如何在 .NET 中使用 RSA 密钥对 XML 文件进行签名？

Question

我正在尝试使用由 < 生成的私有 RSA 密钥在 C# .NET 3.5 中签署 XML 文件a href="http://en.wikipedia.org/wiki/OpenSSL" rel="noreferrer">OpenSSL。

我的操作步骤如下：我将 RSA 密钥从 PEM 格式转换为 XML 格式使用 chilkat 框架 (www.example-code.com/csharp/cert_usePrivateKeyFromPEM.asp)

通过我的 XML 密钥，我现在可以使用我更喜欢的本机 .NET 函数。所以我使用了 MSDN 上描述的方法。

所以，最后，我的源代码如下所示：

RSACryptoServiceProvider rsaProvider = new RSACryptoServiceProvider();

//Load the private key from xml file
XmlDocument xmlPrivateKey = new XmlDocument();
xmlPrivateKey.Load("PrivateKey.xml");
rsaProvider.FromXmlString(xmlPrivateKey.InnerXml);

 // Create a SignedXml object.
 SignedXml signedXml = new SignedXml(Doc);

 // Add the key to the SignedXml document.
 signedXml.SigningKey = Key;

 // Create a reference to be signed.
 Reference reference = new Reference();
 reference.Uri = "";

 // Add an enveloped transformation to the reference.
 XmlDsigEnvelopedSignatureTransform env = new XmlDsigEnvelopedSignatureTransform();
 reference.AddTransform(env);

 // Add the reference to the SignedXml object.
 signedXml.AddReference(reference);

 // Compute the signature.
 signedXml.ComputeSignature();

 // Get the XML representation of the signature and save
 // it to an XmlElement object.
 XmlElement xmlDigitalSignature = signedXml.GetXml();

 // Append the element to the XML document.
 Doc.DocumentElement.AppendChild(Doc.ImportNode(xmlDigitalSignature, true));

使用此函数获得的签名 XML 看起来不错，我在文件末尾有 XML 元素，就像它应该的那样：

<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
<SignedInfo>
  <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315" />
  <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
  <Reference URI="">
    <Transforms>
      <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
    </Transforms>
    <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
    <DigestValue>qoGPSbe4oR9e2XKN6MzP+7XlXYI=</DigestValue>
  </Reference>
</SignedInfo>
<SignatureValue>iPQ6IET400CXfchWJcP22p2gK6RpEc9mkSgfoA94fL5UM6+AB5+IO6BbjsNt31q6MB8hR6lAIcnjzHzc5SeXvFP8Py2bqHTYJvcSA6KcKCQl1LiDNt12UwWiKpSkus2p0LdAeeZJNy9aDxjC/blUaZEr4uPFt0kGCD7h1NQM2SY=</SignatureValue>

问题是，当我尝试在以下 URL 处使用 xmlsec 验证签名时： http:// www.aleksey.com/xmlsec/xmldsig-verifier.html。我收到一条消息，告诉我签名无效。

我几天来一直在寻找代码中的错误，但找不到。我开始认为从 PEM 到 XML 文件的转换可能是问题所在，但我不知道如何测试它。此外，我没有找到任何其他方法来转换为密钥或直接使用.NET中的PEM文件。

有人设法在 .NET 中获得有效签名吗？

Answer 1

是的，我已经做到了。
我认为问题出在你的参考上。 uri 应指向签名所针对的元素的 id。无论如何，请检查下面的代码，希望它能为您指明正确的方向。

/克劳斯

/// <summary>
    /// Signs an XmlDocument with an xml signature using the signing certificate given as argument to the method.
    /// </summary>
    /// <param name="doc">The XmlDocument to be signed</param>
    /// <param name="id">The is of the topmost element in the xmldocument</param>
    /// <param name="cert">The certificate used to sign the document</param>
    public static void SignDocument(XmlDocument doc, string id, X509Certificate2 cert)
    {
        SignedXml signedXml = new SignedXml(doc);
        signedXml.SignedInfo.CanonicalizationMethod = SignedXml.XmlDsigExcC14NTransformUrl;
        signedXml.SigningKey = cert.PrivateKey;

        // Retrieve the value of the "ID" attribute on the root assertion element.
        Reference reference = new Reference("#" + id);

        reference.AddTransform(new XmlDsigEnvelopedSignatureTransform());
        reference.AddTransform(new XmlDsigExcC14NTransform());

        signedXml.AddReference(reference);

        // Include the public key of the certificate in the assertion.
        signedXml.KeyInfo = new KeyInfo();
        signedXml.KeyInfo.AddClause(new KeyInfoX509Data(cert, X509IncludeOption.WholeChain));

        signedXml.ComputeSignature();
        // Append the computed signature. The signature must be placed as the sibling of the Issuer element.
        XmlNodeList nodes = doc.DocumentElement.GetElementsByTagName("Issuer", Saml20Constants.ASSERTION);
        // doc.DocumentElement.InsertAfter(doc.ImportNode(signedXml.GetXml(), true), nodes[0]);            
        nodes[0].ParentNode.InsertAfter(doc.ImportNode(signedXml.GetXml(), true), nodes[0]);
    }

Answer 2

在我看来，您对 xml 中的所有内容进行了签名：reference.Uri = "";

当您将其插入文档或以错误的方式插入时，您可能会破坏签名。

还要注意命名空间和空格，其中一些也已签名，这可能会在以后处理签名文档时导致问题。

Answer 3

尝试

dataObject.Data = Doc.ChildNodes;

用这个替换：

dataObject.Data = Doc.GetElementsByTagName("YourRootNodeNameHere");

Answer 4

我今天遇到了同样的问题，我的一位同事怀疑这可能是因为 .net xml C14 转换不遵循 xmlsec 中实现的 XML 标准。我会尝试自己进行转换，并让您知道这是否确实是问题所在。

Answer 5

在使用 XML-Signer 验证签名的 XML 时，我遇到了同样的问题。当我添加以下内容后，问题就解决了：
doc.PreserveWhitespace = False
在加载要签名的 XML 文档之前

可以在此处找到一个很好的示例：
http://msdn.microsoft.com/en-us/library/system.security.cryptography.xml.signature(v=vs.110).aspx ?cs-save-lang=1&cs-lang=vb#code-snippet-2