ASP.NET: Sign URL avec les clés publiques et privées des fichiers

j'ai sauvegardé le code de certificat que j'ai reçu de mon fournisseur SSL sous forme de fichier test-clé privée.cer

...

code de certificat

-----CERTIFICAT DE DÉBUT - - - - -

MIIF (...) DXuJ

----CERTIFICAT DE FIN D'-----

Le fichier stocké dans un format

-----BEGIN CERTIFICATE----- 
MIIF (...) DXuJ 
-----END CERTIFICATE-----

est un certificat qui contient une clé publique. ne contient pas d' privé clé. C'est pourquoi lorsque vous créez une instance de X509Certificate2 à partir de ce fichier, il est HasPrivateKey propriété est définie à False et PrivateKey retourne Nothing, et à la suite de la déclaration attendue jette NullReferenceException:

privateCert.PrivateKey.ToXmlString(True)

pour signer les données, vous avez besoin d'une clé privée. Les clés privées ont le format suivant

-----BEGIN RSA PRIVATE KEY-----
MIICXQ...B7Bou+
-----END RSA PRIVATE KEY-----

ces clés privées sont habituellement stockées dans *.clé ou *.fichiers pem (Privacy Enhanced Mail). Il n'y a pas de construit de manière à charger l'instance de X509Certificate2 dans le fichier pem. Il y a beaucoup d'exemples de code disponible de comment le faire, vous les trouverez dans la question ci-dessus. Cependant, la solution la plus simple sera de créer un fichier pfx (contenant les clés privées et publiques). Alors vous pouvez facilement charger pfx avec le constructeur correspondant de X509Certificate2.

la création du fichier pfx est très facile avec L'outil SSL. Si private.key contient une clé privée (-----BEGIN RSA PRIVATE KEY----- et public.crt contient une clé publique (-----BEGIN CERTIFICATE-----), vous pourriez créer le fichier pfx avec la commande suivante:

openssl pkcs12-export -clés.pfx -inkey privé.clé -en public.crt

il vous sera demandé d'entrer le mot de passe. Ce mot de passe sera également utilisé lorsque vous chargez la touche X509Certificate2:

Dim certificate As X509Certificate2 = New X509Certificate2("d:\CodeFuller\_days18.04.05\keys.pfx", "Password here")

HasPrivateKey propriété est définie à True et PrivateKey renvoie l'instance de RSACryptoServiceProvider.

UPDATE

au Sujet de cette code:

'Round-trip the key to XML and back, there might be a better way but this works
Dim key As RSACryptoServiceProvider = New
RSACryptoServiceProvider
key.FromXmlString(privateCert.PrivateKey.ToXmlString(True))

L'instance de RSACryptoServiceProvider est en fait stocké dans certificate.PrivateKey donc vous pouvez éviter le code ci-dessus et le remplacer par:

Dim provider As RSACryptoServiceProvider = certificate.PrivateKey

Toutefois, votre courant SignData() appel ne fonctionnera pas:

Dim sig() As Byte = key.SignData(data, CryptoConfig.MapNameToOID("SHA256"))

Cela permettra de jeter de l'exception suivante:

Système.Sécurité.Cryptographie.CryptographicException: "Invalide algorithme spécifié.'

La cause est que RSACryptoServiceProvider ne supporte pas SHA256. C'est pourquoi je suggère de le remplacer par RSACng de la façon suivante:

Dim rsa As RSA = certificate.GetRSAPrivateKey()
Dim data() As Byte = System.Text.Encoding.Unicode.GetBytes(signatureUrl)
Dim sig() As Byte = rsa.SignData(data, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1)

Méthode GetRSAPrivateKey a été ajouté à X509Certificate2 classe seulement depuis .NET Framework 4.6, donc envisager la mise à niveau si vous obtenez l'erreur suivante:

erreur BC30456: 'GetRSAPrivateKey' n'est pas membre de "X509Certificate2"

UPDATE 2 (concernant la validation des URLs)

La page vous avez fait référence contient openssl commande de vérification de la signature:

openssl dgst-sha256-signature signature.bin -vérifier la clé publique.PEM url.txt

Toutefois, dans votre cas, ce sera juste un test de cohérence, parce que vous venez de générer la signature avec une procédure valide. Afin de répondre à votre question:

Comment puis-je vérifier si L'URL que j'obtiens est valide?

le meilleur chèque est juste pour envoyer demande à L'AMP Cache avec L'URL signée et vérifier la réponse. Je n'ai jamais utilisé de Cache D'AMP, mais je crois qu'il va réagir avec une erreur HTTP si la signature est invalide.

UPDATE 3 (concernant l'échec de la vérification de la signature)

mise à Jour de l'AMPLI Contenu de la page contient la ligne de commande suivante pour signer L'URL:

echo-n > url.txt '/mise à jour de la mémoire cache/c/s/exemple.com/article?amp_action=flush&_ts=1484941817' cat url.txt | openssl dgst-sha256 -signer une clé privé.pem >signature.bin

j'ai comparé la signature de résultat construite par cette commande avec la signature calculée par le code de ma réponse. Il s'est avéré qu'ils diffèrent. J'ai recherché la cause racine possible et j'ai trouvé que le problème est causé par la façon dont nous obtenons des octets D'URL. Actuellement c'est:

Dim data() As Byte = System.Text.Encoding.Unicode.GetBytes(signatureUrl)

Cependant nous devons signer L'URL représentée en ASCII. Remplacez donc la ligne ci-dessus par:

Dim data() As Byte = System.Text.Encoding.ASCII.GetBytes(signatureUrl)

maintenant les deux signatures, de l'utilitaire openssl et du code ci-dessus, correspondent. Si, après le correctif, vous obtenez toujours URL signature verification error à partir de Google AMPLI, alors le problème sera avec l'URL d'entrée transmis pour signature.

UPDATE 4 (PFX de clés privées et publiques)

Générer clé privée:

openssl genrsa 2048 > clé privée.pem

Générer la clé publique:

openssl rsa-in à clé privée.pem-pubout > clé publique.pem

Créer une demande de signature de certificat:

openssl req -new-key clé privée.certificat de pem-out.la rse

Créer un certificat:

openssl x509-req-days 365-in certificat.rse -signkey clé privée.pem-out public.crt

on vous demandera ici quelques champs de certificat, par exemple Nom du Pays, nom de l'organisation, etc. Peu importe les valeurs que vous utilisez, puisque vous avez besoin de ce certificat à des fins de test.

Créer un fichier pfx:

openssl pkcs12-export -clés.clé privée pfx-inkey.pem en public.crt

C'est le code que j'utilise pour signer une chaîne de caractères avec un certificat du disque. Je l'ai modifié pour l'utiliser dans une url. Il sera peut-être vous aider.

public string signString(string originalString)
{
    //load the certificate from disk
    X509Certificate2 cert = loadCertificateFromFile("myCert.pfx", "myPassword");

    //get the associated CSP and private key
    using (RSACryptoServiceProvider csp = (RSACryptoServiceProvider)cert.PrivateKey)
    using (SHA1Managed sha1 = new SHA1Managed())
    {
        //hash the data
        UnicodeEncoding encoding = new UnicodeEncoding();

        byte[] data = encoding.GetBytes(originalString);

        byte[] hash = sha1.ComputeHash(data);

        //sign the hash
        byte[] signed = csp.SignHash(hash, CryptoConfig.MapNameToOID("SHA1"));

        //convert to base64 and encode for use in an URL
        return Server.UrlEncode(Convert.ToBase64String(signed));

        //or return a regular string
        //return Encoding.Default.GetString(signed);
    }
}


public bool verifyString(string originalString, string signedString)
{
    //convert back from base64 and url encoded string
    byte[] signature = Convert.FromBase64String(Server.UrlDecode(signedString));

    //or a regular string
    //byte[] signature = Encoding.Default.GetBytes(signedString);

    //load the certificate from disk
    X509Certificate2 cert = loadCertificateFromFile("myCert.pfx", "myPassword");

    //get the associated CSP and private key
    using (RSACryptoServiceProvider csp = (RSACryptoServiceProvider)cert.PrivateKey)
    using (SHA1Managed sha1 = new SHA1Managed())
    {
        //hash the data
        UnicodeEncoding encoding = new UnicodeEncoding();

        byte[] data = encoding.GetBytes(originalString);

        byte[] hash = sha1.ComputeHash(data);

        //sign the hash
        byte[] signed = csp.SignHash(hash, CryptoConfig.MapNameToOID("SHA1"));

        //verify the signature
        return csp.VerifyHash(hash, CryptoConfig.MapNameToOID("SHA1"), signature);
    }
}


public X509Certificate2 loadCertificateFromFile(string path, string password)
{
    //get the absolute path
    string absolutePath = Server.MapPath(path);

    //for non-website users, use this
    //string absolutePath = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, path);

    if (!string.IsNullOrEmpty(password))
    {
        return new X509Certificate2(absolutePath, password, X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.Exportable);
    }
    else
    {
        return new X509Certificate2(absolutePath);
    }
}

Utilisation:

string originalString = "This is a test string";
string signedString = signString(originalString);
bool stringIsCorrect = verifyString(originalString, signedString);

http://www.carlosag.net/tools/codetranslator. Cependant, il faudra peut-être y apporter des modifications par la suite, car je ne connais pas la précision du convertisseur.