ASP.NET: вывести URL-адрес с открытыми и закрытыми ключами из файлов

Ответ 1

Я сохранил код сертификата, полученный мной от поставщика SSL, в качестве файла test-private-key.cer

...

код сертификата

-----BEGIN CERTIFICATE-----
MIIF (...) DXuJ
-----END CERTIFICATE-----

Файл, хранящийся в формате

-----BEGIN CERTIFICATE----- 
MIIF (...) DXuJ 
-----END CERTIFICATE-----

это сертификат, который в основном содержит открытый ключ. Он не содержит секретный ключ. Поэтому, когда вы создаете экземпляр X509Certificate2 из такого файла, его свойство HasPrivateKey имеет значение False и PrivateKey возвращает Nothing, а следующий оператор, как ожидается, NullReferenceException:

privateCert.PrivateKey.ToXmlString(True)

Чтобы подписать данные, вам нужен секретный ключ. Частные ключи имеют следующий формат

-----BEGIN RSA PRIVATE KEY-----
MIICXQ...B7Bou+
-----END RSA PRIVATE KEY-----

Такие закрытые ключи обычно хранятся в файлах *.key или *.pem(Privacy Enhanced Mail). Не существует встроенного способа -in для загрузки экземпляра X509Certificate2 из файла pem. Есть много примеров кода, доступных, как это сделать, вы найдете их в связанном выше вопросе. Однако самым простым решением будет создание файла pfx (содержащего как частные, так и открытые ключи). Затем вы можете легко загрузить pfx с соответствующим конструктором X509Certificate2.

Создание файла pfx очень просто с помощью SSL-инструмента. Если private.key содержит закрытый ключ (-----BEGIN RSA PRIVATE KEY-----), а public.crt содержит открытый ключ (-----BEGIN CERTIFICATE-----), вы можете создать файл pfx с помощью следующей команды:

openssl pkcs12 -export -out keys.pfx -inkey private.key -in public.crt

Вам будет предложено ввести пароль. Этот пароль также будет использоваться при загрузке ключа в X509Certificate2:

Dim certificate As X509Certificate2 = New X509Certificate2("d:\CodeFuller\_days\2018.04.05\keys.pfx", "Password here")

Теперь свойство HasPrivateKey имеет значение True а PrivateKey возвращает экземпляр RSACryptoServiceProvider.

ОБНОВИТЬ

Относительно этого кода:

'Round-trip the key to XML and back, there might be a better way but this works
Dim key As RSACryptoServiceProvider = New
RSACryptoServiceProvider
key.FromXmlString(privateCert.PrivateKey.ToXmlString(True))

Экземпляр RSACryptoServiceProvider фактически хранится в certificate.PrivateKey поэтому вы можете избежать превышения кода и заменить его:

Dim provider As RSACryptoServiceProvider = certificate.PrivateKey

Однако текущий SignData() не будет работать:

Dim sig() As Byte = key.SignData(data, CryptoConfig.MapNameToOID("SHA256"))

Это приведет к следующему исключению:

System.Security.Cryptography.CryptographicException: "Указан неверный алгоритм".

Основная причина заключается в том, что RSACryptoServiceProvider не поддерживает SHA256. Поэтому я предлагаю заменить RSACng следующим образом:

Dim rsa As RSA = certificate.GetRSAPrivateKey()
Dim data() As Byte = System.Text.Encoding.Unicode.GetBytes(signatureUrl)
Dim sig() As Byte = rsa.SignData(data, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1)

Метод GetRSAPrivateKey был добавлен в класс X509Certificate2 только с.NET Framework 4.6, поэтому рассмотрим возможность обновления, если вы получите следующую ошибку:

ошибка BC30456: "GetRSAPrivateKey" не является членом "X509Certificate2"

ОБНОВЛЕНИЕ 2 (относительно проверки URL)

Страница, на которую вы ссылались, содержит команду openssl для проверки подписи:

openssl dgst -sha256 -сигнал подписи.bin -verify public-key.pem url.txt

Однако в вашем случае это будет просто проверка на работоспособность, потому что вы только что создали подпись с действительной процедурой. Поэтому, отвечая на ваш вопрос:

Как я могу проверить, действителен ли URL-адрес, который я сейчас закончил?

Лучшая проверка - это просто отправить запрос в AMP-кэш с подписанным URL-адресом и проверить ответ. Я раньше не использовал AMP-кеш, но считаю, что он ответит некоторой ошибкой HTTP, если подпись недопустима.

ОБНОВЛЕНИЕ 3 (относительно проверки подписи подписи)

Обновление страницы содержимого AMP содержит следующую командную строку для подписания URL-адреса:

echo -n> url.txt '/update-cache/c/s/example.com/article?amp_action=flush&amp_ts=1484941817' cat url.txt | openssl dgst -sha256 -sign private-key.pem> signature.bin

Я сравнил результирующую подпись, созданную этой командой, с сигнатурой, вычисленной кодом из моего ответа. Оказалось, что они различаются. Я исследовал возможную основную причину и обнаружил, что проблема вызвана тем, как мы получаем URL-байты. В настоящее время это:

Dim data() As Byte = System.Text.Encoding.Unicode.GetBytes(signatureUrl)

Однако мы должны подписать URL-адрес, представленный в ASCII. Поэтому замените выше строку следующим образом:

Dim data() As Byte = System.Text.Encoding.ASCII.GetBytes(signatureUrl)

Теперь совпадают оба подписи, от утилиты openssl и вышеприведенного кода. Если после исправления вы по-прежнему получаете URL signature verification error от Google AMP, тогда проблема будет связана с URL-адресом ввода, который будет подписан для подписания.

ОБНОВЛЕНИЕ 4 (Получение PFX из частных и открытых ключей)

Создание секретного ключа:

openssl genrsa 2048> private-key.pem

Создание открытого ключа:

openssl rsa -in private-key.pem -pubout> public-key.pem

Создать запрос подписи сертификата:

openssl req -n ew -key private-key.pem -out certificate.csr

Создать сертификат:

openssl x509 -req -дней 365 -in certificate.csr -signkey private-key.pem -out public.crt

Вам будут предложены некоторые поля сертификатов, например, название страны, название организации и т.д. На самом деле не важно, какие значения вы используете, так как вам нужен этот сертификат для целей тестирования.

Создать файл pfx:

openssl pkcs12 -export -out keys.pfx -inkey private-key.pem -in public.crt

Ответ 2

Это код, который я использую для подписания строки с сертификатом с диска. Я изменил его для использования в URL-адресе. Может быть, это поможет вам.

public string signString(string originalString)
{
    //load the certificate from disk
    X509Certificate2 cert = loadCertificateFromFile("myCert.pfx", "myPassword");

    //get the associated CSP and private key
    using (RSACryptoServiceProvider csp = (RSACryptoServiceProvider)cert.PrivateKey)
    using (SHA1Managed sha1 = new SHA1Managed())
    {
        //hash the data
        UnicodeEncoding encoding = new UnicodeEncoding();

        byte[] data = encoding.GetBytes(originalString);

        byte[] hash = sha1.ComputeHash(data);

        //sign the hash
        byte[] signed = csp.SignHash(hash, CryptoConfig.MapNameToOID("SHA1"));

        //convert to base64 and encode for use in an URL
        return Server.UrlEncode(Convert.ToBase64String(signed));

        //or return a regular string
        //return Encoding.Default.GetString(signed);
    }
}


public bool verifyString(string originalString, string signedString)
{
    //convert back from base64 and url encoded string
    byte[] signature = Convert.FromBase64String(Server.UrlDecode(signedString));

    //or a regular string
    //byte[] signature = Encoding.Default.GetBytes(signedString);

    //load the certificate from disk
    X509Certificate2 cert = loadCertificateFromFile("myCert.pfx", "myPassword");

    //get the associated CSP and private key
    using (RSACryptoServiceProvider csp = (RSACryptoServiceProvider)cert.PrivateKey)
    using (SHA1Managed sha1 = new SHA1Managed())
    {
        //hash the data
        UnicodeEncoding encoding = new UnicodeEncoding();

        byte[] data = encoding.GetBytes(originalString);

        byte[] hash = sha1.ComputeHash(data);

        //sign the hash
        byte[] signed = csp.SignHash(hash, CryptoConfig.MapNameToOID("SHA1"));

        //verify the signature
        return csp.VerifyHash(hash, CryptoConfig.MapNameToOID("SHA1"), signature);
    }
}


public X509Certificate2 loadCertificateFromFile(string path, string password)
{
    //get the absolute path
    string absolutePath = Server.MapPath(path);

    //for non-website users, use this
    //string absolutePath = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, path);

    if (!string.IsNullOrEmpty(password))
    {
        return new X509Certificate2(absolutePath, password, X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.Exportable);
    }
    else
    {
        return new X509Certificate2(absolutePath);
    }
}

Применение:

string originalString = "This is a test string";
string signedString = signString(originalString);
bool stringIsCorrect = verifyString(originalString, signedString);

Теперь я вижу, что вы используете VB. Вы можете использовать это для преобразования кода http://www.carlosag.net/tools/codetranslator. Однако впоследствии может потребоваться некоторое изменение, поскольку я не знаю точности преобразователя.