【Java密码学】用Java数字签名提供XML安全

简介

众所周知，XML在产品和项目开发中起着非常重要的作用。通过XML文档可以获取很多信息，还可以使用XML文件进行CRUD（增加、查询、更新和删除）操作。然而值得注意的是，我们如何确保XML中的数据是来自经过认证的可信和可靠的来源。关于XML文件数据的可靠性和真实性存在很多问题。通常的情况是，开发者直接处理XML文件而不去考虑数据的可靠性。有一些情况提出了上面的所有问题。现实生活中，每当我们从邮局收到一封信件时我们如何确定这封信是来自我们的朋友？依据可能是他/她的习惯用语、用词或者邮件详细地址。也可能是他/她的个性签名。如今，我们收到的信件可能被某人进行了篡改，添加了其他内容。基于上述原因，通常我们会验证朋友的手写签名。当然这些是关于来自邮局的普通邮件。电子消息又该如何？我们如何验证电子消息的真实性？这种情况我们会采用数字签名。本文会对保证数据完整性的XML数字签名技术进行简要介绍，并且展示如何为XML文件附加电子签名及其验证过程。

使用的技术

过去几年里，XML数字签名取得了快速发展，在金融领域尤其如此。在开始讨论之前，让我们考虑一个典型场景：想象一下，某个组织将所有雇员的薪资内容用XML文件发送给所得税部门。那么现在的问题是：所得税部门如何验证这份XML文件？这就是说，IT部门需要验证该组织的敏感信息。IT部门需要确保XML文件的来源可信，并且在IT部门收到之前没有经过篡改——也就是说文档的内容没有在传递中被修改。首先，我们需要理解数字签名的概念。数字签名是一种用来验证文档发自可信方的电子签名。它确保了文档的原始内容在传输中没有受到修改。数字签名可以用于任何加密和非加密消息，因此接收方可以识别发送者的身份，并确认消息没有被其他人修改。根据维基百科的定义：“数字签名是一种验证数字信息或文档的数学方法”。一个有效的数字签名可以让接收者确认收到的消息来自已知发送方，发送者不能否认自己发送了此消息（提供认证和不可否认性）并且此消息在传输中未经修改（提供完整性）。数字签名通常被用在软件发布、金融事务和其他需要检测伪造或篡改的重要场合。

下面让我们来看完整的一个带有数字签名的XML文件：

<?xml version="1.0" encoding="UTF-8" standalone="no"?><SalaryDeposit>

       <Organisation>

              <Name>DDLab Inc</Name>

              <AccountNo>SBC-12345789</AccountNo>

       </Organisation>

       <Employees>

              <Emp>

                     <Name>John Abraham</Name>

                     <AccountNo>SB-001</AccountNo>

                     <Amount>1234</Amount>

              </Emp>

              <Emp>

                     <Name>Bipasha Basu</Name>

                     <AccountNo>SB-002</AccountNo>

                     <Amount>2334</Amount>

              </Emp>

              <Emp>

                     <Name>Vidya Balan</Name>

                     <AccountNo>SB-003</AccountNo>

                     <Amount>3465</Amount>

              </Emp>

              <Emp>

                     <Name>Debadatta Mishra</Name>

                     <AccountNo>SB-007</AccountNo>

                     <Amount>5789</Amount>

              </Emp>

              <Emp>

                     <Name>Priti Zinta</Name>

                     <AccountNo>SB-009</AccountNo>

                     <Amount>1234</Amount>

              </Emp>

       </Employees>

       <Signature xmlns="http://www.w3.org/2000/09/xmldsig#">

              <SignedInfo>

                     <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>

                     <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>

                     <Reference URI="">

                           <Transforms>

                                  <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>

                           </Transforms>

                           <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>

                           <DigestValue>bHS+6uf8KbJV4AGzoHNHLfnXvKM=</DigestValue>

                     </Reference>

              </SignedInfo>

              <SignatureValue>

aUEMrCT5dzeOfSNaznzoT0If8WZ8KQcMNXDqtoeseonVk3NqOk9ctcxrf3QVX3wP6810DDRPdI6l

            e8ccG64Ge0HjkO+aYC5+c2L/qKBzwtSbl/olJEuFU2DVxBQO+K29TTUJfxpVzC9Zf2pvT+1NRj0f

            2/ofHujYZ01D6+YqI8c=

              </SignatureValue>

              <KeyInfo>

                     <KeyValue>

                           <RSAKeyValue>

                                  <Modulus>

jfAd5uV38L36+lDZJrqfH9oLN86VJezXYfAeU+lrFoHlKAXVJLAi9hKvBHQRer4tPfdez6iSBKsl

                       6IHkPnVRAKt0xU99uxi5QpymsWAX3qnBqHlw9Z70PwyZ+Xysfw4Q2tK2HtSgUOhMuaUcIf9sbHvf

                        gbvcRPgxDZZqfIzDmDU=</Modulus>

                                  <Exponent>AQAB</Exponent>

                           </RSAKeyValue>

                     </KeyValue>

              </KeyInfo>

       </Signature>

</SalaryDeposit>

上面是一个带有签名的XML文件，该文件可以随时进行验证。文件中包了含雇员名称、帐号和薪资信息。然而，实际的数字签名通过<Signature></Signature>标记进行附加。<Signature> 标记中的信息提供了文档的真实性。正如你看到的那样，虽然你可以随意修改其中的数据，但是这种修改会在随后的签名验证中被查到。

基本上数字签名有三种类型：

封内签名
封外签名
分离签名

封内签名

这种签名是将签名作为XML对象的子信息，也就是说 <Signature>是邮件中XML文件的子标签。封内数字签名的结构如下：

<RootElement>

    <Signature>

    ……

    </Signature>

</ RootElement>

本文会介绍如何创建XML封内数字签名。

封外签名

这种签名将XML文档包含到Signature对象，也就是说<Signature>标签是签名XML文件的根元素。封外签名结构如下：

<Signature >

    < MyXMLDocument >

    ……

    </ MyXMLDocument >

</Signature>

分离签名

这种情况下，签名是独立生成的不作为XML的一部分。也就是说你会拥有两个XML文件：一个待签名的XML文件，另一个是XML签名。下面是分离签名的XML结构：

<Signature>

……

</Signature>

XML数字签名文件结构如下：

<Signature xmlns="">

    <SignedInfo>

        <CanonicalizationMethod Algorithm="" />

        <SignatureMethod Algorithm="" />

        <Reference URI="">

            <Transforms>

                <Transform Algorithm="" />

                </Transforms>

            <DigestMethod Algorithm="" />

            <DigestValue></DigestValue>

        </Reference>

    </SignedInfo>

    <SignatureValue></SignatureValue>

    <KeyInfo>

        <KeyValue>

            <RSAKeyValue>

                <Modulus></Modulus>

                <Exponent></Exponent>

            </RSAKeyValue>

        </KeyValue>

    </KeyInfo>

</Signature>

XML中<Signature>有3个子标签，结构如下：

<Signature>

    <SignedInfo></SignedInfo>

    <SignatureValue></SignatureValue>

    <KeyInfo></KeyInfo>

</Signature>

这里<Signature>是XML数字签名的根元素，这一点由W3C建议并且必须遵守。<SignedInfo>元素是你的签名信息；<SignatureValue>包含了实际的签名以及使用Base64加密的内容；最后<KeyInfo>表示公钥。让我们再看一下<SignedInfo>标签，结构如下：

<SignedInfo>

    <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>

    <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>

    <Reference URI="">

        <Transforms>

            <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>

        </Transforms>

        <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>

        <DigestValue>bHS+6uf8KbJV4AGzoHNHLfnXvKM=</DigestValue>

    </Reference>

</SignedInfo>

当使用Java创建XML数字签名时，SignedInfo对象被用来在数字签名的Signature标签内创建元素。这也是W3C建议的XML签名标准中的一部分。

XML标签<KeyInfo>的结构如下：

<KeyInfo>

    <KeyValue>

        <RSAKeyValue>

            <Modulus></Modulus>

            <Exponent></Exponent>

        </RSAKeyValue>

    </KeyValue>

</KeyInfo>

<KeyInfo>标记包含了需要数学计算的相关信息，主要有公钥的系数和指数。

要创建XML数字签名可以遵循下列步骤：

生成一组私钥和公钥。
获得原始XML文件。
通过Java API使用私钥和公钥为原始的XML文件签名，生成带有XML签名的文档。

让我们看看使用Java生成XML签名的相关代码：

public void generateXMLDigitalSignature(String originalXmlFilePath,

String destnSignedXmlFilePath, String privateKeyFilePath, String publicKeyFilePath) {

    // 获取XML文档对象

    Document doc = getXmlDocument(originalXmlFilePath);

    // 创建XML签名工厂

    XMLSignatureFactory xmlSigFactory = XMLSignatureFactory.getInstance("DOM");

    PrivateKey privateKey = new KryptoUtil().getStoredPrivateKey(privateKeyFilePath);

    DOMSignContext domSignCtx = new DOMSignContext(privateKey, doc.getDocumentElement());

    Reference ref = null;

    SignedInfo signedInfo = null;

    try {

        ref = xmlSigFactory.newReference("", xmlSigFactory.newDigestMethod(DigestMethod.SHA1, null),

        Collections.singletonList(xmlSigFactory.newTransform(Transform.ENVELOPED,

        (TransformParameterSpec) null)), null, null);

        signedInfo = xmlSigFactory.newSignedInfo(

        xmlSigFactory.newCanonicalizationMethod(CanonicalizationMethod.INCLUSIVE,

        (C14NMethodParameterSpec) null),

        xmlSigFactory.newSignatureMethod(SignatureMethod.RSA_SHA1, null),

        Collections.singletonList(ref));

    } catch (NoSuchAlgorithmException ex) {

        ex.printStackTrace();

    } catch (InvalidAlgorithmParameterException ex) {

        ex.printStackTrace();

    }

    // 传入公钥路径

    KeyInfo keyInfo = getKeyInfo(xmlSigFactory, publicKeyFilePath);

    // 创建新的XML签名

    XMLSignature xmlSignature = xmlSigFactory.newXMLSignature(signedInfo, keyInfo);

    try {

        // 对文档签名

        xmlSignature.sign(domSignCtx);

    } catch (MarshalException ex) {

        ex.printStackTrace();

    } catch (XMLSignatureException ex) {

        ex.printStackTrace();

    }

    // 存储签名过的文档

    storeSignedDoc(doc, destnSignedXmlFilePath);

}

XML签名验证

数字签名的验证包含以下操作：

验证数字签名
- 计算<SignedInfo>元素摘要。
- 使用公钥解密<SignatureValue>元素。
- 比较上面两个值。
- 计算引用摘要
  - 重新计算<SignedInfo>元素引用摘要。
  - 将它们与<DigestValue>中的摘要比较。

为了验证XML签名文档，需要完成下列步骤：

得到XML文档和公钥。
验证<SignedInfo> 元素的数字签名。
计算<SignedInfo> 元素的摘要并对值进行比较。

让我们看看下面这段XML数字签名示例代码：

public static boolean isXmlDigitalSignatureValid(String signedXmlFilePath, String pubicKeyFilePath) throws Exception {

    boolean validFlag = false;

    Document doc = getXmlDocument(signedXmlFilePath);

    NodeList nl = doc.getElementsByTagNameNS(XMLSignature.XMLNS, "Signature");

    if (nl.getLength() == 0) {

        throw new Exception("No XML Digital Signature Found, document is discarded");

    }

    PublicKey publicKey = new KryptoUtil().getStoredPublicKey(pubicKeyFilePath);

    DOMValidateContext valContext = new DOMValidateContext(publicKey, nl.item(0));

    XMLSignatureFactory fac = XMLSignatureFactory.getInstance("DOM");

    XMLSignature signature = fac.unmarshalXMLSignature(valContext);

    validFlag = signature.validate(valContext);

    return validFlag;

}

如上面示例代码所示，XML签名可以通过重新计算<SignedInfo>的摘要值进行验证，验证算法由 <SignatureMethod>元素指定；使用公钥可以验证<SignedInfo>摘要中的<SignatureValue>值是否正确。引用摘要会在<SignedInfo>元素中重新计算，并与<Reference> 元素中对应的<DigestValue> 进行比对。接下来，让我们熟悉一下XML数字签名相关的Java组件。

XMLSignatureFactory

XMLSignatureFactory是生成XML文档数字签名的工厂对象。对象的创建如下列代码所示：

1	`XMLSignatureFactory factory = XMLSignatureFactory.getInstance("DOM");`

DOMSignContext

DOMSignContext对象用来生成DOM树。在创建数字签名的过程中，DOM树会被附上XML数字签名。DOMSignContext对象要求输入私钥和XML文档的根元素。

Reference

Reference对象用来在Signature 标记的SignedInfo内部创建XML数字签名。对象创建的遵循“W3C XML签名文法和处理”规则。Reference的基本结构如下：

<Reference URI="">

    <Transforms>

    <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>

    </Transforms>

    <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>

    <DigestValue>bHS+6uf8KbJV4AGzoHNHLfnXvKM=</DigestValue>

</Reference>

SignedInfo

类似的，SignedInfo对象可以在数字签名的Signature标记内部创建元素。创建的规则同样遵循“W3C XML数字签名协议”。SignedInfo的基本结构如下：

<SignedInfo>

    <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>

    <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>

    <Reference URI="">

        <Transforms>

        <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>

        </Transforms>

        <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>

        <DigestValue>bHS+6uf8KbJV4AGzoHNHLfnXvKM=</DigestValue>

    </Reference>

</SignedInfo>

XMLSignature

最后，XMLSignature对象用来创建XML文档的封面签名。按照W3C的建议，签名对象应该作为XML数字签名的根元素。

完整的结构如下：

<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">

    <SignedInfo>

        <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>

        <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>

        <Reference URI="">

            <Transforms>

            <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>

            </Transforms>

            <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>

            <DigestValue>bHS+6uf8KbJV4AGzoHNHLfnXvKM=</DigestValue>

        </Reference>

    </SignedInfo>

    <SignatureValue>aUEMrCT5dzeOfSNaznzoT0If8WZ8KQcMNXDqtoeseonVk3NqOk9ctcxrf3QVX3wP6810DDRPdI6l

    e8ccG64Ge0HjkO+aYC5+c2L/qKBzwtSbl/olJEuFU2DVxBQO+K29TTUJfxpVzC9Zf2pvT+1NRj0f

    2/ofHujYZ01D6+YqI8c=</SignatureValue>

    <KeyInfo>

        <KeyValue>

        <RSAKeyValue>

            <Modulus>jfAd5uV38L36+lDZJrqfH9oLN86VJezXYfAeU+lrFoHlKAXVJLAi9hKvBHQRer4tPfdez6iSBKsl

            6IHkPnVRAKt0xU99uxi5QpymsWAX3qnBqHlw9Z70PwyZ+Xysfw4Q2tK2HtSgUOhMuaUcIf9sbHvf

            gbvcRPgxDZZqfIzDmDU=</Modulus>

            <Exponent>AQAB</Exponent>

        </RSAKeyValue>

        </KeyValue>

    </KeyInfo>

</Signature>

为了有一个完成的理解，可以从这里下载完整的Netbeans项目代码。

配置

可以从这个站点下载完整的XML数字签名项目；也可以从下面的链接下载：

https://www.dropbox.com/s/0k1iukhy0in6n8h/xmldigitalsignature1.zip

可以用你最喜欢的Java IDE对项目进行配置；也可以在source文件夹下运行程序。这个项目已经包含了公钥和私钥。如果想要自己生成，可以运行“TestGenerateKeys”类生成一对公钥和私钥。通过指定自己的XMI文件，还可以查看XML签名的生成过程。

结论

希望你喜欢这篇文章。创建XML数字签名有很多方法，本文只介绍了使用Java API生成XML签名。下载完整的项目代码对理解相关的概念和使用有很大帮助。在参考资料中我列举了很多链接，希望对文章的理解有所帮助。如果对本文由任何问题，请联系debadatta.mishra@gmail.com，非常感谢。

参考资料

http://en.wikipedia.org/wiki/XML_Signature
http://msdn.microsoft.com/en-us/library/ms996502.aspx
http://www.xml.com/pub/a/2001/08/08/xmldsig.html

【Java密码学】用Java数字签名提供XML安全的更多相关文章

【Java密码学】Java SE 6中XML数字签名的实现
package test.xml.signature; import java.io.File; import java.io.FileInputStream; import java.io.File ...
【人人都懂密码学】一篇最易懂的Java密码学入门教程
密码与我们的生活息息相关,远到国家机密,近到个人账户,我们每天都在跟密码打交道: 那么,密码从何而来?生活中常见的加密是怎么实现的?怎么保证个人信息安全?本文将从这几方面进行浅谈,如有纰漏,敬请各位大 ...
Java 密码学算法
Java 密码学算法候捷老师在< 深入浅出MFC 2e(电子版)>中引用林语堂先生的一句话: 只用一样东西,不明白它的道理,实在不高明只知道How,不知道Why,出了一点小问题时就无能 ...
Java程序员的10道XML面试题
包括web开发人员的Java面试在内的各种面试中,XML面试题在各种编程工作的面试中很常见.XML是一种成熟的技术,经常作为从一个平台到其他平台传输数据的标准.XML面试问题包括用于转换XML文件的X ...
java中的xpath，读取xml文档。
1,入门 XPath即为XML路径语言(XML Path Language),它是一种用来确定XML文档中某部分位置的语言. XPath基于XML的树状结构,提供在数据结构树中找寻节点的能力.起初 X ...
Java程序员的10道XML面试题（转）
包括web开发人员的Java面试在内的各种面试中,XML面试题在各种编程工作的面试中很常见.XML是一种成熟的技术,经常作为从一个平台到其他平台传输数据的标准.XML面试问题包括用于转换XML文件的X ...
【Java】JABX实现对象与XML互转
JABX简介 JAXB能够使用Jackson对JAXB注解的支持实现(jackson-module-jaxb-annotations),既方便生成XML,也方便生成JSON,这样一来可以更好的标志可以 ...
java程序保护如何知识产权，特别提供一个java 开发的java 源代码级的混淆器
java程序保护如何知识产权,特别提供一个java 开发的java 源代码级的混淆器下载地址:http://yunpan.cn/QXhEcGNYLgwTD 运行方式:java -jar Encryp ...
nested exception is java.lang.RuntimeException: Error parsing Mapper XML. Cause: java.lang.IllegalArgumentException: Result Maps collection already contains value for
org.springframework.beans.factory.BeanCreationException: Error creating bean with name 'daoSupport': ...

随机推荐

【转】 Pro Android学习笔记（六二）：Preferences（6）：header
目录(?)[-] 代码实现 header xml文件在前面的例子,我们主要学习了PreferenceScreen的xml如何写,preference有哪些类型.在代码中,我们为了不提示warning ...
CentOS安装配置radius服务器
1.安装 Yum install -y freeradius freeradius-mysql freeradius-utils 2.配置 1)修改 clients.conf # vi /usr/lo ...
ctime、atime、mtime时间
区分一个文件或者目录的更改时间(change time,ctime),访问时间(access time,atime)以及修改时间(modify time,mtime)很重要. ctime——在Unix ...
C++类和对象的一个简单的实例
题目:找出一个整形数组中的元素的最大值下面,我们用类和对象的方法来做. #include<iostream> using namespace std; class Array_max{ ...
Luogu 4868 Preprefix sum
类似于树状数组维护区间的方法. 每一次询问要求$\sum_{i = 1}^{n}\sum_{j = 1}^{i}a_j$. 展开一下: $\sum_{i = 1}^{n}\sum_{j = 1}^{i ...
Python中使用json.loads解码字符串时出错：ValueError: Expecting property name: line 1 column 1 (char 1)
解决办法,json数据只能用双引号,而不能用单引号
Vue packages version mismatch: 版本冲突；Error: EPERM: operation not permitted
1.npm install vue-template-compiler@2.5.3 出现此问题 npm ERR! path G:\XXX.Web\node_modules\fsevents\node_ ...
codeforces 367B
题目代码到是不难但是很难想通题目的解决方法. #include<iostream> using namespace std; ]; int main() { int n,m; while( ...
理解linux服务器mcelog如何工作
What are Machine Check Exceptions (or MCE)? A machine check exception is an error dedected by your s ...
PHP 各个版本的区别
查看详细内容

【Java密码学】用Java数字签名提供XML安全

【Java密码学】用Java数字签名提供XML安全的更多相关文章

随机推荐

热门专题