在封闭网络中，当证书过期时，时间戳选项是否适用于签名的 JAR？

Question

假设我的应用程序在一个封闭的网络中运行。我想验证一个使用时间戳选项但证书已过期的签名 JAR。会发生什么？

时间戳验证是否需要访问互联网上的时间戳服务器？

我读过这篇文章，但它没有涵盖这个特定方面。 What happens when a code signing certificate expires?

Answer 1

时间戳是代码在特定时间签名的断言，由时间戳权威进行数字签名。

如果代码签名证书当时有效，则其签名仍然有效，即使代码签名证书过期。

将根据当前时间检查时间戳，因此如果机器的时间与网络时间协议同步可能会有所帮助。但是，您可以选择依赖本地时钟。

为了验证各种签名证书，应检查其吊销状态。 （我不确定这是否真的完成了。）这可以使用 OCSP，但前提是您明确配置它。默认情况下，任何撤销检查都将使用本地提供的 CRL。

因此，无需与时间戳机构进行通信。