XAdES内部分离签名

时间:2015-08-12 23:25:48

标签: xml digital-signature xades4j

我想创建一个包含引用相同数据的多个独立签名的文件。我希望将数据存储在输出XML文件中,作为ds:Signature元素的兄弟,如下所示(仅限多个ds:Signature元素):

<?xml version="1.0" encoding="UTF-8"?>
<internally-detached>
  <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
    <ds:SignedInfo>
      <ds:CanonicalizationMethod 
         Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
      <ds:SignatureMethod 
         Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
      <ds:Reference URI="#data">
        <ds:DigestMethod 
          Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
        <ds:DigestValue/>
      </ds:Reference>
    </ds:SignedInfo>
    <ds:SignatureValue/>
  </ds:Signature>

  <document Id="data">
     <title>title</title>
     <author>writer</author>
     <date>today</date>
     <content>
        <para>First paragraph</para>
        <para>Second paragraph</para>
     </content>
  </document>
</internally-detached>

来源:https://msdn.microsoft.com/en-us/library/ms759193(v=vs.85).aspx (我知道该网站没有提到XAdES标准)。

我尝试将此应用于有效的包络XAdES签名,并将引用的ds:Object节点放在ds:Signature元素之外,但验证软件返回错误(未找到引用的节点),并且xades4j验证模块在遇到</internally-detached>标记后失败。

是否可以使用XAdES进行内部分离签名?如果是,我该如何实现?

我知道当数据存储在单独的文件中时,可能有多个签名:每个签名的SignedProperties元素必须包含带ObjectReference的SignedDataObjectProperties,而SignedInfo的Reference元素中的URI应指向该文件。

1 个答案:

答案 0 :(得分:1)

XAdES签名当然可以实现,因为它们也是“常规”XML签名。

我不确定你的意思是“xades4j甚至不允许ds:Signature以外的根节点”;你的目标很容易实现。

假设您的基本XML文档没有任何签名(来自文件或使用DOM API创建):

<internally-detached>
  <document Id="data">
     <title>title</title>
     <author>writer</author>
     <date>today</date>
     <content>
        <para>First paragraph</para>
        <para>Second paragraph</para>
     </content>
  </document>
</internally-detached>

拥有这个,并且假设有两个不同配置的XadesSigner实例,您可以执行以下操作:

XadesSigner signer1 = ...;
XadesSigner signer2 = ...;
Document doc = ...; // your base XML
Element signaturesParent = doc.getDocumentElement();

SignedDataObjects objs = new SignedDataObjects(new DataObjectReference("#data"));
signer1.sign(obj, signaturesParent);
signer2.sign(obj, signaturesParent);

请注意,您需要define the "data" element's Id attribute as its XML ID

这应该产生类似于:

的文件
<internally-detached>
  <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
  ...
  </ds:Signature>
  <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
  ...
  </ds:Signature>
  <document Id="data">
     <title>title</title>
     <author>writer</author>
     <date>today</date>
     <content>
        <para>First paragraph</para>
        <para>Second paragraph</para>
     </content>
  </document>
</internally-detached>