使用iText7将撤销信息添加到签名

Question

我正在制作长期签名。我试图将吊销信息（CRL、OCSP响应、证书链）作为未签名属性添加到签名中，但最终签名中未嵌入吊销信息。以下是代码片段：

        Stream outputStream = new MemoryStream();

        List<byte[]> ocspCollection = new List<byte[]>();
        List<byte[]> crlCollection = new List<byte[]>();
        List<byte[]> certsCollection = new List<byte[]>();

        Stream readerStream = new MemoryStream(signedDocument);
        PdfReader pdfReader = new PdfReader(readerStream);
        PdfSigner pdfSigner = new PdfSigner(pdfReader, outputStream, new StampingProperties().UseAppendMode());

        LtvVerification ltvVerification = new LtvVerification(pdfSigner.GetDocument());

        X509Chain chain = new X509Chain();
        chain.Build(signerCertificate);

        foreach (X509ChainElement item in chain.ChainElements)
        {
            byte[] certBytes = item.Certificate.Export(X509ContentType.Cert);
            certsCollection.Add(certBytes);
        }

        foreach (byte[] ocsp in revocationInfo.OCSPResponses)
        {
            ocspCollection.Add(ocsp);
        }

        foreach (byte[] crlBytes in revocationInfo.CRLs)
        {
            crlCollection.Add(crlBytes);
        }

        bool revocationInfoAdded = ltvVerification.AddVerification(signingRequest.FieldName, ocspCollection, crlCollection, certsCollection);

LTV验证。AddVerification（）方法在响应中返回true。

请从以下链接找到签名文件：https://1drv.ms/b/s！AvIgyv7xAxxoihGn9aFbe9TQSps4？ e=eKPdn8

在这方面的任何帮助都将受到高度赞赏。问候

Answer 1

您使用了一个PdfSigner（这只有在应用签名或文档时间戳时才有意义，但是您只提供了已经签名的文件），并且有一些我这里没有的变量。因此，我基本上是基于一个纯粹的PdfDocument和你的共享文件编写了一个例子，没有这些额外的变量：

using (PdfReader pdfReader = new PdfReader("LTV Doc-Revocation Info Issue.pdf"))
using (PdfWriter pdfWriter = new PdfWriter("LTV Doc-Revocation Info Issue-WithRevocation.pdf"))
using (PdfDocument pdfDocument = new PdfDocument(pdfReader, pdfWriter, new StampingProperties().UseAppendMode()))
{
    List<byte[]> ocspCollection = new List<byte[]>();
    List<byte[]> crlCollection = new List<byte[]>();
    List<byte[]> certsCollection = new List<byte[]>();
    ocspCollection.Add(File.ReadAllBytes(@"Ocsp"));
    crlCollection.Add(File.ReadAllBytes(@"Crl.crl"));

    LtvVerification ltvVerification = new LtvVerification(pdfDocument);
    ltvVerification.AddVerification("SH_SIGNATURE_532546", ocspCollection, crlCollection, certsCollection);
    ltvVerification.Merge();
}

检查一个人看到的结果：

特别是，提供的OCSP响应和提供的CRL嵌入在PDF中，因此iTextLtd v验证类执行其工作。

首先你要说：

我试图将撤销信息（CRL、OCSP响应、证书链）作为未签名属性添加到签名中

这已经表明不匹配：您使用LtvVerification类，我也使用上面的工作代码。此类不会更改嵌入的CMS容器。它不会将撤销信息添加到嵌入式CMS容器的未签名属性中，而是添加到PDF的DSS（文档安全存储）结构中。

将撤销数据作为嵌入式CMS签名容器的无符号属性嵌入实际上是不可能的：您可以在CMS容器中使用有符号的adbe-recocationInfoArchival属性，或者在CMS容器外部使用DSS。

（一些验证器接受未签名属性中嵌入CAdES样式的撤销数据，但严格来说，这在PADS中是禁止的，在PDF 2.0中是不可互操作的。）

因此，如果你真的想在CMS容器中嵌入撤销数据，请将它们提供给你选择的PdfSigner签名方法，它们都显式或隐式地接受要嵌入的撤销数据，

public virtual void SignDetached(IExternalSignature externalSignature, X509Certificate[] chain,
    ICollection<ICrlClient> crlList, IOcspClient ocspClient, ITSAClient tsaClient,
    int estimatedSize, PdfSigner.CryptoStandard sigtype)

public virtual void SignDetached(IExternalSignature externalSignature, X509Certificate[] chain,
    ICollection<ICrlClient> crlList, IOcspClient ocspClient, ITSAClient tsaClient,
    int estimatedSize, PdfSigner.CryptoStandard sigtype, SignaturePolicyInfo signaturePolicy)

public virtual void SignDetached(IExternalSignature externalSignature, X509Certificate[] chain,
    ICollection<ICrlClient> crlList, IOcspClient ocspClient, ITSAClient tsaClient,
    int estimatedSize, PdfSigner.CryptoStandard sigtype, SignaturePolicyIdentifier signaturePolicy)

或

public virtual void SignExternalContainer(IExternalSignatureContainer externalSignatureContainer,
    int estimatedSize)

前三个显式接受CRL和OCSP客户端（可以实现为提供预先存在的CRL和OCSP），而后者从给定的IExteralSignatureContainer实现中获取完整的CMS容器，因此在该实现中，您可以向其添加所需的任何信息。