digital-signature - 为什么？从 CMS/pkcs#7 到 Cades

Question

是不是我知道CMs/pkcs#7签名中缺少一些信息来证明签名的有效性经过很长时间才求助于CADES格式，还有其他原因导致用户从 CMs/pkcs#7 格式迁移到 Cades。

每种格式的优缺点是什么。提前谢谢你

Answer 1

CAdES 本质上是一个特殊配置的 CMS(CAdES 中的“C”毕竟代表“CMS”)。因此，您不会从 CMS 迁移，而只是遵循一些更严格或更具体的规则。

CMS 签名 (RFC 5652) 可能非常原始，它们实际上甚至根本不需要包含任何签名属性，如果包含，则唯一强制执行的是签名数据的类型和哈希。

这种简约的签名容器不适用于一般用途。伪造的机会太多(没有关于签名者的可靠签名信息)，而无法正确验证的信息太少。

因此，已经发布了许多额外的规范，定义了以安全、签名的方式添加此类缺失信息的方法，例如ESS 证书标识符 ( RFC 2634/RFC 5035 ) 用于签名者证书的安全标识。

这些额外属性的集合已被声明为强制签名具有一定的合法值(value)，例如作为 ISIS-MTT/通用 PKI 的一部分。因此，在需要此类合法值的上下文中使用的签名应用程序可以依靠签名中出现的那些附加属性，从而允许正确验证签名。

虽然起初此类集合仅在较小的上下文中定义，例如在全国范围内，同时此类集合也在国际范围内定义。

CAdES 为整个欧洲指定了此类集合(也称为配置文件)(并在其他地方采用)。

本质上，根据这样的配置文件创建 CMS 签名可以确保您的签名可以被很多应用程序正确处理，因此它们的合法值(value)立即被他们认可。