签名PDF显示消息“文件的有效性未知”，iText

Question

我正在使用iText在PDF中应用数字签名。数字签名的PDF显示消息，如“文档认证的有效性未知。作者无法验证。至少有一个签​​名有问题。”在顶部。

当我将证书添加到用于创建签名PDF的信任标识时，生成的签名PDF显示“已签名且所有签名均有效”。

是否可以通过不将证书添加到可信任身份来解决此问题？

提前致谢。

Answer 1

请阅读https://itextpdf.com/book/digitalsignatures

第3.4节命名为“如何获得绿色复选标记。”

简短版本：如果您希望PDF显示绿色复选标记而无需手动安装根证书，则至少需要存储在物理设备（如硬件安全模块，USB）上的私钥令牌或智能卡。

你有这么一把钥匙吗？您是否向CA询问了CDS或AATL证书？

Answer 2

显示消息有两个原因。

首先，您使用自签名证书或其他证书，其证书链不以根证书结束，通过验证应用程序来信任。

其次是签名参数设置不正确而Reader不知道它需要在Windows证书库中查找证书。我不知道如何在iText中指定我的意思 - 在我们的SecureBlackbox中有一个属性。

Answer 3

Re：是否可以通过不将证书添加到可信任身份来解决此问题？

答案：否，除非您切换到由Adobe信任的证书颁发机构授予的数字签名证书。

这是Adobe正在进行的一个问题，因为Adobe Reader不信任操作系统中的CA. - 相反，Adobe有their own list。

所以：

1. 您可以从Adobe名单上的某个公司获得个人证书。
2. 您在自己的网站上发布了组织的根证书，并向收件人提供有关如何告知Adobe信任您的说明。 （如果您愿意，您的组织可以只有一名成员。）有关详细信息，请参阅下文。
3. 您告诉收件人如何单击Adobe签名工具栏以检查签名证书的详细信息（并忽略来自Adobe的可怕默认警告）。

在湿签名世界中，有些情况下您只需签署某些内容，以及其他需要提供政府颁发的身份证件副本的案例。不幸的是，在当前的数字签名世界中，好像每个签名都需要附带驾驶执照的副本。这根本不是现实。

一个常见且成功的答案是为所有组织的签名者发布您组织的根证书。请参阅Apple和Wells Fargo示例。

您可以使用来自受信任CA的证书在受SSL保护的页面上发布根证书。这将使业务合作伙伴感到安全，相信您的组织的根证书确实来自您的组织。