驗證遠程客戶端上的XML簽名

Question

假設我有一個場景，其中有幾百個遠程PC。這些電腦從來沒有連接到互聯網。每月至少一次，某人的任務是使用我控制的實用程序將更新的數據加載到USB驅動器上，將其傳送到遠程PC並插入.PC上有軟件，它知道如何導入和從USB驅動器安裝數據。我也可以更新和控制這個軟件。我想開始驗證加載到這些PC的數據的完整性和來源，以確保沒有人篡改加載到USB驅動器的數據。我的想法是對包含在USB驅動器中的所有文件進行哈希處理，將這些哈希對應於每個文件存儲在XML文檔中，並對XML文檔進行數字簽名。數據未加密;我不在乎別人是否看到這些數據，我只是不希望任何人篡改它。

我遇到的問題是如何驗證XML文檔的簽名者。典型的PKI實踐會讓我用遠程PC信任的證書頒發機構（CA）簽署我的公鑰，以便驗證我的身份。

但是，由於這些遠程PC從未連接到互聯網，我不能保證遠程PC具有最新版本的公鑰，甚至不知道給定的CA.有沒有一種安全的方式來分發證書密鑰或我可以使用的另一種身份驗證方法來完成此操作？

Diagram for Clarification

Answer 1

你並不需要有互聯網連接才能使用公鑰加密，這是究竟我怎麼會解決這個問題。

我不認爲你需要一個「CA」。您只需要有一個已知的公鑰，例如嵌入在您的應用程序中的，可用於解密XML內容並驗證其加密簽名。這將同時處理知道XML來自可信來源（你......），並且它沒有被改變的問題。

XML文件可以以加密形式存儲在目標系統上，每次使用時都會解密。如果隱藏XML內容並不重要，則可以使用加密方式進行簽名。