http://timestamp.geotrust.com/tsa không còn có sẵn cho SignTool không?

Question

Chúng tôi ký các tệp thi hành của chúng tôi trên máy chủ xây dựng. Đột nhiên, máy chủ xây dựng không xây dựng được lỗi:

SingTool Error: The sepcified timestamp server either could not be reached or returned an invalid response.

Sau khi thay đổi máy chủ dấu thời gian thành http://sha256timestamp.ws.symantec.com/sha256/timestamp, ca hát đã hoạt động trở lại.

1. Có vấn đề gì với url cũ của chúng tôi không? Tại sao nó không còn nữa?
2. Chúng tôi có thể gặp một số vấn đề (bảo mật) với các tệp đã ký cũ hoặc url mới không?

Tôi biết đây là một chút rộng Tôi chỉ không muốn bỏ lỡ bất cứ điều gì ...

Answer 1

Tôi hỏi Symantec về điều đó, vì vậy họ đã gửi cho tôi liên kết này: https://knowledge.symantec.com/support/partner/index?page=content&id=NEWS10071&viewlocale=en_US

By April 18, 2017, Symantec will decommission the "Legacy" timestamping service.

(Legacy) RFC 3161 SHA128 Timestamp Service: https://timestamp.geotrust.com/tsa

To support business continuity for our customers, we have provided the following replacement services.

(New) RFC 3161 Service SHA256: http://sha256timestamp.ws.symantec.com/sha256/timestamp

Important: Customers must leverage SHA256 Timestamping service going forward, and should not use a SHA1 service unless there is a legacy platform constraint which doesn't allow use of SHA2 service (in this case you can use this new URL: RFC 3161 Service SHA128: http://sha1timestamp.ws.symantec.com/sha1/timestamp).

Background and Key Industry Mandates affecting the Timestamping services

To comply with Minimum Requirements for Code Signing (CSMRs) published by CA Security Council and Microsoft Trusted Root Program Requirements (section 3.14), Symantec has set up the "new" RFC 3161 (SHA1 and SHA2) service as per specifications and requirements laid out by section 16.1 which requires FIPS 140-2 Level 3 key protection. In the near future, Oracle will be taking steps to remove SHA1 support for both Java signing and timestamping. This will not impact Java applications that were previously signed or timestamped with SHA1 as these will continue to function properly. However, Java applications signed or timestamped with SHA1 after Oracle's announced date may not be trusted.

Answer 2

tôi có kinh nghiệm vấn đề TSA cùng bắt đầu từ ngày 2017/04/21. Chuyển từ https://timestamp.geotrust.com/tsa sang http://sha256timestamp.ws.symantec.com/sha256/timestamp cũng khắc phục được sự cố của chúng tôi, vì vậy cảm ơn cho con trỏ. Các lỗi cụ thể tôi nhận được bằng cách sử dụng URL cũ là jarsigner trả về "java.net.socketException: phần mềm gây ra hủy bỏ kết nối: recv không thành công."

Bài viết cơ sở tri thức Verisign AR185, cập nhật 2017-03-16, đề xuất các đối số jarsigner "-tsa http://sha256timestamp.ws.symantec.com/sha256/timestamp" nơi nó được sử dụng để giới thiệu https://timestamp.geotrust.com/tsa. Thay đổi tài liệu này cho thấy rằng việc vô hiệu hóa URL có thể có chủ ý, nhưng tôi không biết liệu có bất kỳ ý nghĩa nào đối với mức độ tin cậy của các JAR được ký bằng máy chủ dấu thời gian cũ hay không.

Answer 3

liên kết cho timestamp Làm việc từ nhà cung cấp khác: http://tsa.starfieldtech.com

Bạn có thể chọn KeyStore Explorer (công cụ dấu với giao diện đồ họa tốt) . Nó có mặc định và không hoạt động liên kết http://timestamp.geotrust.com/tsa

Nếu vậy, đừng quên thay đổi liên kết này trong tùy chọn URL TSA (Thêm dấu thời gian). Ví dụ: tùy chọn này (liên kết) đã làm việc cho tôi tốt: http://tsa.starfieldtech.com