在Python和Java/Scala之間插入RSA簽名的問題

我正在用python-crypto API編寫一個Python2客戶端，用於對XML文件進行數字簽名，並且我有一個用Scala編寫的服務來驗證簽名。我的Python代碼看起來是這樣的：在Python和Java/Scala之間插入RSA簽名的問題

from Crypto.PublicKey import RSA 
from Crypto.Hash import SHA 
from os import urandom 
import logging 

... 
...

生成密鑰（密鑰爲2048）：

self.__key = RSA.generate(self.keySize,urandom) 
self.__private_key = self.__key.exportKey() 
self.__public_key = self.__key.publickey().exportKey() 
with open(pubPath,'w') as fpub: 
    logging.info("Writing Public Key to %s" % pubPath) 
    fpub.write(self.__public_key) 
with open(priPath,'w') as fpri: 
    logging.info("Writing Private Key to %s" % priPath) 
    fpri.write(self.__private_key)

而且用於讀取鍵：

self.__private_key = fpri.read() 
self.__public_key = fpub.read() 
self.__key = RSA.importKey(self.__private_key)

並進行數字簽名

logging.debug('Data to sign: "%s"' % data) 
digest = SHA.new(data.strip()).digest() 
return str(self.__key.sign(digest, None)[0])

然後在Sc ALA/Java中，我使用以下命令：

package com.example.security 
import com.example.action.ActionRequest 
import java.io.BufferedInputStream 
import java.security.spec.X509EncodedKeySpec 
import java.security.KeyFactory 
import java.security.PublicKey 
import java.security.Signature 
import org.apache.log4j.Logger 

class SignatureSecurityManageer extends SecurityManagerTrait { 

    def loadPublicKey() : PublicKey = { 
     val stream : BufferedInputStream = new BufferedInputStream(this.getClass().getResourceAsStream("/com/example/security/key.der")) 
     var key = new Array[Byte](stream.available()) 
     stream.read(key) 
     KeyFactory.getInstance("RSA").generatePublic(new X509EncodedKeySpec(key)) 
    } 

    def securityFilter(req : ActionRequest) : Boolean = { 

     var parts = req.data.split("\n\n") 

     var log : Logger = Logger.getLogger(this.getClass()); 
     log.trace("Data \"%s\"".format(parts(0))) 
     log.trace("Sig \"%s\"".format(parts(1))) 

     var sg = Signature.getInstance("SHA1withRSA"); 
     sg.initVerify(loadPublicKey()) 
     sg.update(parts(0).trim().getBytes()) 
     sg.verify(parts(1).trim().getBytes()) 
    } 
}

我變換由客戶端生成的PEM公共密鑰轉換成二進制公共密鑰，因此它可以被Java讀取：

openssl rsa -in src/com/example/security/key.pub -inform PEM -out src/com/example/security/key.der -outform DER -pubin

在運輸，我使用雙重新行將XML和簽名分開。我意識到尾隨空白會出現問題，所以我說的那些條/上述修剪和我檢查日誌，並驗證該數據是相同的：

Python客戶端：

2012-04-09 14:24:51,089: Data to sign: "<?xml version="1.0" ?><AgraData><package id="Local-Laptop" timestamp="1333945491074"><sensors><sensor id="SUMTEMP001" type="Temperature" units="C"><data>8</data></sensor><sensor id="SUMVOL001" type="Volume" units="l"><data>27</data></sensor><sensor id="SUMFLO001" type="FlowRate" units="l"><data>41.142</data></sensor></sensors></package></AgraData>"

Scala的服務：

[2012-04-09 14:24:51,771] com.urbanalta.agrastore.security.SignatureSecurityManageer TRACE - Data "<?xml version="1.0" ?><AgraData><package id="Local-Laptop" timestamp="1333945491074"><sensors><sensor id="SUMTEMP001" type="Temperature" units="C"><data>8</data></sensor><sensor id="SUMVOL001" type="Volume" units="l"><data>27</data></sensor><sensor id="SUMFLO001" type="FlowRate" units="l"><data>41.142</data></sensor></sensors></package></AgraData>"

但是在Scala服務中，當我嘗試驗證簽名時它返回false。我認爲某處我沒有指定正確的簽名/鍵類型，但我不確定在哪裏。

來源

2012-04-09 djsumdog

你能首先確認簽名字符串和被驗證的字符串*完全相同嗎？你可以例如檢查它們的SHA。編碼可能會改變某些字符。 – Jus12 2012-04-10 07:00:17

有幾個想法......（順便說一句，我從來沒有用過Python）。（1）Python的SHA方法與Scala中的SHA1方法相同嗎？見[this]（http://www.rsa.com/rsalabs/node.asp?id=2252）。（2）檢查Python方法是否在內部計算SHA1。嘗試將'data.strip（）'傳遞給'sign'方法而不是摘要。 – Jus12 2012-04-10 19:41:09

這可能是this submission的另一個實例，它不僅僅是摘要，還包括AlgorithmIdentifier和已簽名的摘要。

來源

2012-05-15 21:41:36

在Python和Java/Scala之間插入RSA簽名的問題

回答

相關問題