Vertrauenswürdigen Zeitstempel zur digitalen Signatur in Python hinzufügen

Eine digitale Signatur zeichnet auf, wer ein Dokument unterschrieben hat. Ein vertrauenswürdiger Zeitstempel zeichnet wann auf, und dieser Zeitpunkt stammt von einer unabhängigen Zeitstempelbehörde (TSA) und nicht von der Uhr des Rechners des Unterzeichners. Dieses Tutorial zeigt, wie man ein Word‑Dokument mit einer zeitgestempelten XAdES‑T‑Signatur in Python signiert und anschließend bestätigt, dass der Zeitstempel in der Datei enthalten ist.

Wichtige Erkenntnisse

• Setzen Sie beide SignOptions.xml_dsig_level = XmlDsigLevel.X_AD_ES_T und SignOptions.timestamp_settings. Jede einzelne erzeugt eine Signatur ohne Zeitstempel, und es gibt keinen Fehler, der Sie darauf hinweist.
• Aspose.Words fordert den Zeitstempel während DigitalSignatureUtil.sign an, sodass dieser Aufruf Netzwerkzugriff auf den TSA benötigt.
• DOCX und DOC Dateien können mit einem Zeitstempel versehen werden. ODT-Dateien nicht.
• DigitalSignature.is_valid prüft die Signatur, nicht den Zeitstempel. Bestätigen Sie den Zeitstempel separat.

Was ein vertrauenswürdiger Zeitstempel zu einer Signatur hinzufügt

Jede von Aspose.Words erstellte Signatur enthält eine Signaturzeit, die durch SignOptions.sign_time festgelegt wird. Dieser Wert stammt vom Rechner des Unterzeichners, sodass jeder, der das Dokument anzweifelt, auch die Zeit anzweifeln kann.

Eine XAdES‑T‑Signatur fügt unabhängige Beweise hinzu. Nachdem das Dokument signiert wurde, sendet Aspose.Words einen Hash des Signaturwerts an einen TSA. Der TSA gibt ein RFC‑3161‑Token zurück, das mit seinem eigenen Zertifikat signiert ist und den Hash an einen bestimmten Zeitpunkt bindet. Dieses Token wird innerhalb der Signatur gespeichert. Ein Prüfer kann dann nachweisen, dass die Signatur zu diesem Zeitpunkt existierte, was besonders wichtig ist, wenn das Signaturzertifikat später abläuft oder widerrufen wird.

Voraussetzungen

Bevor Sie das Beispiel ausführen, stellen Sie sicher, dass Sie Folgendes haben:

• Aspose.Words for Python via .NET 26.9 oder neuer. Installieren oder aktualisieren Sie von PyPI:

pip install --upgrade "aspose-words>=26.9"

• Ein Signaturzertifikat im PKCS#12-Format (.pfx oder .p12) und dessen Passwort.
• Eine Zeitstempel-Authority-URL. Das Beispiel verwendet FreeTSA (https://freetsa.org/tsr), einen kostenlosen öffentlichen TSA, der für Tests praktisch ist. Für Produktionsdokumente verwenden Sie den TSA, den Ihre Organisation oder Ihr Zertifikatanbieter empfiehlt, da die Personen, die Ihre Dokumente prüfen, dem Zertifikat dieses TSA vertrauen müssen.
• TSA-Anmeldeinformationen, nur wenn Ihr TSA eine Authentifizierung erfordert.

Ohne eine Lizenz läuft Aspose.Words im Evaluierungsmodus mit Einschränkungen. Eine temporäre Lizenz entfernt diese, während Sie testen.

Ein Word-Dokument mit einem vertrauenswürdigen Zeitstempel signieren

Das folgende Skript signiert eine DOCX-Datei mit einer XAdES‑T-Signatur und bettet einen Zeitstempel vom TSA ein.

import datetime
import aspose.words as aw

# Replace these values with your own files and credentials.
INPUT_DOC = "contract.docx"
OUTPUT_DOC = "contract-signed.docx"
CERT_FILE = "signing-cert.pfx"
CERT_PASSWORD = "your-pfx-password"

TSA_URL = "https://freetsa.org/tsr"
TSA_USER = ""       # Fill in only if your TSA requires authentication.
TSA_PASSWORD = ""

# Load the signing certificate from a PKCS#12 file.
cert_holder = aw.digitalsignatures.CertificateHolder.create(
    file_name=CERT_FILE, password=CERT_PASSWORD)

# Request an XAdES-T signature and point it at a timestamp authority.
sign_options = aw.digitalsignatures.SignOptions()
sign_options.xml_dsig_level = aw.digitalsignatures.XmlDsigLevel.X_AD_ES_T
sign_options.timestamp_settings = aw.digitalsignatures.DigitalSignatureTimestampSettings(
    server_url=TSA_URL,
    user_name=TSA_USER,
    password=TSA_PASSWORD,
    timeout=datetime.timedelta(seconds=60),  # Default is 100 seconds.
)

# Sign the document. Aspose.Words contacts the TSA during this call.
aw.digitalsignatures.DigitalSignatureUtil.sign(
    src_file_name=INPUT_DOC,
    dst_file_name=OUTPUT_DOC,
    cert_holder=cert_holder,
    sign_options=sign_options,
)
print(f"Signed with a trusted timestamp: {OUTPUT_DOC}")

Wie der Code funktioniert

• CertificateHolder.create liest den privaten Schlüssel und die Zertifikatskette aus der .pfx‑Datei. Ein falsches Passwort schlägt hier fehl, bevor irgendeine Signatur beginnt.
• XmlDsigLevel.X_AD_ES_T weist Aspose.Words an, eine XAdES‑T‑Signatur zu erstellen, die XAdES‑EPES plus einen Signaturzeitstempel ist.
• DigitalSignatureTimestampSettings enthält die TSA‑URL, einen optionalen Benutzernamen und ein Passwort sowie ein optionales Timeout. Leere Zeichenketten sind in Ordnung für eine TSA, die anonyme Anfragen akzeptiert. Wenn die TSA mit einer HTTP‑Authentifizierungsaufforderung antwortet, sendet Aspose.Words die von Ihnen bereitgestellten Anmeldeinformationen.
• DigitalSignatureUtil.sign schreibt eine signierte Kopie nach OUTPUT_DOC und lässt die Eingabedatei unverändert. Signieren Sie ein unsigniertes Dokument: Wenn die Eingabe bereits eine Signatur enthält, enthält die Ausgabe sowohl die vorhandene Signatur als auch die neue.

Überprüfen Sie, dass der Zeitstempel eingebettet wurde

Die DigitalSignature-Objekte, die Aspose.Words zurückgibt, stellen den Zeitstempel nicht bereit, und is_valid prüft ihn nicht. Bei Tests meldete ein Dokument, dessen Zeitstempel‑Token absichtlich beschädigt wurde, immer noch is_valid als True. Um den Zeitstempel zu bestätigen, schauen Sie in das Signatur‑XML, das im DOCX‑Paket gespeichert ist:

import base64
import re
import zipfile
import aspose.words as aw

SIGNED_DOC = "contract-signed.docx"

# 1. Check the signature itself.
for sig in aw.digitalsignatures.DigitalSignatureUtil.load_signatures(SIGNED_DOC):
    print(f"Signer: {sig.subject_name} | valid: {sig.is_valid}")

# 2. Check that a timestamp token was embedded, and save it for inspection.
with zipfile.ZipFile(SIGNED_DOC) as package:
    for part in package.namelist():
        if part.startswith("_xmlsignatures/sig") and part.endswith(".xml"):
            xml = package.read(part).decode("utf-8")
            match = re.search(r"<(?:\w+:)?EncapsulatedTimeStamp[^>]*>([^<]+)<", xml)
            if match:
                with open("timestamp-token.der", "wb") as f:
                    f.write(base64.b64decode(match.group(1)))
                print(f"{part}: timestamp embedded (saved to timestamp-token.der)")
            else:
                print(f"{part}: no timestamp found")

Für ein signiertes DOCX sollten Sie eine ähnliche Ausgabe sehen:

Signer: CN=Your Name | valid: True
_xmlsignatures/sig1.xml: timestamp embedded (saved to timestamp-token.der)

Um die vom TSA zertifizierte Zeit auszulesen, übergeben Sie das gespeicherte Token an OpenSSL:

openssl ts -reply -token_in -in timestamp-token.der -token_out -text

Die Zeile Time stamp zeigt die zertifizierte Zeit in GMT an, und die Zeile TSA gibt die Behörde an, die sie ausgestellt hat.

Dieser Check liest das DOCX‑Paketformat. Eine DOC‑Datei speichert ihre Signatur in einem Binärcontainer, sodass das ZIP‑basierte Skript nicht darauf anwendbar ist.

Fehlerbehebung bei Signatur- und Zeitstempel-Fehlern

Alternative: Zeitstempel einer Signatur im PDF-Ausgabe

Wenn Ihre Empfänger ein PDF statt einer signierten Word-Datei benötigen, benötigen Sie nicht DigitalSignatureUtil. Signieren und versehen Sie das PDF beim Speichern mit einem Zeitstempel, indem Sie PdfSaveOptions.digital_signature_details.timestamp_settings auf ein PdfDigitalSignatureTimestampSettings‑Objekt setzen. Dieser Weg ist bereits seit viel länger als 26.9 verfügbar. Die PdfDigitalSignatureTimestampSettings reference enthält ein vollständiges Beispiel.

Nächste Schritte

Um Signaturzeilen hinzuzufügen, mit einem Signaturzeilen‑Bild zu signieren oder vorhandene Signaturen zu entfernen, siehe Arbeiten mit digitalen Signaturen in der Aspose.Words for Python Dokumentation.

FAQs

1. Was fügt ein vertrauenswürdiger Zeitstempel einer digitalen Signatur hinzu?
   Eine Zeitstempelbehörde (TSA) bescheinigt den Zeitpunkt, zu dem die Signatur erstellt wurde. Dieser Zeitpunkt stammt von einer unabhängigen Drittpartei und nicht von der Computeruhr des Unterzeichners, und er ermöglicht es einem Prüfer nachzuweisen, dass die Signatur existierte, bevor das Signaturzertifikat abgelaufen oder widerrufen wurde.

2. Welche Aspose.Words-Version unterstützt das Zeitstempeln in DigitalSignatureUtil?
   Version 26.9 von Aspose.Words for Python via .NET fügte SignOptions.timestamp_settings, XmlDsigLevel.X_AD_ES_T und die Klasse DigitalSignatureTimestampSettings hinzu. Frühere Versionen können Signaturen nur im PDF‑Ausgabeformat mit einem Zeitstempel versehen.

3. Muss ich sowohl xml_dsig_level als auch timestamp_settings setzen?
   Ja. Wenn nur einer von beiden gesetzt ist, signiert Aspose.Words das Dokument weiterhin, fordert jedoch keinen Zeitstempel an und bettet keinen ein, und es wird kein Fehler ausgelöst.

4. Welche Dateiformate können mit einem Zeitstempel versehen werden?
   DOCX‑ und DOC‑Dateien, die mit X_AD_ES_T signiert werden, erhalten einen Zeitstempel. Das Signieren einer ODT‑Datei mit einem Zeitstempel führt zu einem Fehler, der besagt, dass das Format kein Zeitstempeln unterstützt.

5. Bestätigt is_valid, dass der Zeitstempel gültig ist?
   Nein. DigitalSignature.is_valid prüft nur die Signatur selbst. Um den Zeitstempel zu bestätigen, muss geprüft werden, ob das Signatur‑XML ein Zeitstempel‑Token enthält, und das Token mit einem Werkzeug wie OpenSSL inspiziert werden.

6. Was passiert, wenn die TSA nicht erreicht werden kann?
   DigitalSignatureUtil.sign wirft einen RuntimeError, der das Netzwerk‑, Authentifizierungs‑ oder Zeitüberschreitungsproblem beschreibt. Der Zielpfad kann als leere Datei zurückbleiben, daher sollte sie vor einem erneuten Versuch gelöscht werden.

Kostenlose Lizenz und Support erhalten

• Kostenlose temporäre Lizenz
• Dokumentation
• API-Referenz
• Aspose.Words Support-Forum