如何对日志进行数字签名以确保它们未被修改？

Question

在我们的应用程序中，必须签署日志才能证明它们在发生后没有被更改。

这意味着必须使用某种时间戳对它们进行签名，该时间戳将签名与日志的写入和签名时间相关联。

这样，在不更改时间戳的情况下无法再次修改和签名日志 - 因此可以检测到任何修改尝试 - 。

有没有一种标准方法可以做到这一点？

Answer 1

Eugene Mayevski是对的，CAdES签名时间戳使用外部时间戳服务将完成这项工作。但是，一切都取决于您的应用程序创建的日志的确切威胁及其潜在的发起者。在第一个近似中，使用外部TSA（没有本地CAdES签名）签署日志的哈希就足够了。

Answer 2

时间戳是CAdES标准的一部分，此标准允许分离签名。所以，是的，您可以使用带有时间戳的数字签名。更改签名数据或滥用私钥（存储在应用程序中）的问题可通过非常有效的时间戳来解决。

如果您开发.NET或Windows应用程序，则可以使用我们SecureBlackbox产品的PKIBlackbox包来制作带时间戳的CAdES签名。