PDF签名-LTV-CRL替代？

Question

我想知道是否有一个替代包括完整的CRL同时仍然支持LTV？包含完整的CRL似乎有点矫枉过正，而似乎唯一需要的“东西”是包含一个可验证的证明，证明链中的证书在签名时没有被撤销。我认为使用OCSP可能会提供这样的功能，但是简单地删除CRL并包含一个OcspClientBouncyCastle实例并不能起到作用。授予SignDetached的OCSP是否用于检查证书是否在签名时被吊销？

一个相关的问题涉及LTV“支持”本身。正如我提到的，Acrobat Reader仅在包含CRL时表明文件支持LTV。但是，在在线服务http://dss.nowina.lu/validation（EU reference）上进行检查似乎表明了一些其他的东西。在那里，即使没有嵌入CRL的文件也在描述“AdES-T验证是否确凿？”后面有一个有效的检查。（这是“长期验证数据”下的唯一检查点）。因此，我想知道是否需要包括LTV的CRL？

只要说我很困惑就够了：）。

事先谢谢你的帮助。

Answer 1

我看了你的文件样本。它不符合任何LTV配置文件，仅符合T级，即有时间戳。

PDF签名仅通过使用子过滤器etsi.cades.detached嵌入单个CMS容器来实现，该子过滤器包含

>

CMS容器证书集中签名者证书的证书链

>

C=BE，CN=比利时根CA2

C=BE，CN=Citizen CA，SerialNumber=201103

C=BE,CN=Donny Tytgat（签名）,Surname=Tytgat,Givenname=Donny Geert,SerialNumber=81032305309)；

• CN=比利时OCSP响应器，C=BE

其扩展名为id-pkix-ocsp-nocheck；

签名时间戳

null

符合T级的PAdES签名应是符合B级的签名,信任服务提供者[I.4]已为其生成可信令牌（时间标记或时间戳令牌）,证明该签名本身在某一日期和时间实际存在。

第7节-T级一致性要求-ETSI TS 103 172 V2.2.2

其中B级一致性定义为

本条款定义了声称符合B级的PAdES签名必须满足的要求。目前的条款规定了短期电子签名的遵守要求。

该子句实际上描述了PADES-BE（不包含签名-策略-标识符的签名）和PADES-EPE（包含签名-策略-标识符的签名）签名。

第6节.B级一致性要求-ibidem

（还满足了其他要求。）

它不符合LT-Level要求：

生成器应包括在验证签名者时使用的全套撤销数据（CRL或OCSP响应），以及签名时使用的CA证书。此集合包括验证签名证书、验证签名中存在的任何属性证书以及验证已并入签名的任何时间戳令牌的签名证书（即TSA证书）所需的所有证书状态信息。

因此，它也可能不符合LTA级别的as

符合LTA级别的PAdES签名应是符合LT级别的签名，该LT级别包含了一个或多个文档时间戳

我想知道是否有一个替代包括完整的CRL同时仍然支持LTV？包含完整的CRL似乎有点矫枉过正，而似乎唯一需要的“东西”是包含一个可验证的证明，证明链中的证书在签名时没有被撤销。我认为使用OCSP可能会提供这样的html" target="_blank">功能

如果有一个适当的PKI基础设施是可能的。但不幸的是，CA和TSA证书都不包含对其负责的OCSP响应程序的信息。因此，比利时公民公钥基础设施不为这些证书提供OCSP服务，或者只是不公开这一规定。

顺便说一句，这是诊断树的说明

<Message Id="0">OSCP Uri not found in certificate meta-data !</Message>

是您在使用http://dss.nowina.lu/validation服务验证签名时获得的。