c# - 在PKCS7(CMS)中使用相同的响应XML签名对多个位置进行签名

标签 c# pdf itext signature pkcs#7

PDF文件需要以国家数字身份签名。
国家数字身份WebService提供了签名文件的设施，在我的项目中我已将其集成。

请求Esign服务以PKCS7(CMS)格式给出响应。
我想在多个位置附加相同的响应，所以我要创建多个空的签名容器，我会收到来自服务的响应。

我提到了这篇文章：Sign Pdf Using ITextSharp and XML Signature

但是在给定的文章中，我们仅存在一个签名位置，但是我有多个签名位置。

我正在使用itext夏普库。
使用MakeSignature.SignDeferred方法在多个位置附加签名，但显示PDF无效。

请在下面找到我从Webservice收到的响应XML：

<?xml version="1.0" encoding="UTF-8"?>
<EsignResp errCode="NA" errMsg="NA" resCode="259A52453BE95D3A1071193995E062E3EAD796AD" status="1" ts="2019-03-18T14:26:59" txn="UKC:eSign:2998:20190318142602814">
    <UserX509Certificate>--Usercerti in base64--</UserX509Certificate>
    <Signatures>
        <DocSignature error="" id="1" sigHashAlgorithm="SHA256">--Signature in base 64 in PKCS7(CMS)---</DocSignature>
    </Signatures>
    <Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
        <SignedInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
            <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"></CanonicalizationMethod>
            <SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256"></SignatureMethod>
            <Reference URI="">
                <Transforms>
                    <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"></Transform>
                </Transforms>
                <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"></DigestMethod>
                <DigestValue>MrOfovytOIp/8qlEkgamrcyhGTSGTN5aS1P+08Fbwfk=</DigestValue>
            </Reference>
        </SignedInfo>
        <SignatureValue>BBexJyk47YaTdoDgXaFRCtJq1Gc3KsZNt48/I8X4TgNJ6gh2NI9Y5Y9Tc7bozrK/QRy1VYPOWYq5r/YdunjMQLmJJicyeqeqe2eD+TJ8oecpjCbmhPnDK2VgaJ2h00lIe/toKwAmV4PTBA1a5wkz77hj+HTkWXMkPEIsBUnBirVpHxe2bYaa7jcIIpWtJmqvcSurKTOeyFRa+AFWfwWHB/EzHJlDmgiMXzrNauxJ4HpphNaRU+bO5JdyzJs/8Zx4i6qwSEybkuprL3GdO9C7zMPiC98CTfO2UrbZWy1pSvwEqlVXQIfrkp+m2JRbFgT8EEIGfXUS+AJBPRwhY1Xsww==</SignatureValue>
        <KeyInfo>
            <KeyValue>
                <RSAKeyValue>
                    <Modulus>0o9vohWZ3ztI9ea8D/zUEUBRq6c82BE7sFmr1hNMeuGSJQFf39ceesRtGUzlUYVWXcU23P8sVZ5419CHh7ApFzUXaLD72i/2d5FFI0n3iRlTQec9PEUHyrvOCVDpqBhbnrO/EHBqRluUQJTQUtMu5mhPNFV7IIJMTEAsUhCL9adZXXQK9NeK0foRr29Oq7VdEGfSeLzHIibpQmhNPh89oJXqu0cmbNSW4J4i2GmwHQpmsmHaSQcgh4mgVrykO64pAKXPreAPipDHQM1l/e5hilYlWfLHxhC5ObTCTcydQ218IVulFOFhdQt7xVV61TOmoTC2elhWbDqoLJBVU5mBfQ==</Modulus>
                    <Exponent>AQAB</Exponent>
                </RSAKeyValue>
            </KeyValue>
            <X509Data>
                <X509SubjectName>CN=DS NSDL E GOVERNANCE INFRASTRUCTURE LIMITED 3,ST=MAHARASHTRA,PostalCode=400013,O=NSDL E GOVERNANCE INFRASTRUCTURE LIMITED,C=IN</X509SubjectName>
                <X509Certificate>--public certificate of provider--- </X509Certificate>
            </X509Data>
        </KeyInfo>
    </Signature>
</EsignResp>


编辑：根据最新的通信，Web Service会为从我端开始提供的任何哈希提供响应。他们不验证它。哈希是任何64个字符串。请让我知道我可以使用哪些方法在PDF文档上附加PKCS7签名。

下面的代码用于生成请求：

if (System.IO.File.Exists(tempPdf))
System.IO.File.Delete(tempPdf);

using (PdfReader reader = new PdfReader(pdfReadServerPath))
{
    using (FileStream os = System.IO.File.OpenWrite(tempPdf))
    {
        PdfStamper stamper = PdfStamper.CreateSignature(reader, os, '\0',null,true);

        PdfSignatureAppearance appearance = stamper.SignatureAppearance;

        appearance.SetVisibleSignature(new Rectangle(15, 15, 100, 100), 1, "sign1");

        appearance.CertificationLevel = PdfSignatureAppearance.NOT_CERTIFIED;
         AllPagesSignatureContainer external = new AllPagesSignatureContainer(appearance);

        MakeSignature.SignExternalContainer(appearance, external, 8192);
        Stream data = appearance.GetRangeStream();

       Stream data = appearance.GetRangeStream();
        byte[] hash = ReadFully(data); //Convert stream to byte
        _signatureHash = hash;


    }
}
//create sha256 message digest
using (SHA256.Create())
{
    _signatureHash = SHA256.Create().ComputeHash(_signatureHash);
}
bool check = false;
string hexencodedDigest = null;
//create hex encoded sha256 message digest
hexencodedDigest = new BigInteger(1, _signatureHash).ToString(16);
hexencodedDigest = hexencodedDigest.ToUpper();
if (hexencodedDigest.Length == 64)
{
    **Send this hexencoded hash to webservice**
}


下面的代码用于附加签名：

//DLL Call
eSign2_1_Request_Response req_resp = new eSign2_1_Request_Response();

//// Response XML Digest process
string resp_xml = Request.Form["msg"].ToString();//signature response XML;
XmlDocument xmlDoc = new XmlDocument();
xmlDoc.LoadXml(resp_xml);
XmlElement EsignResp = xmlDoc.DocumentElement;
if (EsignResp.Attributes != null && EsignResp.Attributes["status"].Value != "1")
{
    req_resp.WriteTextFileLog("errCode: " + EsignResp.Attributes["errCode"].Value + " & Error Message: " + EsignResp.Attributes["errMsg"].Value, "log", base_folder_path);
}
else
{
    req_resp.WriteTextFileLog(resp_xml, "xml", base_folder_path + "\\" + file_withoutExtn + "_responseXML.txt");
    //-------Continue to generate signed PDF by passing parameter to DLL

    XmlNodeList nodeList = xmlDoc.GetElementsByTagName("Signatures");

    string signature = nodeList[0].FirstChild.InnerText;

    string signedPdf = @"D:\POC Hosted\TryNSDL\TryNSDL\wwwroot\TempPath\signedPdf.pdf";
    string tempPdf = @"D:\POC Hosted\TryNSDL\TryNSDL\wwwroot\TempPath\tempPdf.pdf";
    using (PdfReader reader = new PdfReader(tempPdf))
    {

        using (FileStream os = System.IO.File.OpenWrite(signedPdf))
        {
            byte[] encodedSignature = Convert.FromBase64String(signature);

            IExternalSignatureContainer external = new MyExternalSignatureContainer(encodedSignature);

            MakeSignature.SignDeferred(reader, "sign1", os, external);
        }
    }
}


Allsignature容器的代码：

public class AllPagesSignatureContainer : IExternalSignatureContainer
{
    public AllPagesSignatureContainer(PdfSignatureAppearance appearance)
    {
        this.appearance = appearance;

    }

    public void ModifySigningDictionary(PdfDictionary signDic)
    {
        signDic.Put(PdfName.FILTER, PdfName.ADOBE_PPKMS);
        signDic.Put(PdfName.SUBFILTER, PdfName.ADBE_PKCS7_DETACHED);

        PdfStamper stamper = appearance.Stamper;
        PdfReader reader = stamper.Reader;
        PdfDictionary xobject1 = new PdfDictionary();
        PdfDictionary xobject2 = new PdfDictionary();
        xobject1.Put(PdfName.N, appearance.GetAppearance().IndirectReference);
        xobject2.Put(PdfName.AP, xobject1);

        PdfIndirectReference PRef = stamper.Writer.PdfIndirectReference;
        PdfLiteral PRefLiteral = new PdfLiteral((PRef.Number + reader.NumberOfPages) + " 0 R");

        for (int i = 2; i < reader.NumberOfPages+1; i++)
        {
            var signatureField = PdfFormField.CreateSignature(stamper.Writer);

            signatureField.Put(PdfName.T, new PdfString("ClientSignature_" + i.ToString()));
            signatureField.Put(PdfName.V, PRefLiteral);
            signatureField.Put(PdfName.F, new PdfNumber("132"));
            signatureField.SetWidget(new Rectangle(15, 15, 100, 100), null);
            signatureField.Put(PdfName.SUBTYPE, PdfName.WIDGET);

            signatureField.Put(PdfName.AP, xobject1);
            signatureField.SetPage();
            Console.WriteLine(signatureField);

            stamper.AddAnnotation(signatureField, i);
        }
    }

    public byte[] Sign(Stream data)
    {
       return new byte[0];
    }

    PdfSignatureAppearance appearance;

}


我在创建签名时使用了追加模式，但签名没有出现。在Adobe Reader中仅可见空签名：https://www.sendspace.com/file/5d1z0t

如果我尝试不使用appendmode PdfStamper stamper = PdfStamper.CreateSignature(reader, os, '\0');和PdfLiteral PRefLiteral = new PdfLiteral((PRef.Number + 1 + 2 * (reader.NumberOfPages - 1)) + " 0 R");
那么它可以正常运行：https://www.sendspace.com/file/agat9a，但是它只能用于单个签名者。 Nd如果我们再次尝试使用相同的pdf进行签名，则旧签名将无效。 （显然，因为未使用附加模式。）

我想要使​​签名在附加模式下工作，需要在PdfLiteral行中进行更改-我对相同的实际操作方式知之甚少。

签名的文件：https://www.sendspace.com/file/5d1z0t
输入文件：https://www.sendspace.com/file/wh2h2y

最佳答案

快速浏览代码会发现两个主要错误。

哈希两次

您对文档数据进行了两次哈希处理（为此使用了不同的API ...很奇怪！）：

        Stream data = appearance.GetRangeStream();

        byte[] hash = DigestAlgorithms.Digest(data, "SHA256");

        [...]

        _signatureHash = hash;// signatureHash;
    }
}

[...]
using (SHA256.Create())
{
    _signatureHash = SHA256.Create().ComputeHash(_signatureHash);
}


这是错误的，这没有任何意义。

注入错误的签名容器

你说


  请求Esign服务以PKCS7（CMS）格式给出响应。


但是，您可以尝试构建自己的CMS容器，而不是从结果中使用CMS签名容器，而是将Esign响应CMS容器注入，就像它只是一个签名的哈希一样：

XmlNodeList UserX509Certificate = xmlDoc.GetElementsByTagName("UserX509Certificate");
byte[] rawdat = Convert.FromBase64String(UserX509Certificate[0].InnerText);
var chain = new List<Org.BouncyCastle.X509.X509Certificate>
{
    Org.BouncyCastle.Security.DotNetUtilities.FromX509Certificate(new X509Certificate2(rawdat))
};
var signaturee = new PdfPKCS7(null, chain, "SHA256", false);
_signature = signaturee;

_signature.SetExternalDigest(Convert.FromBase64String(signature), null, "RSA");

byte[] encodedSignature = _signature.GetEncodedPKCS7(_hash, null, null, null, CryptoStandard.CMS);


根据您在XML中的注释

    <DocSignature error="" id="1" sigHashAlgorithm="SHA256">--Signature in base 64 in PKCS7(CMS)---</DocSignature>


此DocSignature元素包含CMS签名容器。

因此，删除上面的代码段，而是将DocSignature元素的内容（不要忘记对base64进行解码）放入byte[] encodedSignature中。现在，您可以像以前一样将其注入准备好的签名中：

IExternalSignatureContainer external = new MyExternalSignatureContainer(encodedSignature);

MakeSignature.SignDeferred(reader, "sign1", os, external);




解决了上述问题后，显而易见的又两个问题：

使用错误的文件模式

您打开流以这样编写：

using (FileStream os = System.IO.File.OpenWrite(signedPdf))


File.OpenWrite是documented on docs.microsoft.com


  等效于FileStream(String, FileMode, FileAccess, FileShare)构造函数重载，文件模式设置为OpenOrCreate，访问权限设置为Write，共享模式设置为None。


文件模式OpenOrCreate依次为documented指定


  操作系统应该打开一个文件（如果存在）；否则，应创建一个新文件。


因此，如果在给定位置已经有一个文件，则该文件将保留下来，然后您就可以开始写入该文件了。

如果您创建的新文件比旧文件长，那么这没问题，您最终将覆盖所有旧文件内容，然后该文件将容纳更多新内容。

但是，如果您创建的新文件比旧文件短，那么您就会遇到问题：新文件结束后，仍然会有旧的较长文件中的数据。因此，您的结果是两个文件的大杂烩。

在您共享示例文件的情况下发生了这种情况，“ signedPdf.pdf”的新内容只有175982字节长，但是似乎有一些较旧的文件，其名称为811986字节长。因此，您共享的“ signedPdf.pdf”文件长811986字节，前175982字节包含操作结果，其余数据来自其他文件。

如果将共享的“ signedPdf.pdf”文件缩减为前175982个字节，则结果看起来会好得多！

要解决此问题，您应该使用文件模式Create，即documented


  等效于请求如果文件不存在，请使用CreateNew；否则，请使用Truncate。


using (FileStream os = new FileStream(signedPdf, FileMode.Create, FileAccess.Write, FileShare.None))


您的签名服务存在问题-身份无效

如上所述，如果将共享的“ signedPdf.pdf”文件缩减为前175982个字节，结果看起来会更好！不幸的是，只是更好而还不是好：

Signature Panel

通过查看详细信息，您“身份已过期或尚未生效”的原因变得更加清楚：

Signature Properties

即PDF声明的签名时间为UTC + 1：09：47：59。

但是看一下证书：

Certificate Viewer

即您的证书有效时间不早于UTC + 1的09:48:40。

因此，要求的签名时间超过了您的用户证书生效之前的半分钟！显然，验证者无法接受。

显然，您的签名服务会根据需要为您创建一个短期证书，此证书从那时起有效半小时。而且开始创建PDF签名的时间不在该间隔内。

我怀疑他们会根据您的要求更改签名服务的设计。因此，您将不得不作弊并在将来稍微使用签名时间。

默认情况下，PdfSignatureAppearance构造函数将签名时间设置为当前时间，即执行以下行时：

PdfSignatureAppearance appearance = stamper.SignatureAppearance;


幸运的是，如果立即使用，您可以更改此声明的签名时间

appearance.SignDate = [some other date time];


您应该在此处使用的日期时间应短于您致电签名服务的时间（我建议不超过5分钟）。

当然，这意味着您不能随意等待执行该服务调用。一旦您在上面指定了声明的签名时间，您就承诺在声明的时间之前不久成功致电您的签名服务！

此外，如果签名服务的反应仅是缓慢的或仅在重试后才作出反应，则您的软件应确定检查从其检索的签名容器中的证书，并将其有效期与声明的签名时间进行比较。如果声明的签名时间不在该时间间隔内，请重新开始签名！



现在很明显，您使用的AllPagesSignatureContainer是为非常特殊的用例设计的，仍然必须适应您的用例。

使AllPagesSignatureContainer适应附加模式

当未在附加模式下签名时，从this answer复制的AllPagesSignatureContainer实现工作正常，但在附加模式下签名失败。

起初这是合理的，因为该类必须预测将用于签名值的对象编号。此预测取决于确切的用例，并且打开附加模式会大大改变此用例。因此，我在评论中的建议是


  如果需要添加模式，请尝试替换

PdfLiteral PRefLiteral = ...

  
  AllPagesSignatureContainer中的行

PdfLiteral PRefLiteral = new PdfLiteral((PRef.Number + reader.NumberOfPages) + " 0 R");



在我的测试中有效，但在您的测试中却没有。对您的签名文件进行分析发现了原因：我的测试文件正在使用交叉引用表，而您的测试文件正在使用交叉引用流。

使AllPagesSignatureContainer适应追加模式和对象流

附加模式下的iText使用原始文件的压缩功能，即，在文件的情况下，一旦存储允许存储在对象流中的间接对象，它就会创建一个对象流。

如果您的文件是iText，则为对象流保留一个对象号，并且在AllPagesSignatureContainer预测签名值对象号与实际生成签名值之间进行保留。因此，文件中的实际签名值对象数比预测数高1。

因此，要解决带有交叉引用流的PDF的问题，只需将PdfLiteral PRefLiteral = ...行替换为

PdfLiteral PRefLiteral = new PdfLiteral((PRef.Number + reader.NumberOfPages + 1) + " 0 R");


即在原始预测值上加1。不幸的是，现在对于具有交叉引用表的PDF来说，预测是错误的。

解决此问题的更好方法是强制iText在预测签名值对象编号之前为交叉引用流PDF的对象流保留对象编号，然后使用原始预测代码。一种实现方法是在预测之前立即创建和写入间接对象，例如像这样：

stamper.Writer.AddToBody(new PdfNull(), stamper.Writer.PdfIndirectReference, true);

PdfIndirectReference PRef = stamper.Writer.PdfIndirectReference;
PdfLiteral PRefLiteral = new PdfLiteral((PRef.Number + reader.NumberOfPages) + " 0 R");


The answer基本上从其复制的AllPagesSignatureContainer实现已相应更新。

关于c# - 在PKCS7(CMS)中使用相同的响应XML签名对多个位置进行签名，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/55237425/

上一篇：c# - 处理自定义 DrawingVisual 对象 UIElement 上的鼠标点击事件

下一篇：c# - Process.Start 用户名 'Everyone' ？

相关文章：

c# - 正则表达式 : extract all words out of quotes

java - 文档.newPage();不在 iText 中的每个循环内部工作

ios - 在 ios9 上的 uiwebview 中显示 pdf 有时滚动会卡住

c# - 引入多线程后串口通信出现蓝屏错误

c# - 我怎样才能在 C# 中获取该月的最后一天？

java - 如何将标签设置为 iText 列表

java - 如何将 BufferedImage 转换/转换为图像？

java - 批量重命名PDF文件中的PDF书签/大纲

c# - 如何通过 Visual Studio 中的立即窗口访问派生类的基类的成员？

php - 如何正确使用laravel-dompdf生成view的pdf

©2024 IT工具网  联系我们