cryptography - 为什么我们在进行代码签名时要设置时间戳？

Question

如果我在签名中设置时间戳，会发生什么？
如果我不设置怎么办？

是必不可少的吗？为什么推荐它？

Answer 1

时间戳用于指定进行数字签名的时间。这是正确验证签名所必需的。

如果存在签名时间戳，验证(验证)签名的应用程序将检查签名验证所涉及的证书在签名时是否有效。如果签名没有时间戳，则在签名验证时检查证书有效性，这并不总是可以接受的。

Example:
Certificate is valid from: 1st of January, 2008
Certificate is valid to: 31st of December, 2010
Signature is made on: 4th of July, 2009
Signature is verified on: 30th of April, 2012

有时间戳:签名正常(在证书有效期内签名) 无时间戳:签名无效(签名验证时证书已过期)。

如果应该长期使用签名(以证明文档作者或数据创建者的真实性)，即超过一天或几天，则应使用时间戳。

例如，当您向同事发送一份简短的签名便条并且该便条预计将在其写入的同一天被阅读和处理时，时间戳就不是必需的。当然，当签名技术不支持或时间戳权限不可用时，不能使用时间戳。

另一方面，当您为广泛分发或长期存储和归档目的创建签名文档时，时间戳是必须的。在对软件应用程序的可执行模块进行签名时，也会使用时间戳。

更新:时间戳也用证书签名。此签名也使用常规规则进行验证，这意味着用于签署时间戳的证书必须在签名验证时有效。在上面的例子中，如果时间戳证书在 2012 年 4 月 1 日过期，那么时间戳将被报告为无效并且在签名验证期间不会被计算在内。