使用多个时间戳服务器进行代码签名

Question

关于时间戳和用signtool进行代码签名-是否将多个时间戳机构的时间戳应用于已签名的代码被视为最佳实践？以下相关问题可能有助于我理解：

1. 是否可以使用不同的时间戳服务器应用多个时间戳？如果我的理解是正确的，从这篇文章中可以得出答案是肯定的。参见：Authenticode的替代时间戳服务。

2. 如果确实可以这样做，那么多个时间戳提供了“失效备援”验证吗？例如，一段代码已经签名，然后由comodo和verisign两个机构分别对其进行了时间戳。如果系统无法连接到verisign，但能够连接到comodo以验证时间戳，那么代码是否仍然有效呢？我假设在验证代码并检测到时间戳时，系统会向时间戳机构发送网络流量以验证时间戳。如果不是这种情况，而是只在本地验证(其中之一)时间戳是由受信任的CA颁发的，那么这可能是答案。

3. 或者另一个要问的问题是，在检查时间戳时，这是一个"AND"（所有时间戳必须可验证才能通过检查）还是一个"OR"（一个时间戳必须可验证才能通过检查）的过程？

- user3158565

Answer 1

对于1），他们正在讨论故障转移，这意味着如果第一个服务器无法访问，他们只需从第一个服务器切换到第二个服务器。无论如何，结果只有一个时间戳。

然而，有些人尝试应用两个签名，每个签名都有自己的时间戳：

• 如何在带有时间戳的代码中正确地双重签名？
• signtool 无法使用时间戳双重签名 SHA2 和 SHA1

对于2），一旦时间戳成为可执行文件的一部分，就不再需要连接到服务器。正如您已经推测的那样，时间戳本身就是一种签名，如果 Windows 信任该签名，则被认为是有效的。

对于3），由于缺乏可用的样本，我暂时无法回答这个问题。

- Thomas Weller