Certificate-Transparency-Richtlinie für Signaturzertifikate

Auf einen Blick

NextPDF Enterprise erlaubt es einem Signier-Workflow, die Certificate-Transparency-(CT-)Haltung eines Signaturzertifikats vor dem Signieren zu berücksichtigen. CT ist das Ökosystem öffentlicher Protokolle, in dem Zertifikate erfasst werden, damit Fehlausstellungen erkennbar sind; ein in CT protokolliertes Zertifikat trägt einen oder mehrere Signed Certificate Timestamps (SCTs). NextPDF Enterprise stellt die CT-Haltung eines Zertifikats als Ergebniswert dar — ob die SCT-Erweiterung vorhanden ist, wie viele SCTs vorhanden und gültig sind und welche Protokolle sie ausgestellt haben — und bietet eine Mindest-SCT-Schwellenprüfung. Diese Seite ist verhaltensorientiert: Sie legt dar, was das Ergebnis trägt, wie die Schwellenprüfung funktioniert und was NextPDF entscheidet und was nicht.

NextPDF Enterprise stellt ein CT-Ergebnis dar und prüft es gegen eine Schwelle; es ist kein CT-Protokoll, kein Protokoll-Auditor und kein Monitor. Die Grenze wird unter Sicherheit und Compliance dargelegt.

Die Voraussetzungen sind in der Front Matter angegeben und unter Voraussetzungen wiederholt.

Verfügbarkeit und Lizenzierung

Diese Fähigkeit wird in NextPDF Enterprise (nextpdf/enterprise) ausgeliefert und aktiviert sich mit einem Lizenz-Envelope der Enterprise-Stufe. Eine Bereitstellung ohne diese Berechtigung lädt die Klassen der Fähigkeit nicht. Editionen vergleichen und Lizenz erhalten.

Was diese Fähigkeit tut

Ein in CT protokolliertes Zertifikat trägt SCTs. Ein SCT trägt eine Version, einen Protokollbezeichner, einen Zeitstempel und die Signatur des Protokolls über den Zertifikatseintrag, gemäß RFC 6962 §3.1. Ein Protokoll gibt einen SCT als sein Versprechen zurück, das Zertifikat in sein nur anfügbares Protokoll aufzunehmen, und vertrauende Parteien lehnen ein Zertifikat ab, dem ein gültiger SCT fehlt, gemäß RFC 6962 §3. Certificate Transparency Version 2.0 behält dasselbe Modell bei: Ein Protokoll gibt bei der Einreichung einen SCT zurück, den der Einreicher validiert, bevor er sich darauf verlässt, gemäß RFC 9162 §3.

NextPDF Enterprise stellt die CT-Haltung eines Zertifikats als Ergebniswert dar, der Folgendes trägt:

• ob das Zertifikat die SCT-Erweiterung enthält;
• die Gesamtzahl der gefundenen SCTs;
• die Anzahl der SCTs, deren Signaturen gültig sind;
• die Protokollbezeichner — SHA-256-Hashes — der Protokolle, die die SCTs ausgestellt haben.

Das Ergebnis stellt eine Mindest-SCT-Schwellenprüfung bereit: Es meldet, ob die Anzahl gültiger SCTs ein erforderliches Minimum erreicht oder überschreitet. Sie setzen das Minimum passend zu Ihrer Richtlinie. Eine gängige Richtlinie erwartet mindestens zwei SCTs von verschiedenen Protokollen für kürzer gültige Zertifikate und mehr für länger gültige; der Schwellenwert liegt in Ihrer Wahl.

Verwenden Sie die Schwellenprüfung als Gate in einem Signier-Workflow: Verlangen Sie ein CT-protokolliertes Zertifikat (eine ausreichende Anzahl gültiger SCTs), bevor Sie signieren, und verweigern Sie andernfalls.

Warum es so funktioniert

Certificate Transparency beantwortet eine eng gefasste Frage: Ist dieses Zertifikat öffentlich protokolliert, und von wie vielen unabhängigen Protokollen. NextPDF Enterprise modelliert diese Antwort als einfachen Ergebniswert, nicht als Urteil. Das Ergebnis meldet das SCT-Erweiterungs-Flag, die SCT-Anzahlen und die Bezeichner der ausstellenden Protokolle und hört dann auf. Es entscheidet nicht, ob diese Haltung gut genug ist, denn die Vertrauensschwelle ist eine Richtlinie der vertrauenden Partei, die je nach Zertifikatslebensdauer und Risiko variiert. Die Mindest-SCT-Anzahl liegt somit in Ihrer Wahl, und NextPDF hält sich aus den Rollen des Protokollbetreibers, Auditors und Monitors heraus. Certificate Transparency ist eine von mehreren Prüfungen in einer soliden Signierentscheidung, und diese Seite macht sie zu einem expliziten Gate, bevor der Signer konstruiert wird.

Entwurfshintergrund: Eine Signatur richtig validieren.

Voraussetzungen

1. Installieren Sie NextPDF Core und das Enterprise-Paket und halten Sie eine aktive Enterprise-Lizenz.
2. Halten Sie das Signaturzertifikat bereit, dessen CT-Haltung Sie erzwingen möchten, zusammen mit den SCT-Daten, die Ihre Umgebung daraus extrahiert.
3. Entscheiden Sie über die Mindest-SCT-Schwelle, die Ihre Richtlinie verlangt.

Konfiguration

• Mindest-SCT-Schwelle — die Anzahl gültiger SCTs, die ein Zertifikat tragen muss, um Ihre Richtlinie zu bestehen. Übergeben Sie sie an die Schwellenprüfung.
• Platzierung der Richtlinie — entscheiden Sie, an welcher Stelle Ihres Signier-Workflows das Gate läuft: vor der Konstruktion des Signers, sodass ein unzureichend protokolliertes Zertifikat nie eine Signieroperation erreicht.

Schritt für Schritt

1. Beziehen Sie das CT-Ergebnis für Ihr Signaturzertifikat, das das SCT-Erweiterungs-Flag, die Gesamt- und Gültig-SCT-Anzahlen und die Protokollbezeichner trägt.
2. Entscheiden Sie über die Mindest-SCT-Schwelle für Ihre Richtlinie.
3. Führen Sie die Schwellenprüfung aus; behandeln Sie ein Bestehen als „CT-Richtlinie erfüllt” und ein Scheitern als „Signieren mit diesem Zertifikat verweigern”.
4. Schalten Sie den Signier-Workflow auf das Ergebnis, bevor der Signer konstruiert wird.

examples/enterprise/ct-policy-gate.php

<?php

declare(strict_types=1);

require_once __DIR__ . '/../../vendor/autoload.php';

use NextPDF\Enterprise\Security\CertificateTransparency\CtValidationResult;
use Psr\Log\LoggerInterface;

final readonly class CtSigningPolicy
{
    /**
     * @param int<1, max> $minimumScts The minimum count of valid SCTs your policy requires.
     */
    public function __construct(
        private int $minimumScts,
        private LoggerInterface $logger,
    ) {}

    /**
     * Decide whether a certificate's CT posture satisfies the policy.
     *
     * The gate runs before the signer is constructed, so an under-logged
     * certificate never reaches a signing operation. A missing SCT extension
     * is treated as a policy failure, not an exception.
     *
     * @param CtValidationResult $result The CT posture of the signing certificate.
     *
     * @return bool True when the certificate meets the minimum-SCT threshold.
     */
    public function isAcceptable(CtValidationResult $result): bool
    {
        if (! $result->hasSctsExtension) {
            $this->logger->warning('Signing certificate carries no SCT extension; CT policy not met.');

            return false;
        }

        $acceptable = $result->meetsPolicy($this->minimumScts);

        if (! $acceptable) {
            $this->logger->warning('Signing certificate has too few valid SCTs for the CT policy.', [
                'validScts'   => $result->validScts,
                'minimumScts' => $this->minimumScts,
            ]);
        }

        return $acceptable;
    }
}

Verifizierung

1. Bauen Sie ein Ergebnis mit vorhandener SCT-Erweiterung und einer Gültig-SCT-Anzahl auf Ihrer Schwelle und bestätigen Sie, dass die Schwellenprüfung besteht.
2. Bauen Sie ein Ergebnis eines unter Ihrer Schwelle und bestätigen Sie, dass die Prüfung scheitert.
3. Bauen Sie ein Ergebnis mit fehlender SCT-Erweiterung und bestätigen Sie, dass das Gate unabhängig von der Anzahl verweigert.
4. Bestätigen Sie, dass Ihr Signier-Workflow keinen Signer konstruiert, wenn das Gate verweigert.

Sicherheit und Compliance

• NextPDF stellt dar und prüft gegen eine Schwelle; es betreibt keine Protokolle. NextPDF Enterprise macht die CT-Haltung und eine Mindest-SCT-Prüfung sichtbar. Es ist kein CT-Protokoll, kein Auditor und kein Monitor, und es reicht keine Zertifikate bei Protokollen ein.
• Die Schwelle ist Ihre Richtlinie. Der Mindest-SCT-Wert liegt in Ihrer Wahl; NextPDF schreibt keine Zahl vor. Eine fehlende SCT-Erweiterung ist ein klarer Richtlinienverstoß.
• Schalten Sie vor dem Signieren. Führen Sie die Prüfung vor der Konstruktion des Signers aus, sodass ein unzureichend protokolliertes Zertifikat nie eine Signieroperation erreicht.
• Die SCT-Semantik folgt den Standards. Ein SCT ist das Versprechen eines Protokolls, dessen Vorhandensein und Gültigkeit vertrauende Parteien erwarten (RFC 6962 §3; §3.1 Struktur; CT v2 RFC 9162 §3).

Diese Seite betrifft das Zertifikatsvertrauen. Jede normative Quelle ist paraphrasiert; es wird kein normativer Text wiedergegeben.

Fehlerbehandlung

• Keine SCT-Erweiterung. Behandeln Sie ein Ergebnis ohne die SCT-Erweiterung als Richtlinienverstoß; verweigern Sie das Signieren.
• Zu wenige gültige SCTs. Eine Gültig-SCT-Anzahl unter Ihrer Schwelle besteht die Prüfung nicht; verweigern Sie das Signieren.
• Platzierung der Richtlinie. Führen Sie das Gate vor der Konstruktion des Signers aus; eine späte Prüfung, die nach dem Signieren läuft, schützt das erzeugte Dokument nicht.

Veröffentlichungsgrenze

Diese Seite dokumentiert ausschließlich extern beobachtbares Verhalten und die unterstützte öffentliche API-Oberfläche. Interne Namespace-Pfade, Hilfsklassen, Mechanismustabellen, Runbook-Dateinamen und Ticket-Präfixe liegen außerhalb des Umfangs.

Siehe auch

• Security — NextPDF Enterprise — die kombinierte Enterprise-Sicherheitsoberfläche.
• Signature — NextPDF Enterprise — der langfristige PAdES-B-LT- und B-LTA-Erzeuger.
• HSM-Signierung — NextPDF Enterprise — PKCS#11-Hardware-Schlüsselverwahrung.
• Security / Signing (Core) — der Core-CMS-Signer und der Signierstrategie-Vertrag.
• Certificate Transparency · SCT — Glossarbegriffe.