Подписываем pdf файлы через утилиту cppdfutil.exe (версия 2.0.2174.0) с указанием типа подписи CAdES-T. В качестве службы штампов времени используем http://pki.sertum-pro.ru/tsp2012/tsp.srf.
После истечения срока действия сертификата, не смотря на тип подписи CAdES-T, подпись становится недействительной при проверке через сервис https://dss.cryptopro.ru/verify/ с ошибкой: Не удалось проверить подпись CAdES-T. Ошибка: [Истек/не наступил срок действия требуемого сертификата при проверке по системным часам или по отметке времени в подписанном файле]. Код: [0x800b0101]. Истек/не наступил срок действия требуемого сертификата при проверке по системным часам или по отметке времени в подписанном файле.

В чем может быть причина? Хотелось бы чтобы подписанные файлы проходили проверку и после истечения срока действия сертификата.
Прикладываю пример подписанного файла. fda32d77-8fd9-44f2-9bd7-c7e7f0745643.pdf (291kb) загружен 2 раз(а).

Мне казалось, что штамп времени от TSP сервера подтвержает, что сертификат действует на момнт подписания, и наличие доверенного штампа времени автоматически позволяет подтверждать подпись документа после истечения срока действия сертификата или его отзыва после даты подписания.

А вот мне интересно, если штамп прилетает от доверенной третьей стороны (если такие в принципе появятся) или УЦ, который выпустил серт, то это будет считаться подтверждением валидности ЭП в конкретный момент времени, или там будет какой-то другой штамп требоваться от ДТС?

С технической точки зрения @basid абсолютно прав, но я думаю, что топикстартер интересуется юридической стороной вопроса, просто начав с технической

Отредактировано пользователем 8 ноября 2023 г. 9:25:46(UTC)  | Причина: Не указана

Да вопрос в том, а должен ли, например, УЦ проверять сертификат подписанта перед тем, как выдать штамп?

Да, tsp запрос, по хорошему, включает в себя messageImprint (в котором содержится хэш-код от байтов ЭП). Этот запрос отправляется серваку. Но есть же возможность добавлять расличные расширения в tsp запрос. Мне интересно, почему не решились на УЦ возложить задачу проверки сертификата подписанта?
Фантазируя, можно привести вот какой пример:

1. в расширение tsp запроса кладется сертификат подписанта;
   
2. УЦ смотрит, не отозван ли сертификат;
   
3. УЦ возвращает tsp ответ, в котором содержится сертификат подписанта (т.е. этот tsp ответ не будет применим к другому сертификату и другой ЭП
   

Т.е., на мой взгляд, техническая реализация возможна.
И вот у меня вопрос, на самом деле, а почему это не сделано с юридической точки зрения ?

Отредактировано пользователем 8 ноября 2023 г. 9:57:31(UTC)  | Причина: Не указана

А кому вы хотите доказать что-то? Логика проверки у Контур.Крипто может отличаться от логики проверок, которая заложена в КриптоПро DSS.