In che modo la controfirma funziona effettivamente in authenticode?

Question

In che modo la controfirma funziona effettivamente in authenticode?

#1 da (0 voti)

2

Sto cercando di capire l'elaborazione del timestamp nel meccanismo di verifica dell'autenticode e sembra piuttosto semplice, ma davvero non capisco come la firma possa essere valida mentre entrambi i certificati (codice e timestamp) non sono in periodo di validità.

Formato di firma eseguibile portatile di Windows Authenticode contiene una descrizione dettagliata dell'autenticazione del processo, ma non c'è un caso, quando la firma è valida dopo che il certificato di firma con data e ora è scaduto.

Secondo RFC3161, non appena il certificato, usato per firmare un timestamp, scade, anche il timestamp diventa scaduto, quindi tale timestamp dovrebbe essere rifatto o autenticato per rinnovare il trust esistente in questo timestamp (vuol dire il certificato dovrebbe essere rinnovato?).

Btw, che dire del software scritto dieci anni fa? C'è un meccanismo con una firma infinita?

windows digital-signature pkcs7

posta Sergey Perfilev 13.03.2017 - 13:30

fonte

1 risposta

Leggi altre domande sui tag windows digital-signature pkcs7

Idra intercettante con suite di burp Devo acquistare dispositivi separati per router / modem? Se lo faccio, l'ISP avrebbe accesso al firmware del router?

score 0 · Answer 1

Finalmente, ho trovato la risposta, quella che sta nella RFC3161:

 To verify a digital signature, the following basic technique may be used:

A) Time-stamping information needs to be obtained soon after the
  signature has been produced (e.g., within a few minutes or hours).

  1)    The signature is presented to the Time Stamping Authority
        (TSA).  The TSA then returns a TimeStampToken (TST) upon
        that signature.

  2)    The invoker of the service MUST then verify that the
        TimeStampToken is correct.

B) The validity of the digital signature may then be verified in the
  following way:

  1)    The time-stamp token itself MUST be verified and it MUST be
        verified that it applies to the signature of the signer.

  2)    The date/time indicated by the TSA in the TimeStampToken
        MUST be retrieved.

  3)    The certificate used by the signer MUST be identified and
        retrieved.

  4)    The date/time indicated by the TSA MUST be within the
        validity period of the signer's certificate.

  5)    The revocation information about that certificate, at the
        date/time of the Time-Stamping operation, MUST be retrieved.

  6)    Should the certificate be revoked, then the date/time of
        revocation shall be later than the date/time indicated by
        the TSA.

If all these conditions are successful, then the digital signature shall be declared as valid.