pdf - 我们真的需要硬件设备来对我们网站生成的 PDF 进行数字签名吗？

Question

我们的网站生成 PDF 并使用 iTextSharp 和 BouncyCaSTLe 对其进行数字签名。

我们被告知我们不能使用网站的 SSL 证书来签署 PDF，我们需要一个特殊的 PDF 签名证书(因为 Adob​​e 只信任某些根)。并且获得网站使用的证书(即生成文档的自动程序签名)的唯一方法是获得可以访问证书私钥的物理硬件设备。显然这个硬件设备花费很多钱。

我们真的需要花费数千美元签署 PDF 才能获得 Adob​​e 的信任吗？

Answer 1

从技术角度来看，您可以将任何 X.509 证书与私钥一起使用，并正确设置 key 使用扩展来签署文档。但是，验证方(通常是 Adob​​e Reader)将只信任某些证书。 Adobe 的要求是 Adob​​e Reader 接受的证书是按照他们的要求颁发的，其中之一是通过将私钥放在硬件上来保护私钥。

可以通过告诉 Reader 使用 Windows 证书存储验证证书、将自定义根添加为受信任的根等来调整 Adob​​e Reader 以接受其他证书，但这需要在客户端(阅读器)端执行额外操作。

此外，您还没有找到可以向您出售适合数据签名的证书而不需要您为硬件设备支付大笔费用的证书颁发机构。为什么会这样？ “垄断”就是答案。 Adobe 在 PDF 和阅读器方面创造了一种垄断，现在让合作伙伴(和它自己)滥用它。

USB token 的成本约为 50 美元(批量购买时要低得多)，但您必须向 CA 支付 10 倍以上的费用才能将此 token 交付给您。而这笔费用不是为了验证你，而只是一种垄断收费。