Das letzte Release meines Timestamping Server liegt zugegebenermaßen bereits einige Zeit zurück. Daher wurde es Zeit, wieder einige nützliche Features hinzuzufügen

Das Projekt wurde um die folgenden Aspekte erweitert:

Bisher musste man zure Validierung der Zertifikatskette die Zertifikate der Kette als gesonderte Datei vom Server herunterladen. Das spart zwar Bandbreite, ist aber unter gewissen Szenarien unschön bzw. ungeeignet.

Das erste Szenario, in dem dieses Verhalten unschön ist, umfasst die Benutzung diverser Tools, die nicht darauf vorbereitet sind, die Zertifikatskette gesondert herunterzuladen und sich nach der Erzeugung des Timestamps dann beschweren, dass der Timestamp nicht validiert wereen kann. Javas JarSigner ist dafür ein prominentes Beispiel.

Ein weiteres Szenario - das mit diesem Release aber nicht abschließend addressiert wurde - umfasst das Erstellen von kryptographisch abgesicherten Zeitstempekn zur Archivierung. Dabei ist es wichtig, alle zur Validierung des Zeitstempels benötigten Informationen im Zeitstempel selbst zu integrieren. Das umfasst zum einen alle Zertifikate der Kette zum Zeitpunkt der Erstellung des Zeitstempels und zum anderen alle für diese Zertifikate zu diesem Zeitpunkt verfügbaren CRLs (bzw. OCSP-Responses).

Ich habe mich dafür entschieden, die Software so behutsam wie möglich zu erweitern: wird das Docker-Image der Version 1.3.0 gebaut und gestartet, ändert sich am Verhalten der Lösung zunächst einmal nichts. Erst wenn man die neue Konfigurationsoption namens de.elbosso.tools.rfc3161timestampingserver.App.includeFullChain auf den Wert true setzt (durch Setzen einer entsprechenden Umgebungsvariablen), ändert sich das Verhalten dahingehend, dass nun mit jedem Request, der die Übertragung des Signer-Zertifikats verlangt dieses Signer-Zertifikat einschließlich aller Zertifikate in der zugehörigen Chain in der Response eingebettet werden.

Derzeit ist diese Konfiguration nur per Server verfügbar. Es existieren erste Ideen, mehrere Endpunkte anzubieten, über die Clients steuern können, ob die Zertifikaste der Kette in der Response enthalten sein sollen. eine entsprechende Diskussion ist bereits angelegt und freigeschaltet.

Wer noch abenteuerlustiger ist und die aktuelle SNAPSHOT-Version ausprobieren möchte: In dieser existiert bereits eine neue Option namens de.elbosso.tools.rfc3161timestampingserver.App.includeCRLs, die - falls der Wert auf true gesetzt ist in die Response sämtliche CRLs der in der Response enthaltenen Zertifikate einbettet. Das ist der noch benötigte große Schritt auf dem Weg zu Archivzeitstempeln.

Artikel, die hierher verlinken