在时间戳服务器上使用时间戳和身份验证对jar进行签名

Question

我想使用-tsajava jarsigner工具的timestamp选项.我想到的时间戳服务需要身份验证.为此,您将获得一个个性化的软令牌,以便在时间戳服务器上标识您自己.

我的问题:jarsigner工具是否支持此身份验证？换句话说:jarsigner是否支持RFC 3161(时间戳协议)和 RFC 2246(身份验证)？

有一个-tsacertjarsigner 的选项.文件说明:

如果在签名JAR文件时在命令行上显示"-tsacert alias",则会为签名生成时间戳.别名标识当前有效的密钥库中的TSA公钥证书.检查条目证书的主题信息访问扩展,其中包含标识TSA位置的URL.

令我困惑的是措辞"为签名生成时间戳".这是什么意思？"别名标识TSA的公钥证书"这一措辞也令人困惑:它似乎用于验证时间戳(因为它是公钥)而不是识别请求者(因为它不是私钥).

此外:我想签名的证书不是软令牌,而是存储在智能卡上.它无法导出到密钥库.因此我必须使用这些选项-keystore NONE -storetype PKCS11.我认为由于这个原因,该选项-tsacert alias无法使用,因为它需要一个包含软令牌的真实密钥库.

Answer 1

签名 Jarfile 的有效性受到用于签名的证书的有效性的限制。

时间戳只能说明 jarfile 的签名时间。

为了签署 jarfile，pvtkey 是必须的。对于时间戳，从技术上来说不需要密钥，只需要它的哈希值。

谢谢。