如何驗證Apache級別的數字簽名？

Question

我使用選項選擇了具有X509證書的簽名消息，並將Docusign連接配置添加到API端點。

在Apache（目錄）級別需要什麼配置才能驗證與Docusign Payload一起發送的數字簽名。

我試圖把

SSLVerifyClient需要

在目錄級。當我取消選中簽名消息和X509證書選項時，它仍然允許請求。

我只想要那些具有有效簽名的請求。我有Docusign爲DEMO實例提供的公鑰。

請幫我把正確的配置拒絕未簽名的請求或具有更改簽名的請求。

Answer 1

如果您希望只允許來自DocuSign和Apache的請求，則應該使用Mutual TLS而不是嘗試驗證簽名。

正確驗證簽名只能用Apache後面的一些代碼完成。

相互TLS需要一個證書身份驗證，以便能夠通過SSL Handcheck，這是你試圖實現與SSLVerifyClient什麼

所以，這是你應該做的

1. 啓用相互TLS什麼連接配置

2. 配置你的apache的東西，如

   SSLCACertificateFile /path/to/ca-bundle 
   SSLVerifyClient require 
   SSLVerifyDepth 3 
   SSLRequire %{SSL_CLIENT_S_DN_CN} eq "demo.connect.docusign.net" 
   

的DocuSign連接證書：https://trust.docusign.com/en-us/trust-certifications/docusign-public-certificates/

檢查：https://httpd.apache.org/docs/2.4/en/mod/mod_ssl.html更精確地與SSLRequire或約SSLCACertificateFile

解說