Signtime对http://timestamp.geotrust.com/tsa不再可用吗？

Question

我们在构建服务器上签署可执行文件。突然，构建服务器无法构建错误：

  

SingTool错误：无法访问sepcified时间戳服务器或返回无效响应。

将时间戳服务器更改为http://sha256timestamp.ws.symantec.com/sha256/timestamp后，唱歌再次起作用。

1. 我们的旧网址有任何问题吗？为什么它不再可用？
2. 旧签名文件或新网址可能存在一些（安全）问题吗？

我知道这有点宽泛我不想错过任何东西......

Answer 1

我向赛门铁克询问了这个问题，所以他们给我发了这个链接：https://knowledge.symantec.com/support/partner/index?page=content&id=NEWS10071&viewlocale=en_US

  

到2017年4月18日，赛门铁克将退役“遗产”   时间戳服务。

     

（旧版）RFC 3161 SHA128时间戳服务：   https://timestamp.geotrust.com/tsa

     

为了支持我们客户的业务连续性，我们提供了   以下更换服务。

     

（新）RFC 3161服务SHA256：   http://sha256timestamp.ws.symantec.com/sha256/timestamp

     

重要提示：客户必须利用SHA256时间戳服务   转发，除非有遗留，否则不应使用SHA1服务   平台约束，不允许使用SHA2服务（在此   您可以使用此新URL：RFC 3161服务SHA128：   http://sha1timestamp.ws.symantec.com/sha1/timestamp）。

     

影响时间戳的背景和主要行业指令   服务

     

遵守发布的代码签名最低要求（CSMR）   由CA安全委员会和Microsoft受信任的根计划要求   （第3.14节），赛门铁克已经建立了“新”RFC 3161（SHA1和SHA2）   根据部分规定的要求和要求提供服务   16.1需要FIPS 140-2 Level 3密钥保护。在不久的将来，Oracle将采取措施删除对两者的SHA1支持   Java签名和时间戳。这不会影响Java应用程序   以前用SHA1签名或加上时间戳的   继续正常运作。但是，Java应用程序签名或   在Oracle宣布的日期之后，可能没有使用SHA1加时间戳   可信的。

Answer 2

来自其他提供商的时间戳的工作链接：

• http://tsa.starfieldtech.com

您也可以尝试：

• http://timestamp.globalsign.com/scripts/timstamp.dll
• http://timestamp.comodoca.com/rfc3161

您可以选择KeyStore Explorer（具有良好GUI的签名工具）。它具有默认值且无法正常工作链接http://timestamp.geotrust.com/tsa 如果是这样，请不要忘记将选项TSA URL（添加时间戳）中的未工作链接更改为其他工作选项。

例如，这个选项（链接）对我很有用： http://tsa.starfieldtech.com

Answer 3

我从2017-04-21开始经历了相同的TSA问题。从https://timestamp.geotrust.com/tsa切换到http://sha256timestamp.ws.symantec.com/sha256/timestamp也解决了我们的问题，所以感谢指针。我使用旧URL收到的具体错误是jarsigner返回“java.net.socketException：软件导致连接中止：recv失败。”

Verisign知识库文章AR185（2017-03-16更新）推荐了jarsigner参数“-tsa http://sha256timestamp.ws.symantec.com/sha256/timestamp”，用于推荐https://timestamp.geotrust.com/tsa。此文档更改向我建议禁用URL可能是有意的，但我不知道这是否对使用旧时间戳服务器签名的JAR的信任级别有任何影响。