3

Ao assinar algum XML, o assinador gera a tag DigestValue contendo uma Hash. Eu consigo gerar o digest value com um certificado digital, mas eu gostaria de gerar essa hash sem que tenha a necessidade de um certificado...

Eu vi em algumas documentações, que é necessário utilizar SHA1 e Base64, mas sempre que eu utilizo esses dois algoritmos, a hash que me retorna não é a que eu estou esperando.

Alguém sabe qual o algoritmo completo para gerar esse valor?

Cenário:

  • Entrada é um XML qualquer
  • Utilizo o algoritmo de criptografia SHA1, em seguida
  • Transformo o retorno da criptografia em Base64
  • O retorno da base64 deveria ser a hash correta, porém vem uma hash diferente.
4
  • 1
    Como é o código que você usa para gerar e comparar o hash? Pode postar-lo? É difícil saber o que está errado sem saber exatamente como você o fez. Commented 15/12/2013 às 18:16
  • Eu gostaria de saber qual o algoritmo para gerar essa hash... Vou editar a pergunta descrevendo os passos que faço.
    – fymoribe
    Commented 15/12/2013 às 18:22
  • 2
    Faltou um passo importante que é canonizar o XML. Recomendo o uso da classe Canonicalizer do projeto Apache Santuario (na verdade, eu não faria nada na mão, usaria essa biblioteca para tudo). Sobre o algoritmo basta aplicar um SHA1 para obter os bits (não a assinatura em HEX) e, em cima desses bits obter a Base64 da assinatura. A biblioteca Apache Commons Codec tem tudo que você precisa para a segunda parte. Commented 15/12/2013 às 22:07
  • É para codificar em SHA1 e conveter em base64 eu utilizo essas bibliotecas que você citou.
    – fymoribe
    Commented 15/12/2013 às 22:45

1 Resposta 1

2

O processo de se calcular o DigestValue de um arquivo XML não se resume a calcular o hash desse arquivo, mas possui outros passos intermediários:

  1. Colocar o documento na forma canônica, tal como apontado por @Anthony Accioly;
  2. Aplicar quaisquer transformações especificadas em Reference/Transforms. Se não há nenhum elemento Transforms, ou o mesmo está vazio (sem sub-elementos), então nada precisa ser feito.

Certifique-se que esses passos foram corretamente adotados e, se ainda tiver problemas em conseguir um resultado correto, acrescente mais detalhes à sua pergunta de modo a podermos ajudar mais (se possível mostrando o SignedInfo que quer atingir, um link para o arquivo XML e uma descrição dos passos e ferramentas que utilizou).

Nota: minha resposta anterior (em arquivo) não se aplica aqui, pois de fato o DigestValue é um simples hash e não uma assinatura digital (portanto invariante à presença ou não de um certificado).

4
  • 1
    Huum, obrigado pela resposta. Eu falei que é um digestvalue diferente pois eu já possuo o XML contendo o digestvalue correto e eu preciso de uma função que gere esse digestValue. O DigestValue é independente do certificado, pois eu consigo gerar o digestvalue sem que eu tenha o certificado.
    – fymoribe
    Commented 15/12/2013 às 22:56
  • 1
    @fymoribe Pelo que estou lendo, você tem razão, DigestValue é uma coisa e SignatureValue é outra... Mas ainda não consegui entender exatamente o que ele é, nem qual seu propósito. Vou investigar mais um pouco, se descobrir algo atualizo minha resposta.
    – mgibsonbr
    Commented 15/12/2013 às 23:01
  • Realmente faltou canonizar a string antes de fazer a criptografia, muito obrigado.
    – fymoribe
    Commented 16/12/2013 às 0:38
  • 1
    fymoribe, não se esqueça de aceitar a resposta ;) Commented 16/12/2013 às 14:24

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .