26

署名済みの XML ファイルをブラジルの政府機関に送信する必要があります。問題は、Java コード ( Java XML Digital Signature APIを使用) によって計算されたダイジェストが、 XMLSECなどの別のツールで生成されたダイジェストと異なることです。

XML ノードの XML 署名を生成するために使用するコードを次に示します。

private synchronized void sign(XmlObject obj) throws Exception {
        initKeystore();
        XMLSignatureFactory fac = XMLSignatureFactory.getInstance("DOM");
        List<Transform> transformList = new ArrayList<Transform>();
        Transform envelopedTransform = fac.newTransform(Transform.ENVELOPED, (TransformParameterSpec) null);
        Transform c14NTransform = fac.newTransform("http://www.w3.org/TR/2001/REC-xml-c14n-20010315",
                (TransformParameterSpec) null);
        transformList.add(envelopedTransform);
        transformList.add(c14NTransform);
        Reference ref = fac.newReference("", fac.newDigestMethod(DigestMethod.SHA1, null),
                Collections.singletonList(fac.newTransform(Transform.ENVELOPED, (TransformParameterSpec) null)), null,
                null);
        SignedInfo si = fac.newSignedInfo(
                fac.newCanonicalizationMethod(CanonicalizationMethod.INCLUSIVE, (C14NMethodParameterSpec) null),
                fac.newSignatureMethod(SignatureMethod.RSA_SHA1, null), Collections.singletonList(ref));
        KeyStore ks = KeyStore.getInstance("PKCS12");
        ks.load(new FileInputStream(System.getProperty("javax.net.ssl.keyStore")),
                System.getProperty("javax.net.ssl.keyStorePassword").toCharArray());
        KeyStore.PrivateKeyEntry keyEntry = (KeyStore.PrivateKeyEntry) ks.getEntry("entry",
                new KeyStore.PasswordProtection(System.getProperty("javax.net.ssl.keyStorePassword").toCharArray()));

        X509Certificate cert = (X509Certificate) keyEntry.getCertificate();

        // Create the KeyInfo containing the X509Data.
        KeyInfoFactory kif = fac.getKeyInfoFactory();
        X509Data xd = kif.newX509Data(Collections.singletonList(cert));
        KeyInfo ki = kif.newKeyInfo(Collections.singletonList(xd));
        // Instantiate the document to be signed.

        Element el = (Element) obj.getDomNode().getFirstChild();
        String id = el.getAttribute("Id");

        DOMSignContext dsc = new DOMSignContext(keyEntry.getPrivateKey(), el);
        // Create the XMLSignature, but don't sign it yet.
        XMLSignature signature = fac.newXMLSignature(si, ki);
        // Marshal, generate, and sign the enveloped signature.
        signature.sign(dsc);

    }

生成された XML を xmlsec で検証しようとすると、次のエラーが発生します。

$ xmlsec1 --verify consulta.xml 
func=xmlSecOpenSSLEvpDigestVerify:file=digests.c:line=229:obj=sha1:subj=unknown:error=12:invalid data:data and digest do not match
FAIL

しかし、まったく同じファイル (consult.xml) に (同じ秘密鍵を使用して) xmlsec で署名しようとすると、そのエラーはなくなります。

xmlsec1 --sign --output doc-signed.xml --privkey-pem cert.pem consulta.xml

Consult.xml と doc-signed.xml (xmlsec で生成) の違いは、SignatureValue タグと DigestValue タグの内容です。

Consulta.xml:

<DigestValue>Ajn+tfX7JQc0HPNJ8KbTy7Q2f8I=</DigestValue>
...
<SignatureValue>Q1Ys0Rtj8yL2SA2NaQWQPtmNuHKK8q2anPiyLWlH7mOIjwOs0GEcD0WLUM/BZU0Q
T0kSbDTuJeTR2Ec9wu+hqXXbJ76FpX9/IyHrdyx2hLg0VhB5RRCdyBEuGlmnsFDf
XCyBotP+ZyEzolbTCN9TjCUnXNDWtFP1YapMxAIA0sth0lTpYgGJd8CSvFlHdFj+
ourf8ZGiDmSTkVkKnqDsj8O0ZLmbZfJpH2CBKicX+Ct7MUz2sqVli4XAHs6WXX+E
HJpbOKthS3WCcpG3Kw4K50yIYGTkTbWCYFxOVsMfiVy4W/Qz15Vxb8chD8LM58Ep
m/szmvnTAESxv/piDr7hyw==</SignatureValue>

doc-signed.xml:

<DigestValue>w6xElXJrZw3G86OsNkWav+pcKJo=</DigestValue>
...
<SignatureValue>YmUsnlnAY9uLhlfVBLhB8K8ArxMOkOKZJoQ6zgz55ggU6vJCO9+HWJCKQJp6Rvn/w5PCAFY0KJRb
r6/WhHML0Z+Q6TSuIL8OTvJ3iPoROAK6uy07YAflKOUklqk4uxgfMkR+hWMCyfITJVCVZo/MXmPy
g7YwmztoSlGH+p6+ND5n2u47Y2k6SpIvw3CUxwAVQkD0Hsj3G58cbUbrFCoyPVGOe4zJ9c1HPsMW
KzBEFe3QETzPJ8I1B7EEVi5oDvzXE2rMTH4K7zvNGnXpBNGwnSjEOticlqKVP5wyUD7CPwgF1Wgy
Z0njvlaW3K8YmAY8fc70v/+wSO6Fu+0zj18Xeg==</SignatureValue>

どちらのファイルも同じであり、この投稿がさらに冗長になるため、残りのファイルは投稿しません。

私が収集した情報によると、この XML ファイルを受け取る Web アプリは .NET アプリケーションであり、私の Java コードとは異なる署名ダイジェストを計算します (xmlsec とよく似ています)。何か案は？

4

2 に答える 2

1

回答するのに遅すぎる場合:

コードで 2 つの変換 (envelopedTransform と c14NTransform) を作成しますが、それらは使用しません。

単一の新しい Transform.ENVELOPED を使用して参照を作成します。 http://www.w3.org/TR/2001/REC-xml-c14n-20010315 (C14N) 変換は適用されません。

さて、この場合の動作がどうあるべきか、XML セキュリティ標準がどのように述べているのか、私にはよくわかりません。おそらく、他のツールも C14N 変換を自動的に適用します。

トランスフォームを指定しない場合、JDK は少なくとも C14N トランスフォームを適用することは確かです。

基本的にその fac.newReference("", ...) を変更し、Collections.singletonList() の代わりに transformList を渡します。

于 2013-07-06T18:54:42.427 に答える
0

理想的には、DigestValue 要素には、Java XML 署名 API の実際の base64 でエンコードされたダイジェスト値が含まれています。XMLSec から作成されたダイジェスト値も base64 でエンコードされていることを確認してください。

于 2013-07-18T09:58:53.693 に答える