Perché dovremmo impostare un timestamp quando facciamo un codesigning?

Question

Se ho impostato un timestamp con la firma, cosa succede?
Che cosa succede se non imposto?

E 'essenziale? Perché è consigliata?

Answer 1

Timestamping viene utilizzato per specificare il tempo in cui la firma digitale è fatto. Ciò è necessario per convalidare correttamente la firma.

Se la firma timestamp è presente, l'applicazione che convalida (verifica) la firma, verificherà se i certificati coinvolti nella convalida della firma erano validi al momento della firma. Se non c'è timestamp per la firma, di validità del certificato viene verificata al momento della convalida della firma, che non è sempre accettabile.

Example:
Certificate is valid from: 1st of January, 2008
Certificate is valid to: 31st of December, 2010
Signature is made on: 4th of July, 2009
Signature is verified on: 30th of April, 2012

Con timestamp: firma è ok (firma è stata fatta durante il periodo di validità del certificato) Senza timestamp: firma non è valida (certificato è scaduto dal momento della verifica della firma)

.

Timestamping deve essere utilizzato se si suppone che la firma da utilizzare (per l'autenticità prova l'autore del documento o ideatore di dati) a lungo termine, vale a dire più di uno o più giorni.

Timestamping non è necessaria quando, per esempio, inviare una nota breve firmato per il collega e questa nota dovrebbe essere letto e smaltiti nello stesso giorno come è stato scritto. Naturalmente, timestamping non può essere utilizzato quando non è supportata dalle tecnologie di firma o quando timestamping autorità non è disponibile.

D'altra parte, Timestamping è un must quando si creano documenti firmati per la grande distribuzione o per l'archiviazione di archiviazione a lungo termine e. Timestamping viene anche utilizzato per la registrazione dei moduli eseguibili di applicazioni software.

Aggiornamento: il timestamp è anche firmato con un certificato. Questa firma è anche validate usando regole normali, il che significa che il certificato utilizzato per firmare il timestamp deve essere valida al momento della convalida della firma. Nell'esempio di cui sopra, se il certificato timestamping è scaduto il 1 ° aprile, 2012, allora il timestamp verrà segnalato come non valido e non sarà conteggiato durante la convalida della firma.

Answer 2

Se il certificato è scaduto e non c'è timestamp, non c'è modo di verificare che la firma è stata fatta in un momento in cui il certificato era valido, codice in modo firmato in precedenza può solo "fermata di lavoro".

Timestamping tratta di un terzo (di solito il vostro CA) attestante che hai fatto la firma in un momento particolare. Indipendentemente da quando il certificato scade, qualcuno che riceve il codice firmato può quindi verificare che il certificato era valido al momento si è registrato che .