¿Por qué debemos establecer una marca de tiempo cuando hacemos un codesigning?

Question

Si fijo una marca de tiempo con la firma, lo que sucede?
¿Qué pasa si yo no puse?

Es esencial? ¿Por qué se recomienda?

Answer 1

Timestamping se utiliza para especificar el tiempo cuando se realiza la firma digital. Esto es necesario para validar adecuadamente la firma.

Si firma marca de tiempo está presente, la aplicación que valida (verifica) la firma, comprobará si los certificados que participan en la validación de la firma eran válidos en el momento de la firma. Si no hay ninguna marca de tiempo para la firma, la validez del certificado se comprueba por el momento de la validación de la firma, que no siempre es aceptable.

Example:
Certificate is valid from: 1st of January, 2008
Certificate is valid to: 31st of December, 2010
Signature is made on: 4th of July, 2009
Signature is verified on: 30th of April, 2012

Con la marca de tiempo: la firma está bien (la firma se realizó durante el período de validez del certificado) Sin marca de tiempo: la firma no es válida (certificado ha expirado por el momento de la verificación de la firma)

.

Timestamping debe utilizarse si se supone que la firma para ser utilizado (a prueba de autenticidad del autor del documento u originador de datos) en el largo plazo, es decir, más de uno o varios días.

Timestamping no es necesario cuando, por ejemplo, enviar una breve nota firmada a la colega y se espera que esta nota para ser leído y desechado el mismo día que se ha escrito. Por supuesto, sellado de tiempo no se puede utilizar cuando no está apoyada por las tecnologías de firma o sellado de tiempo, cuando la autoridad no está disponible.

Por otro lado, sellado de tiempo es una necesidad cuando se crea documentos firmados para su distribución amplia o para el almacenamiento a largo plazo y con fines de archivo. Sellado de tiempo también se utiliza cuando la firma de los módulos ejecutables de las aplicaciones de software.

Actualización: la marca de tiempo también está firmado con un certificado. Esta firma también se valide con reglas regulares, lo que significa que el certificado utilizado para firmar la marca de tiempo debe ser válido en el momento de la validación de la firma. En el ejemplo anterior, si el certificado de registro de tiempo expiró el 1 de abril del 2012, a continuación, la marca de tiempo será reportado como no válida y no se contará durante la validación de la firma.

Answer 2

Si el certificado de firma caduca y no hay indicación de la hora, no hay manera de verificar que la firma se hizo en un momento en que el certificado es válido, por lo que el código firmado previamente posible que sólo "dejan de funcionar".

Timestamping trata de un tercero (por lo general su CA) que acredite que ha realizado la firma en un momento determinado. Independientemente de cuándo expira su certificado, alguien que recibe el código firmado a continuación, puede verificar que el certificado era válido en el momento que lo firmó .