RFC 3161 (Time-Stamp Protocol, TSP), güvenilir bir üçüncü tarafın bir verinin belirli bir andan önce var olduğunu imzalı biçimde belgelemesini tarif eder. Kod imzalama, belge imzalama ve arşivleme senaryolarında kullanılır.
İstek ve yanıt akışı
- İstemci, damgalanacak verinin özetini (hash) ve hangi algoritmayla üretildiğini içeren bir TimeStampReq hazırlar.
- İstek HTTP üzerinden zaman damgası otoritesine (TSA) gönderilir.
- TSA, kendi güvenilir saatini ve bir seri numarasını özete ekleyerek kendi anahtarıyla imzalar.
- TimeStampResp yanıtındaki token istemciye döner ve imzanın içine gömülür.
TSA verinin kendisini görmez, yalnızca özetini işler; gizlilik korunur.
Kod imzalamada kullanımı
signtool sign /fd SHA256 /tr http://timestamp.sectigo.com /td SHA256 /a dosya.exe/tr parametresi RFC 3161 istemcisini etkinleştirir, /td ise damga özet algoritmasını belirler. Eski Authenticode damgası (/t) SHA-1'e dayanır ve yerini RFC 3161'e bırakmıştır.
Elle deneme
OpenSSL ile örnek bir istek üretip TSA'ya gönderebilirsiniz:
openssl ts -query -data dosya.bin -sha256 -cert -out istek.tsq
curl -H "Content-Type: application/timestamp-query" --data-binary @istek.tsq http://timestamp.digicert.com -o yanit.tsr
openssl ts -reply -in yanit.tsr -textNeden önemli?
- Sertifika süresi dolsa bile imzanın o tarihte geçerli olduğunu kanıtlar.
- Modern özet algoritmalarını destekler.
- Açık bir standart olduğundan farklı araç ve TSA'larla uyumludur.
Kısa özet
RFC 3161, güvenilir bir saat kaynağı ile imza anını kanıtlamanın ortak yoludur. Uygulamada yapmanız gereken, imzalama aracınızda bu protokolü açmak ve güvenilir bir TSA adresi belirlemektir.
Uygulama için kod imzalama sertifikalarına, diğer kavramlar için bilgi bankasına göz atabilirsiniz.