"不支持LTV"是什么意思？

Question

我正在使用iText 5.5.3对PDF文档进行签名和加时间戳.它工作得很好.但我最近从Acrobat Pro X切换到XI,现在我看到了这个新行:

the signature is not LTV enabled and will expire after <date>

我想这会警告我,在此日期之后,签名者的签名将被视为无效,对吧？但是签名属性告诉我:

the signature includes an embedded timestamp : <date/time>
signature was validated as of the secure timestamp time : <same date/time>

现在我有点困惑:由于签名在已知且经过认证的日期被宣布有效,为什么它将来会变得无效？

Answer 1

LTV(长期验证)和PDF签名

启用LTV一词

4 PAdES-LTV的配置文件

4.1概述

验证电子签名需要数据来验证签名,例如通常由在线服务提供的CA证书,证书撤销列表(CRL)或证书状态信息(OCSP)(在本文件中称为验证数据).如果文档被存储并且签名在首次创建后很久就可以验证,特别是在签名证书到期之后,原始验证数据可能不再可用,或者在文档第一次使用时可能存在关于使用什么验证数据的不确定性验证.

此配置文件使用ISO 32000-1 [...]的扩展来携带验证签名所需的验证数据.

(ETSI TS 102 778-4)

基于PDF规范ISO 32000-1的扩展,Adobe 在Acrobat/Reader XI中创建了术语LTV.根据Adobe的PDF传播者Leonard Rosenthol的说法:

我们的客户要求我们清楚地识别包含LTV的PDF(而不是包含LTV的PDF).那就是我们所确定的那个词在传达这个信息时简单明了.

不幸的是,这个简单明了的术语并没有真正明确定义.

2013年初,在Acrobat XI发布几个月后,人们开始想知道为什么他们的签名(在Acrobat X中看起来很好而没有任何限制)突然被批评为不支持LTV并且很快就会过期.那时伦纳德在iText邮件列表上描述了"LTV启用"签名PDF:

启用LTV意味着验证文件所需的所有信息(减去根证书)都包含在其中.

另一位Adobe员工Steven.Madwin 更直言不讳地说

当您打开Acrobat文件时(当我说Acrobat我的意思是Acrobat和Reader时)会进行签名验证.作为验证过程的一部分,它确定是否必须联机下载吊销信息,或者是PDF文件中嵌入的所有吊销信息.此时,它知道在签名导航面板中会说些什么.如果必须下载数据,则签名不是LTV启用的,但如果所有撤销附属文件都在文件中,则签名是LTV启用的.

因此,一方面我们有一个简单而明确的术语 LTV启用,给人的印象是它是一个明确的开/关问题,另一方面,该术语的含义取决于Adobe Acrobat中的(封闭式)签名验证算法和读者.

更糟糕的是,这些算法的行为取决于Acrobat/Reader的本地配置!对于任何有效的PDF签名,可以将Adobe Acrobat和Reader配置为通过简单地将直接签署者证书添加到手上签名类型的可信证书来将其显示为启用LTV,并且类似地反过来.

LTV启用签名

考虑到上述情况,说谁也不能肯定呈现出PDF是否启用LTV-您的Acrobat /阅读器也显示启用LTV-上下一个人的Acrobat /阅读器.

话虽如此,您至少可以尽力提供验证者所需的所有撤销信息.这包括

• 提供从所涉及的每个证书到规范可信根证书构建证书路径所需的所有证书;
• 为所有这些证书提供撤销信息(CRL/OCSP响应),但根证书除外;

对于所涉及的所有签名...并且所有签名都包括签署单个CRL,OCSP响应和时间戳的签名!然后添加时间戳并添加与时间戳相关的证书和吊销信息.

正如Leonard所说,这通常需要使用ISO 32000-1的PAdES第4部分扩展,即文档安全存储(DSS):

当所有抵押品都嵌入签名而不是DSS [...]时,可以启用LTV.在这种情况下,可能没有DSS.但是,这是非常不寻常的,因为CRL和OCSP上的签名不包含Adobe扩展的嵌入式转换信息.然而,这是一个遥远的可能性.

LTV启用与 PDF 1.4

在评论中出现了以下问题

但是可以在PDF v1.4中添加DSS

您可以将DSS条目添加到PDF v1.4文档中.PDF 1.4也是根据ISO 32000-1的PDF 1.7,DSS是ISO 32000-1的扩展.

是的,但我想你真的想知道结果是否仍然是PDF 1.4.

对此的回答有点模糊,因为PDF 1.4并没有真正明确定义:正如伦纳德曾经说过的那样:

PDF参考文献本质上不是"规范性的" - 它们(通常)不会(通常)做出最终的,明确的陈述 - 只是一般的陈述.

因此,在本质上没有任何"规范"指定PDF 1.4的含义.

尽管如此,这并没有使ISO不使用PDF Reference 1.4作为其PDF/A-1规范的规范基础,所以让我们按照PDF Reference的说法进行论证.;)

该PDF参考,第三版,Adobe便携文档格式,1.4版说,在附录E:

PDF生成器或Acrobat插件扩展还可以向任何实现为字典的PDF对象添加键,但文件预告片字典除外(请参见第3.4.4节"文件预告片").

因此,添加DSS所需的现有词典的添加应该没有问题,添加的间接对象也不应该符合PDF参考的第3节语法.

因此,随着这条线的争论,增加DSS的PDF v1.4仍然可以是PDF 1.4.

显然,软件只能理解 PDF 1.4

• 但是,如果没有进一步的利用,不能使用DSS信息
• 可能会考虑将DSS添加为已签名文档的更改,从而导致验证警告或错误.

关于后一项我会假设,面对PDF 1.4加DSS,例如Adobe Reader版本5到7警告签名后的更改,Adobe Reader版本8和9甚至认为签名因更改而中断,以及Adobe Reader X和XI接受添加并愉快地使用它.