问题描述
我正在研究 EWP(无论文伊拉斯谟)的实现,这是一套用于全球大学之间通信的 API。每个调用都必须使用 RSA-SHA256 签名。每个合作伙伴都有一个私钥和公钥,公钥在带有 keyId 的注册表中可用。请求有一些标头:主体摘要(sha256 哈希)、主机、日期、x-request-id(随机 guid)。这些标头和它们的值连接在一个签名字符串中,该字符串用私钥签名,结果是也在标头中发送的签名,以及用于签名的 keyId 和其他标头。 服务器需要检查签名是否有效,通过创建相同的签名字符串,在注册表中查找公钥,然后检查请求中的签名是否确实正确。
我将 API 用作用于测试的客户端应用程序。我可以访问 109 个不同的合作伙伴进行测试,其中一些还没有准备好(他们在我的客户端和在线验证器中都显示错误,因此我假设该 API 服务器端存在错误,因为它是一个开发环境),其他人工作正常。还有一个 EWP 的测试 API,还有一个在线验证器,您可以使用它向这些 API 中的任何一个发送请求。
奇怪的是,我的客户几乎使用所有合作伙伴 API,而其中一些给我一个错误,我的签名错误(当在线验证器工作正常时)。在我自己的 API 上使用我的客户端,验证工作正常。使用在线验证器,我的验证不起作用(无效签名错误)。有 2 个合作伙伴,我的客户不工作而在线验证器可以工作,而我的客户可以工作但在线验证器不工作的 3 个 API(包括我自己的 API)
谁能想到可能导致这些问题的任何事情?奇怪的是,2 周前,在线验证器确实在我的 API 上工作,根据 EWP 人员的说法,唯一改变的是在线验证器使用的密钥对,但他声称我现在使用的是正确的(我把我的日志发给他了)
会不会是某种字符集问题?只有在公钥中使用了某些字符或类似的东西时才会发生错误?
这是我的 RSA-SHA256 部分代码:
在客户端请求中使用私钥创建签名:
public string CreateSignature(string SigningString)
{
byte[] message = Encoding.UTF8.GetBytes(SigningString);
PemReader pr = new PemReader(new StringReader(privateKeyString));
asymmetricCipherKeyPair keyPair = (asymmetricCipherKeyPair)pr.Readobject();
RSAParameters rsaParams = DotNetUtilities.ToRSAParameters((RsaPrivateCrtKeyParameters)keyPair.Private);
RSACng rsaCng = new RSACng();
rsaCng.ImportParameters(rsaParams);
byte[] signatureBytes = rsaCng.SignData(message,HashAlgorithmName.SHA256,RSASignaturePadding.Pkcs1);
return Convert.ToBase64String(signatureBytes);
}
检查收到的签名是否正确:
public bool IsRsaHashCorrect(string originalMessage,string hash,string stringPublicKey)
{
string x509Pem = @"-----BEGIN PUBLIC KEY-----" + stringPublicKey + "-----END PUBLIC KEY-----";
byte[] message = Encoding.UTF8.GetBytes(originalMessage);
byte[] signature = Convert.FromBase64String(hash);
byte[] Sha256Message = SHA256.Create().ComputeHash(message);
PemReader pr = new PemReader(new StringReader(x509Pem));
asymmetricKeyParameter publicKey = (asymmetricKeyParameter)pr.Readobject();
RSAParameters rsaParams = DotNetUtilities.ToRSAParameters((RsaKeyParameters)publicKey);
RSACng rsaCng = new RSACng();
rsaCng.ImportParameters(rsaParams);
var result = rsaCng.VerifyHash(Sha256Message,signature,RSASignaturePadding.Pkcs1);
log.Info("check rsa-sha256 hash: " + result);
return result;
}
所以,长话短说:上面的代码有时工作正常,有时会失败。为什么哦为什么?
解决方法
问题已解决!结果发现请求标头中的日期格式存在问题。此日期也用于签名的签名字符串中。不同的日期格式意味着无效的签名。
在线验证器发送的请求日期为 Thu,7 Jan 2021 14:01:58 GMT 在我的代码中获取此日期时,它被转换为 Thu,07 Jan 2021 14:01:58 GMT (当天前导0)
requestContext.Date = request.Headers.GetValues("date").Last();
现在,当第一次验证失败时,我再次尝试更改日期,删除前导零。只有当同样失败时,签名验证才会失败。事实证明,其他一些合作伙伴也在他们的日期中使用前导零,这就是为什么我的客户确实使用了某些 API 而不是其他 API...