9

Estou desenvolvendo um software de integração com o webservice do nota legal para emissão de notas fiscais eletrônicas da cidade de Porto Alegre.

Depois de algumas dificuldades consegui afinar o xml para que ele fique de acordo com o padronizado, porém agora estou enfrentando problemas com a validação da assinatura.

As assinaturas são validadas utilizando o assinadoc: https://www.receita.fazenda.gov.br/Aplicacoes/SSL/ATBHE/Assinadoc/ValidadorAssinaturas.app/valida.aspx

Estou desenvolvendo em C# e utilizei o método "SignXmlDocument"que consta em um tutorial postado pela Microsoft: https://msdn.microsoft.com/en-us/library/system.security.cryptography.xml.signedxml%28v=vs.110%29.aspx

Exemplo da minha assinatura:

<Signature Id="Ass_1_2015100000227"
    xmlns="http://www.w3.org/2000/09/xmldsig#">
    <SignedInfo>
        <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315#WithComments" />
        <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" />
        <Reference URI="12015100000227.xml">
            <Transforms>
                <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                <Transform Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315" />
            </Transforms>
            <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" />
            <DigestValue>pAukI83FOJt5xPAkuNfmaFkxGQ0=</DigestValue>
        </Reference>
    </SignedInfo>
<SignatureValue>vkgvOXOgFT4KiyMzOF+8iYf7wiorwG1SQao5y0F9AkvYBJI3EQHtHL4nOXRoAYOomaMpL/T30hNqmi50mOOgUu1EcYVjkpfnpVSmJMJTqcXUCbVkyYdLNayuZLkP9Q1tJqMcN6CG2j+huBDqQhfECD9Hv94TUtpg0TMMMohrFGA=</SignatureValue>
    <KeyInfo>
        <X509Data>
<X509Certificate>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</X509Certificate>
        </X509Data>
    </KeyInfo>
</Signature>

Dos dados da assinatura:

  • Digest Value é a representação do hash da tag URI encontrada em reference.
  • Na tag <x509Data> os dados são a chave pública do meu certificado (que é um A3)
  • O único valor gerado pelo método "ComputeSignature()" é o Signature Value o que me fez pensar que seria ele o problema, porém olhando outros códigos fonte que emitem assinatura digital em C# todos seguem o mesmo padrão.
  • Também realizei uma verificação do padrão de assinatura digitial no site: www.w3.org/TR/xmldsig-core/ e percebi que está tudo correto.
  • Na mensagem do assinadoc a única coisa que aparece na descrição do problema é: "A assinatura do documento não é válida".

Então a pergunta é: porque essa assinatura não é válida?

8
  • Você usou o 12015100000227.xml como entrada para o SignXmlDocument? Esse DigestValue foi produzido como? E o que você está enviando para o assinadoc, um único XML ou mais de um? (pergunto porque me parece que você está assinando o documento A e guardando a assinatura no documento B, o que a princípio está ok, mas dependendo do que o assinadoc espera talvez fosse necessário que a assinatura estivesse no próprio documento; veja essa pergunta relacionada - infelizmente também sem solução - para um exemplo).
    – mgibsonbr
    15/12/2015 às 13:42
  • P.S. Não tenho uma resposta conclusiva pra te dar, estou somente explorando os pontos em que alguma coisa poderia ter saído errada. Esse parece ser um problema comum - haja vista todas as perguntas sobre NFe aqui no site - mas infelizmente não tenho experiência suficiente no assunto para te orientar melhor... :(
    – mgibsonbr
    15/12/2015 às 13:44
  • O 12015100000227.xml é o próprio arquivo (neste caso estava fazendo um teste em gerar o xml salvar e depois referenciar o arquivo na assinatura, também não deu certo), posso mudar e colocar "microsoft.com" é só o hash, ele só está ai por ser obrigatório. Primeiro construo todo o xml e depois gero as assinaturas(segundo o fórum de desenvolvedores do nota legal esta é a forma mais segura). O envio se da a partir de um XML com várias assinaturas. Vou dar uma olhada nos teus links, obrigado. 15/12/2015 às 13:57
  • O hash não "só está ai por ser obrigatório", ele é parte fundamental do algoritmo de assinatura! Se você está calculando o hash errado, a assinatura não vai bater. Você precisa: 1) identificar o que precisa ser assinado (provavelmente é um elemento dentro do XML, talvez o infNFe, não sei - olhe na documentação); 2) Referenciar o elemento a ser assinado (coloque #id_do_elemento na URI da Reference); 3) Hashear esse elemento específico; 4) Fazer a assinatura desse hash e colocá-la no SignatureValue; 5) Colocar em X509Data o mesmo certificado usado para assinar. Por alto é isso.
    – mgibsonbr
    15/12/2015 às 14:18
  • 1
    Acredito ter encontrado o problema da referência quando eu estava instânciando a classe SignedXml() eu devo passar o documento senão quando ele adicionar a referência e ela não existir ele irá acabar por jogar uma exceção então o correto é: SignedXml signedXml = new SignedXml(MeuDocumento); O esclarecimento sobre o id e seu respectivo elemento não teve preço, obrigado mesmo, com xmls tão extensos algumas coisas passam despercebidas, vou desenvolver mais algumas linhas e ver se a validação passa dessa vez. 15/12/2015 às 17:14

2 Respostas 2

5

Depois de perder um considerável tempo encontrei o motivo:

Eu estava salvando o arquivo xml assim:

XmlDocument xmlDoc = new XmlDocument();

xmlDoc.PreserveWhitespace = false;

xmlDoc.InnerXml = xml;

xmlDoc.Save(System.Configuration.ConfigurationManager.AppSettings["filePath"] + "generatedXml.xml");

Ele deve ser salvo assim:

StreamWriter SW;
SW = File.CreateText(@"myxml.xml");
SW.Write(signedXmlData);
SW.Close();

O problema todo se encontrava na codificação do xml, pelas minhas experiências o método Save não gerou um xml com a codificação válida, então uma opção que deu certo foi utilizar a classe StreamWriter e salvar direto do stream o arquivo carregado.

O método de assinatura digital:

    public string SignXml(string xml, string refUri, string signatureId)
    {
        X509Certificate2 _X509Cert = LoadCertificate(@"C:\mycert.cer");

        XmlDocument doc = CreateSignXml(xml);

        // Create a SignedXml object.
        SignedXml signedXml = new SignedXml(doc);
        signedXml.Signature.Id = signatureId;
        signedXml.SigningKey = _X509Cert.PrivateKey;
        signedXml.SignedInfo.CanonicalizationMethod = "http://www.w3.org/TR/2001/REC-xml-c14n-20010315#WithComments";

        Reference reference = new Reference("#" + refUri);
        reference.AddTransform(new XmlDsigEnvelopedSignatureTransform());
        reference.AddTransform(new XmlDsigC14NTransform());

        signedXml.AddReference(reference);

        KeyInfo keyInfo = new KeyInfo();
        keyInfo.AddClause(new KeyInfoX509Data(_X509Cert));

        signedXml.KeyInfo = keyInfo;          

        signedXml.ComputeSignature();

        XmlElement xmlDigitalSignature = signedXml.GetXml();

        return xmlDigitalSignature.OuterXml;
    }

    private static XmlDocument CreateSignXml(string xml)
    {
        XmlDocument doc = new XmlDocument();

        doc.PreserveWhitespace = false;

        doc.LoadXml(xml);

        return doc;
    }

    private static X509Certificate2 LoadCertificate(X509Certificate2 X509Cert)
    {
        X509Store store = new X509Store("MY", StoreLocation.CurrentUser);
        store.Open(OpenFlags.ReadOnly | OpenFlags.OpenExistingOnly);
        X509Certificate2Collection collection = (X509Certificate2Collection)store.Certificates;
        X509Certificate2Collection collection1 = (X509Certificate2Collection)collection.Find(X509FindType.FindBySubjectDistinguishedName, X509Cert.Subject.ToString(), false);

        return collection1[0];//Só olhar o índice em collection1 que está o certificado desejado, no meu caso ele era o primeiro.
    }
1
  • Boa garotoo, tava me acabando aqui e nao conseguia, fiz o que voce diz e deu certo...... vlw. 12/08/2016 às 22:07
1

Para calcular o DigestValue

   1  acrescentar o namespace xmlns com o valor http://www.portalfiscal.inf.br/nfe na tag infNFe

   2  canonizar a tag infNFe

   3  calcular o Digest usando SHA1 e converter o resultado pra Base64

Para assinar a nota

   1  acrescentar o namespace xmlns com o valor http://www.w3.org/2000/09/xmldsig# na tag SignedInfo

   2  canonizar a tag SignedInfo

   3  Assinar a tag SignedInfo, converter o resultado pra Base64

O modelo da assinatura é esse:

<Signature xmlns="http://www.w3.org/2000/09/xmldsig#">
    <SignedInfo>
        <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
        <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
        <Reference URI="#NFe00000000000000000000000000000000000000000000">
            <Transforms>
                <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
                <Transform Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
            </Transforms>
            <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
            <DigestValue>?</DigestValue>
        </Reference>
    </SignedInfo>
    <SignatureValue>?</SignatureValue>
    <KeyInfo>
        <X509Data>
            <X509Certificate>?</X509Certificate>
        </X509Data>
    </KeyInfo>
</Signature>

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .