使用多个时间戳服务器进行代码签名

Question

关于使用 signtool 的时间戳和代码签名 - 将来自多个时间戳权威的戳应用于签名代码是否被认为是最佳做法？其他可能有助于我理解的相关问题：

• 是否可以使用不同的时间戳服务器应用多个时间戳？ 如果我对这篇文章的理解是正确的，那么答案是肯定的 见：Alternative timestamping services for Authenticode

• 如果是这样，多个时间戳是否提供时间戳的“故障转移”验证？
  例如，一段代码被 comodo 和 verisign 签名，然后加上时间戳。如果系统无法连接到威瑞信，如果它可以连接到 comodo 来验证时间戳，它仍然有效吗？我假设在验证代码并检测到时间戳时，系统会将网络流量发送到时间戳管理局以验证时间戳。如果不是这种情况，它只是在本地验证（其中一个？）时间戳是由受信任的 CA 针对可能回答问题的本地存储发布的。

• 也许还有一个问题要问，当检查时间戳时，这是一个“AND”（所有时间戳都必须是可验证的，代码才能通过检查）还是“OR”（其中一个时间戳必须是代码可验证的）通过检查）。

Answer 1

对于 1)，他们谈论的是故障转移，这意味着如果第一个服务器无法访问，他们只需从第一台服务器切换到第二台服务器。无论如何，结果只有一个时间戳。

但是，有些人尝试应用两个签名，每个签名都有自己的时间戳：

• How does one correctly dual-sign code with a timestamp?
• signtool failing to dual sign SHA2 and SHA1 with timestamps

对于 2)，一旦时间戳成为可执行文件的一部分，就无需再连接到服务器。正如您已经假设的那样，时间戳本身就是一个签名，如果该签名受 Windows 信任，则它被视为有效。

对于3），由于缺乏可用的样本，我目前无法给出答案。