GlobalCode İmza Zaman Damgası Sunucusu
Belge Kapsamı
Bu makale, kod imzalama için geçerli zaman damgası hizmetlerini derler ve Microsoft Authenticode ile RFC 3161 senaryolarına odaklanır.
- Doğrulama tarihi: 2026-06-18.
- Yalnızca sağlayıcının resmi kaynaklarından doğrulanabilen adresler genel uç noktalar olarak listelenir.
- Bu makale, dünya genelindeki tüm zaman damgası hizmetlerinin kapsamlı bir listesi değildir. Açık olmayan uç noktalar, ticari etkinleştirme gerektiren hizmetler veya yalnızca yerel dağıtım ürünleri sunan hizmetler ayrıca açıklanmıştır.
- Zaman damgası hizmetlerinin kullanılabilirliği, sertifika zinciri ve erişim politikaları değişebilir; üretim yapılandırmasından önce sağlayıcının en güncel belgelerini yeniden kontrol etmelisiniz.
Zaman Damgası Protokolü
Kod imzalama için yaygın olarak iki tür zaman damgası protokolü vardır:
| Protokol | Açıklama |
|---|---|
| Authenticode | Microsoft'un geleneksel zaman damgası protokolü, öncelikle eski Windows kod imzalama süreçleriyle uyumluluk için kullanılır. |
| RFC 3161 | Modern kod imzalama senaryolarına uygun genel zaman damgası protokolü, üretim ortamlarında öncelikli olarak kullanılır. |
RFC 3161 isteği, zaman damgalanacak verinin özetini (hash) gönderir, orijinal dosyayı değil.TSA, özet, imza zamanı, politika ve TSA imzasını içeren bir zaman damgası belirteci döndürür.Zaman damgası, imzanın belirli bir zamanda zaten var olduğunu kanıtlayabilir; ancak imzanın uzun süre geçerli kalıp kalamayacağı, imza sertifikasına, zaman damgası sertifikasına, iptal durumuna ve doğrulayıcı politikalarına bağlıdır.
Herkese açık kod imzalama zaman damgası uç noktaları
Aşağıdaki adreslerin tamamı, mevcut resmi belgelerde açıkça belirtilmiş olup kod imzalama adayı olarak kullanılabilir.Tablodaki "açık" ifadesi yalnızca resmî olarak uç noktanın (endpoint) yayımlandığını belirtir; sağlayıcının sınırsız, koşulsuz veya kalıcı olarak ücretsiz kullanım taahhüdü anlamına gelmez.
| Sağlayıcı | Adres | Authenticode | RFC 3161 | Erişim Açıklaması | Resmi Doküman |
|---|---|---|---|---|---|
| Microsoft Artifact Signing | http://timestamp.acs.microsoft.com | Doğrulanmadı | ✅ | Microsoft, Artifact Signing kullanıcılarının bu TSA'yı kullanmasını önerir. Windows RFC 3161 adayı olarak uygundur. | Microsoft Artifact Signing |
| Sectigo | http://timestamp.sectigo.com | ✅ | ✅ | Aynı adres Authenticode ve RFC 3161'i destekler. Resmi gereklilik, toplu çağrılarda her isteğin en az 15 saniye aralıkla yapılmasıdır. | Sectigo Time Stamp Server |
| DigiCert | http://timestamp.digicert.com | Doğrulanmadı | ✅ | Resmi olarak Microsoft Authenticode RFC 3161 zaman damgası için kullanılır. | DigiCert RFC 3161 TSA |
| Certum | http://time.certum.pl | ✅ | ✅ | Certum'un resmi kod imzalama dokümanı bu adresi Windows kod imzalama ve Java JAR imzalama için kullanır. | Certum Code Signing |
| GlobalSign | http://timestamp.globalsign.com/tsa/r45standard | Doğrulanmadı | ✅ | GlobalSign'ın güncel kod imzalama dokümanı bu R45 adresini kullanır. | GlobalSign Code Signing in Windows |
| SSL.com | http://ts.ssl.com | ❌ | ✅ | Yalnızca RFC 3161'i destekler. Varsayılan zaman damgası ECDSA anahtarı kullanabilir; yalnızca RSA zaman damgasını destekleyen eski araçlar, resmi açıklamaya göre /legacy adresini değerlendirebilir. | SSL.com Using Your Code Signing Certificate |
Önerilen Sıralama
SHA-2 kod imzalama için aşağıdaki sırayla değerlendirme yapmanız önerilir:
- Microsoft：Windows RFC 3161 zaman damgası adayı olarak uygundur.
- Sectigo：Authenticode ve RFC 3161’i aynı anda destekler.
- DigiCert：Resmi olarak Microsoft Authenticode RFC 3161’i açıkça destekler.
- Certum：Resmi kod imzalama belgeleri hem Windows hem de Java imzalama senaryolarını kapsar.
- GlobalSign：Mevcut resmi belgelerdeki
r45standardadresini kullanın. - SSL.com：Yalnızca çağıran taraf RFC 3161’i desteklediğinde ve zaman damgası sertifikası ile anahtar türünü doğrulayabildiğinde kullanın.
Sıralama, yaygın Windows kod imzalama senaryolarıyla eşleşme derecesini gösterir; hizmet kalitesi, yasal geçerlilik veya ticari seviye için bir garanti oluşturmaz.Üretim ortamı, hedef işletim sistemi, ağ çıkışı, doğrulama zinciri, bölge erişilebilirliği ve tedarikçi hizmet anlaşmasına göre seçilmelidir.
Kısıtlı veya Ekosisteme Özel Hizmetler
QuoVadis
QuoVadis aşağıdaki RFC 3161 adresini yayınladı:
http://ts.quovadisglobal.com/euhttp://ts.quovadisglobal.com/ch
Resmi gereklilik, önce DigiCert'e çağıran çıkış IP'sinin kaydedilmesini zorunlu kılar, bu nedenle anonim bir genel TSA olarak kullanılamaz.İşleme başlamadan önce yetkilendirme tamamlanmalı ve seçilen politika ile sertifika zincirinin hedef doğrulama ortamına uygun olduğu doğrulanmalıdır.
Resmi dokümantasyon: DigiCert/QuoVadis Timestamp Server
Apple
Apple, kendi zaman damgası PKI'sını işletir ve Apple Timestamp CA ile ilgili CPS'yi herkese açık olarak sunar.http://timestamp.apple.com/ts01 Apple kod imzalama ekosistemi için kullanılır ve Windows Authenticode için genel bir aday olarak değerlendirilmemelidir.
Resmi belgeler: Apple PKI
Herkese açık veya deneme amaçlı RFC 3161 hizmetleri
Aşağıdaki hizmetler herkese açık RFC 3161 uç noktaları sunar; ancak kullanım kapsamı, çağrı kotası veya güven zinciri, genel amaçlı üretim kod imzalama hizmeti olarak uygun değildir.Kullanımdan önce zaman damgası sertifika zinciri hedef doğrulama ortamında kontrol edilmelidir.
| Sağlayıcı | Adres | Kapsam | Sınırlamalar | Resmi Dokümantasyon |
|---|---|---|---|---|
| MeSign | http://tsa.mesign.com | Belge imzalama, elektronik veri saklama ve RFC 3161 protokol denemeleri | Resmi ücretsiz deneme hizmeti Adobe belge zaman damgaları için tasarlanmıştır; her IP günlük 20 istekle sınırlıdır. Kod imzalama uyumluluğu ayrıca doğrulanmalıdır. | MeSign TSA |
| FreeTSA | https://freetsa.org/tsr | RFC 3161 protokol testleri, genel veri ve kod zaman damgalama | Ücretsiz genel hizmettir; kendi CA ve TSA sertifikalarını kullanır, hedef işletim sisteminin veya kod imzalama doğrulayıcılarının varsayılan olarak bunlara güvendiği varsayılmamalıdır. | FreeTSA |
Doğrudan genel kod imzalama uç noktası olarak listelenmemesi gereken hizmetler
Aşağıdaki türler "doğrudan yapılandırılabilir açık kod imzalama TSA"sından farklıdır:
- Entrust：Mevcut resmi sayfada, RFC 3161/RFC 5816 tabanlı yerel dağıtım Timestamping Authority ürünü tanıtılmaktadır; bu sayfada
http://timestamp.entrust.net/TSS/RFC3161sha2TSadresinin herkese açık bir kod imzalama uç noktası olduğu doğrulanmamıştır. - Çin anakarası ticari TSA: GDCA, CFCA, 安信 CA, SmartCert, TrustAsia gibi sağlayıcılar zaman damgası ürünleri veya imzalama araçları sunmaktadır; ancak herkese açık ürün sayfalarında genellikle anonim olarak çağrılabilen birleşik bir üretim URL’si verilmemektedir. Uç nokta, kimlik doğrulama yöntemi, politika OID’si, hız sınırları ve SLA, satın alma, sözleşme veya sağlayıcı teknik desteği yoluyla edinilmelidir.
- Sigstore Timestamp Authority: Bu, dağıtılabilir bir RFC 3161 TSA açık kaynak uygulamasıdır; sabit bir küresel herkese açık uç nokta ile eşdeğer değildir.
- Eski GlobalSign adresleri:
http://timestamp.globalsign.com/tsa/r6advanced1vehttp://rfc3161timestamp.globalsign.com/advanced, mevcut GlobalSign kod imzalama belgelerinde yer almamaktadır; güncel olarak yayımlananr45standardadresi kullanılmalıdır. - StartSSL:
http://tsa.startssl.com/rfc3161için doğrulanabilir güncel resmi hizmet bilgisi bulunmamaktadır; kullanıma devam edilmemelidir. - nCipher örnek adresi:
http://dse200.ncipher.com/TSS/HttpTspServer, daha çok tarihsel bir demo veya test sistemine yakındır; güncel herkese açık bir üretim hizmeti dayanağı bulunmamaktadır. - Kaynağı ve işletim politikası belirsiz adresler:
https://ca.signfiles.com/tsa/get.aspx,http://services.globaltrustfinder.com/adss/tsavehttps://tsp.iaik.tugraz.at/tsp/TspRequestiçin yeterli güncel resmi hizmet açıklaması, güven politikası veya kullanılabilirlik garantisi bulunmadığından, üretim aday listesine eklenmemelidir. - Diğer araştırma ağı TSA’ları: Protokol testleri için kullanılabilir; ancak kod imzalama için yeterli üretim güvencesi bulunmadığından üretim varsayılan hizmeti olarak önerilmez.
Üretim ortamına entegrasyon kontrolleri
TSA'yı varsayılan listeye veya üretim geri dönüş zincirine eklemeden önce en azından şunları doğrulayın:
- Sağlayıcının resmi dokümantasyonu, uç noktaları ve desteklenen protokolleri açıkça yayınlamalıdır.
- Doğru zaman damgası protokolü kullanılmalıdır; yalnızca RFC 3161'i destekleyen bir adres, Authenticode istekleri için kullanılmamalıdır.
- SHA-256 veya daha güçlü bir zaman damgası özet algoritması kullanılmalı ve hedef platformun TSA imza algoritması ile anahtar türüyle uyumlu olduğu doğrulanmalıdır.
- Hedef Windows, macOS veya diğer doğrulama ortamlarında tam zaman damgası sertifika zinciri kontrol edilmelidir.
- Çıkış ağı, proxy, güvenlik duvarı ve DNS'in uç noktaya istikrarlı şekilde erişebildiği doğrulanmalıdır.
- Kimlik doğrulama yöntemi, hız sınırları, hizmet koşulları, bölge kısıtlamaları ve SLA doğrulanmalıdır.
- TSA'nın kullanılabilirliği yalnızca tarayıcı erişimi veya HTTP durum kodlarıyla değerlendirilmemeli; gerçek imza çıktılarıyla imza doğrulaması yapılmalıdır.