close();
    reader.close();

    Files.copy(temp.toPath(), original.toPath(), StandardCopyOption.REPLACE_EXISTING);
    temp.delete();

    logger.info("Took {}ms to do add the ltv information to the document.", (System.currentTimeMillis() - startTime));
}

文档示例：在尝试添加LTV数据之前：https://www.dropbox.com/s/79ll23ndt9mbh3g/pdf-sample-pre-ltv.pdf?dl=0

运行上述代码后：https://www.dropbox.com/s/hjl73es6hrqspi3/pdf-sample-post-ltv.pdf?dl=0

我使用的是AdobeReaderDCV15。017.20053作为我的PDF查看器。

Answer 1

我用OP的示例PDF进行了一些测试。事实上，Adobe Acrobat（Reader）不喜欢iText生成的PAdES-4 LTV添加到不允许更改认证的PDF中，这有点大脑分裂，两者都说

文件作者不允许自应用此签名以来对本文件所做的某些更改。

和

自应用此签名以来，未对本文件进行任何更改。

（按“计算修改列表”后的“Adobe Acrobat签名属性”对话框）

这种情况仍然存在，即使我删除了任何变化超过了LTV信息的添加（iText另外调整文档修改日期元数据），我最终甚至删除了添加的扩展条目ESIC（BaseVersion 1.7，ExtensionLevel 5），它向PDF查看器表明PAdES-4可以存在LTV内容，并且仅保留DSS参考内容。

因此，Adobe Acrobat违反了PAdES-4规范，该规范要求

DocMDP限制（见ISO 32000-1 112.8.2.2条款）不适用于包含DSS字典和相关VRI、Certs、CRL和OCSP的PDF文档的增量更新。

（ETSI TS 102 778-4 V1.1.2 (2009-12)附件A.1文件安全存储）

尽管Leonard Rosenthol（当时的Adobe PDF传道者）在iText邮件列表上保证

我与我的工程师进行了核实，他们确实验证了DocMDP/Cert签名完全支持LTV。

（回复日期为2012年1月17日的"验证认证（使用转换方法DocMDP）签名"；下午3:15pm）

我没有检查两个选项，虽然，可能Adobe Acrobat只遵守PAdES-4要求，如果认证签名是PAdES-3签名，或者如果已经在刚刚认证版本中的认证文档至少包含扩展条目ESIC（BaseVersion 1.7，ExtensionLevel5）。

手边的文件包含一个传统的ISO 32000-1签名（可以被视为PAdES-2签名，但也可以被视为PAdES-2签名），并表明PDF版本1.3没有ESIC扩展条目。

在最终将其称为AdobeAcrobat bug之前，我会尝试使用PAdES-3签名和ESIC扩展条目（或根据PAdES-4第4.4节的ADBE条目）进行更改。

综上所述，除了将信息嵌入签名本身之外，还有其他方法使认证签名LTV启用吗？有没有办法在签名时创建dds/vri字典？

PAdES-4增补内容是指文件先前版本中的签名，而不是同一版本中添加的签名。因此，虽然在技术上可以在同一版本中添加信息，但不能保证合格的PDF查看器会使用这些信息。