LTV启用PDF格式的签名

Question

据我所知有两种方法

• 添加DSS字典
• 在签名时在签名中嵌入CRL或OCSP响应

DSS方法似乎是可行的，Adobe将签名识别为启用了LTV。第二种方法更适合我们的应用程序，所以我仍在努力让它工作。我在向签名添加OCSP响应时遇到了问题，所以我只尝试添加证书和CRL。如果我错了，请纠正我，但据我所知，CRL或OCSP响应都应该添加到签名中。不需要两者兼而有之吗？我收集签名证书及其根证书，还有TSA证书及其根证书。之后，我获取所有的CRL。所有这些都在签名和时间戳之前添加。只添加证书和CRL似乎不起作用，因为Adobe没有将签名识别为启用LTV。我真的不明白我做错了什么，所以感谢任何帮助！

Store crlStore = new JcaCRLStore(crls); 
gen.addCRLs(crlStore);

Store certStore = new JcaCertStore(certList); 
gen.addCertificates(certStore);

Answer 1

错误之处在于将CRL放入通常用于CRL的CMS签名容器元素中。然而，在集成PDF签名的情况下，情况就不同了；在这里，CRL应该在一个特殊的有符号属性中。

查看ISO 32000-1，其中已经指定了该属性：

PKCS#7对象应包含以下内容：

......

• 作为签名属性的撤销信息（PDF 1.6）：该属性可能包括对签名者的证书及其签发者证书进行撤销检查所必需的所有撤销信息。由于撤销信息是一个签名属性，因此必须在数字签名的计算之前获得。这意味着签名者使用的软件必须能够构造认证路径和相关的撤销信息。如果其中一个元素无法获得（例如不可能连接），则具有该属性的签名将是不可能的。

......

adbe吊销信息属性：

adbe-revocationInfoArchival OBJECT IDENTIFIER ::=
                              { adbe(1.2.840.113583) acrobat(1) security(1) 8 }

吊销信息属性的值可以包括以下任何数据类型：

• RFC 3280（参见参考书目）中描述的证书撤销列表（CRL）：CRL通常较大，因此不应嵌入PKCS#7对象中
• RFC 2560，X.509 Internet公钥基础设施在线证书状态协议（OCSP）中描述的在线证书状态协议（OCSP）响应（参见参考文献）：这些响应通常较小且大小恒定，应该是PKCS#7对象中包含的数据类型
• 自定义撤销信息：本规范未规定该格式，但该格式可以编码为八位字节字符串。应用程序应该能够通过查看相关的对象标识符来确定八位字节字符串中包含的数据类型

adbe的吊销信息属性值具有ASN。1类撤销：

RevocationInfoArchival ::= SEQUENCE {
  crl [0] EXPLICIT SEQUENCE of CRLs, OPTIONAL
  ocsp [1] EXPLICIT SEQUENCE of OCSP Responses, OPTIONAL
  otherRevInfo [2] EXPLICIT SEQUENCE of OtherRevInfo, OPTIONAL
}
OtherRevInfo ::= SEQUENCE {
  Type OBJECT IDENTIFIER
  Value OCTET STRING
}