Globale Code-Signatur-Zeitstempelserver
Dokumentationsumfang
Dieses Dokument fasst Zeitstempeldienste für Code-Signaturen zusammen, mit besonderem Fokus auf Microsoft Authenticode- und RFC-3161-Szenarien.
- Prüfdatum: 2026-06-18.
- Nur Adressen, die aus offiziellen Quellen der Anbieter bestätigt werden können, werden als öffentliche Endpunkte aufgeführt.
- Dieses Dokument ist keine erschöpfende Liste aller globalen Zeitstempeldienste. Nicht öffentliche Endpunkte, Dienste, die eine kommerzielle Aktivierung erfordern, oder Dienste, die nur lokale Bereitstellung anbieten, werden separat beschrieben.
- Die Verfügbarkeit, Zertifikatsketten und Zugriffsrichtlinien von Zeitstempeldiensten können sich ändern. Vor der Produktionskonfiguration sollten die neuesten Dokumente des Anbieters erneut geprüft werden.
Zeitstempelprotokolle
Bei der Code-Signatur sind zwei Arten von Zeitstempelprotokollen üblich:
| Protokoll | Beschreibung |
|---|---|
| Authenticode | Microsofts traditionelles Zeitstempelprotokoll, hauptsächlich für die Kompatibilität mit älteren Windows-Code-Signatur-Workflows. |
| RFC 3161 | Universelles Zeitstempelprotokoll, geeignet für moderne Code-Signatur-Szenarien, vorzugsweise in Produktionsumgebungen verwendet. |
Eine RFC-3161-Anfrage sendet den Hash der Daten, die zeitgestempelt werden sollen, und nicht die Originaldatei. Die TSA gibt ein Zeitstempeltoken zurück, das den Hash, die Ausstellungszeit, die Richtlinie und die TSA-Signatur enthält. Der Zeitstempel kann beweisen, dass die Signatur zu einem bestimmten Zeitpunkt bereits existierte, aber ob die Signatur langfristig gültig bleibt, hängt vom Signaturzertifikat, dem Zeitstempelzertifikat, dem Widerrufsstatus und der Prüfrichtlinie des Verifizierers ab.
Öffentliche Code-Signatur-Zeitstempelendpunkte
Die folgenden Adressen werden in aktuellen offiziellen Dokumenten klar beschrieben und können als Kandidaten für die Code-Signatur verwendet werden. „Öffentlich" in der Tabelle bedeutet nur, dass der Endpunkt offiziell veröffentlicht wurde, nicht, dass der Anbieter eine unbegrenzte, bedingungslose oder dauerhaft kostenlose Nutzung zusichert.
| Anbieter | Adresse | Authenticode | RFC 3161 | Zugriffshinweise | Offizielle Dokumente |
|---|---|---|---|---|---|
| Microsoft Artifact Signing | http://timestamp.acs.microsoft.com | Nicht bestätigt | ✅ | Microsoft empfiehlt diesen TSA für Artifact-Signing-Benutzer. Geeignet als Windows-RFC-3161-Kandidat. | Microsoft Artifact Signing |
| Sectigo | http://timestamp.sectigo.com | ✅ | ✅ | Dieselbe Adresse unterstützt Authenticode und RFC 3161. Offizielle Anforderung: Bei Batch-Aufrufen muss zwischen Anfragen ein Mindestabstand von 15 Sekunden eingehalten werden. | Sectigo Time Stamp Server |
| DigiCert | http://timestamp.digicert.com | Nicht bestätigt | ✅ | Offiziell für Microsoft Authenticode RFC 3161 Zeitstempel vorgesehen. | DigiCert RFC 3161 TSA |
| Certum | http://time.certum.pl | ✅ | ✅ | Die offizielle Code-Signatur-Dokumentation von Certum verwendet diese Adresse für Windows-Code-Signatur und Java-JAR-Signatur. | Certum Code Signing |
| GlobalSign | http://timestamp.globalsign.com/tsa/r45standard | Nicht bestätigt | ✅ | GlobalSigns aktuelles Code-Signierungsdokument verwendet diese R45-Adresse. | GlobalSign Code Signing in Windows |
| SSL.com | http://ts.ssl.com | ❌ | ✅ | Unterstützt nur RFC 3161. Der Standard-Zeitstempel verwendet möglicherweise ECDSA-Schlüssel; ältere Tools, die nur RSA-Zeitstempel unterstützen, können die /legacy-Adresse gemäß den offiziellen Anweisungen evaluieren. | SSL.com Using Your Code Signing Certificate |
Empfohlene Reihenfolge
Bei SHA-2-Code-Signierung wird empfohlen, in der folgenden Reihenfolge zu evaluieren:
- Microsoft: Geeignet als Kandidat für Windows RFC 3161-Zeitstempel.
- Sectigo: Unterstützt sowohl Authenticode als auch RFC 3161.
- DigiCert: Offiziell ausdrücklich unterstützt Microsoft Authenticode RFC 3161.
- Certum: Offizielle Code-Signierungsdokumentation deckt sowohl Windows- als auch Java-Signaturszenarien ab.
- GlobalSign: Verwendet die
r45standard-Adresse aus dem aktuellen offiziellen Dokument. - SSL.com: Nur verwenden, wenn der Aufrufer RFC 3161 unterstützt und bestätigt, dass er das Zeitstempelzertifikat und den Schlüsseltyp verifizieren kann.
Die Reihenfolge gibt den Grad der Übereinstimmung mit gängigen Windows-Code-Signierungsszenarien an und stellt keine Garantie für Dienstqualität, rechtliche Wirksamkeit oder kommerzielle Einstufung dar. In Produktionsumgebungen sollte die Auswahl basierend auf dem Zielbetriebssystem, dem Netzwerkausgang, der Verifikationskette, der regionalen Erreichbarkeit und den Servicevereinbarungen des Anbieters erfolgen.
Eingeschränkte oder Ökosystem-spezifische Dienste
QuoVadis
QuoVadis hat die folgenden RFC 3161-Adressen veröffentlicht:
http://ts.quovadisglobal.com/euhttp://ts.quovadisglobal.com/ch
Offiziell ist eine vorherige Registrierung der ausgehenden IP-Adresse des Aufrufers bei DigiCert erforderlich, daher kann der Dienst nicht als anonymer öffentlicher TSA verwendet werden. Vor der Integration sollte die Autorisierung abgeschlossen und bestätigt werden, dass die ausgewählte Richtlinie und die Zertifikatskette der Ziel-Verifikationsumgebung entsprechen.
Offizielle Dokumentation: DigiCert/QuoVadis Timestamp Server
Apple
Apple betreibt eine eigene PKI für Zeitstempel und veröffentlicht die Apple Timestamp CA sowie die zugehörige CPS öffentlich. http://timestamp.apple.com/ts01 wird im Apple-Code-Signatur-Ökosystem verwendet und sollte nicht als allgemeiner Kandidat für Windows Authenticode betrachtet werden.
Offizielle Dokumentation: Apple PKI
Öffentliche oder Test-RFC-3161-Dienste
Die folgenden Dienste bieten öffentliche RFC-3161-Endpunkte an, aber Nutzungsumfang, Aufrufkontingente oder Vertrauenskette sind nicht als allgemeiner Produktions-Code-Signaturdienst geeignet. Vor der Verwendung sollte die Zeitstempel-Zertifikatskette in der Ziel-Validierungsumgebung überprüft werden.
| Anbieter | Adresse | Anwendungsbereich | Einschränkungen | Offizielle Dokumentation |
|---|---|---|---|---|
| MeSign | http://tsa.mesign.com | Dokumentsignatur, elektronische Beweissicherung und RFC-3161-Protokolltest | Der offizielle kostenlose Testdienst ist für Adobe-Dokumentzeitstempel ausgelegt, begrenzt auf 20 Aufrufe pro IP und Tag. Die Kompatibilität für Code-Signatur muss separat verifiziert werden. | MeSign TSA |
| FreeTSA | https://freetsa.org/tsr | RFC-3161-Protokolltest, allgemeine Daten- und Code-Zeitstempel | Kostenloser öffentlicher Dienst mit eigenem CA- und TSA-Zertifikat; es sollte nicht angenommen werden, dass Zielbetriebssysteme oder Code-Signatur-Validierer standardmäßig vertrauen. | FreeTSA |
Dienste, die nicht direkt als öffentliche Code-Signatur-Endpunkte aufgeführt werden sollten
Die folgenden Typen unterscheiden sich von „direkt konfigurierbaren öffentlichen Code-Signatur-TSA-Diensten":
- Entrust: Die aktuelle offizielle Seite stellt ein lokales Timestamping-Authority-Produkt auf Basis von RFC 3161/RFC 5816 vor; es wird auf dieser Seite nicht bestätigt, dass
http://timestamp.entrust.net/TSS/RFC3161sha2TSein öffentlicher Code-Signatur-Endpunkt ist. - Kommerzielle TSA-Dienste in Festlandchina: Anbieter wie GDCA, CFCA, Anxin CA, SmartCert und TrustAsia bieten Zeitstempelprodukte oder Signaturwerkzeuge an, aber öffentliche Produktseiten geben in der Regel keine anonym aufrufbare einheitliche Produktions-URL an. Endpunkte, Authentifizierungsmethoden, Policy-OIDs, Ratenlimits und SLAs sollten über Beschaffung, Verträge oder technischen Support des Anbieters eingeholt werden.
- Sigstore Timestamp Authority: Dies ist eine bereitstellbare Open-Source-Implementierung einer RFC-3161-TSA und entspricht nicht einem festen globalen öffentlichen Endpunkt.
- Historische GlobalSign-Adressen:
http://timestamp.globalsign.com/tsa/r6advanced1undhttp://rfc3161timestamp.globalsign.com/advancedsind in der aktuellen GlobalSign-Dokumentation für Codesignatur nicht aufgeführt. Es sollte die derzeit veröffentlichte Adresser45standardverwendet werden. - StartSSL: Für
http://tsa.startssl.com/rfc3161gibt es keine bestätigbaren aktuellen offiziellen Dienstinformationen; es sollte nicht weiter verwendet werden. - Beispieladresse für nCipher:
http://dse200.ncipher.com/TSS/HttpTspServerähnelt eher historischen Demo- oder Testsystemen und besitzt keine aktuelle Grundlage für einen öffentlichen Produktionsdienst. - Adressen mit unklarer Herkunft und Betriebsstrategie: Für
https://ca.signfiles.com/tsa/get.aspx,http://services.globaltrustfinder.com/adss/tsaundhttps://tsp.iaik.tugraz.at/tsp/TspRequestfehlen ausreichende aktuelle offizielle Dienstbeschreibungen, Vertrauensrichtlinien oder Verfügbarkeitsgarantien; sie sollten nicht in die Produktionskandidatenliste aufgenommen werden. - Andere TSA-Forschungsnetzwerke: Sie können für Protokolltests verwendet werden, aber ohne ausreichende Produktionsgarantien für Codesignatur wird von einer Nutzung als Standard-Produktionsdienst abgeraten.
Produktionszugangsprüfung
Bevor eine TSA in die Standardliste oder Produktions-Rollback-Kette aufgenommen wird, mindestens Folgendes bestätigen:
- Offizielle Informationen des Anbieters müssen Endpunkt und unterstützte Protokolle klar angeben.
- Das korrekte Zeitstempelprotokoll verwenden; Adressen, die nur RFC 3161 unterstützen, dürfen nicht für Authenticode-Anfragen verwendet werden.
- SHA-256 oder stärkere Zeitstempel-Hash-Algorithmen verwenden und die Kompatibilität der Zielplattform mit Signaturalgorithmus und Schlüsseltyp der TSA bestätigen.
- Die vollständige Zeitstempel-Zertifikatskette in Zielumgebungen wie Windows, macOS oder anderen Verifikationsumgebungen prüfen.
- Bestätigen, dass ausgehendes Netzwerk, Proxy, Firewall und DNS den Endpunkt stabil erreichen können.
- Authentifizierungsmethode, Ratenbegrenzung, Nutzungsbedingungen, regionale Einschränkungen und SLA bestätigen.
- Signaturprüfung mit einem tatsächlichen Signaturergebnis durchführen; die Verfügbarkeit einer TSA kann nicht nur über Browserzugriff oder HTTP-Statuscodes beurteilt werden.