security - 获取不能被欺骗的安全时间戳

Question

从我的应用程序中从 Internet 获取经过认证的时间戳的最佳方法是什么？

我有一个定期过期的许可证文件，我必须确保证书没有过期。

这样的事情是否可能/是否存在？理想情况下，当我的应用程序运行时，它应该获得一个代表当前时间的安全/认证时间戳，但我想确保它不会被应用程序运行者伪造。

有没有提供这种服务的服务？它可以是商业的，我只是不知道从哪里开始，正在寻找一些指示。

Answer 1

查看时间戳协议 (RFC 3161)。它为您提供安全的时间。要正确使用该协议，您可以询问服务器时间戳一些随机哈希（服务器不关心），然后验证时间戳，如果没问题，使用时间戳中的时间。那将是最有效的方法。

BouncyCastle 中有一个 TSP 客户端，如果没记错的话，我们的 SecureBlackbox 产品（包括免费的 CryptoBlackbox包）还包括一个 TSP 客户端和强大的验证机制。