小贝子编程

如何使用iText添加PAdES LTV



我正在尝试在没有LTV格式的已签名PDF文档中启用LTV。我在所有情况下都发现了相同的例子，如链接中所述。如何为时间戳签名启用LTV，启用iText LTV-如何添加更多CRL？，定义了获得预期结果的程序。碰巧我没有工作，它没有给我任何错误，但我没有添加LTV。

关于为什么在执行以下代码时没有给我任何错误，但我没有添加LTV的一些想法。

这是我尝试添加LTV:的方法

public void addLtv(String src, String dest, OcspClient ocsp, CrlClient crl, TSAClient tsa)
throws IOException, DocumentException, GeneralSecurityException {
PdfReader r = new PdfReader(src);
FileOutputStream fos = new FileOutputStream(dest);
PdfStamper stp = PdfStamper.createSignature(r, fos, '', null, true);
LtvVerification v = stp.getLtvVerification();
AcroFields fields = stp.getAcroFields();
List<String> names = fields.getSignatureNames();
String sigName = names.get(names.size() - 1);
PdfPKCS7 pkcs7 = fields.verifySignature(sigName);
if (pkcs7.isTsp()) {
v.addVerification(sigName, ocsp, crl,
LtvVerification.CertificateOption.SIGNING_CERTIFICATE,
LtvVerification.Level.OCSP_CRL,
LtvVerification.CertificateInclusion.NO);
}
else {
for (String name : names) {
v.addVerification(name, ocsp, crl,
LtvVerification.CertificateOption.WHOLE_CHAIN,
LtvVerification.Level.OCSP_CRL,
LtvVerification.CertificateInclusion.NO);
}
}
PdfSignatureAppearance sap = stp.getSignatureAppearance();
LtvTimestamp.timestamp(sap, tsa, null);
}

我正在使用的版本：

  • itext：5.5.11
  • java:8

正如在这个评论中所证明的那样

我想要的是Adobe LTV启用

该任务与PAdES的相关程度较低(即使使用了PAdES中引入的机制)，但专注于Adobe专有的签名配置文件，"LTV enabled"签名。

遗憾的是，未正确指定此专有签名配置文件。Adobe告诉我们的都是

启用LTV意味着验证文件所需的所有信息(减去根证书)都包含在内。

(有关详细信息和背景，请阅读此答案)

因此，实现LTV启用示例签名的方法涉及一些尝试和错误，我不能保证Adobe会在即将到来的Adobe Acrobat版本中将此代码的输出视为"LTV启用"。

此外，当前的iText 5签名API还不足以开箱即用，因为(事实证明)Adobe需要iText代码没有创建的某些可选结构(但请参阅下面的PPS)。解决这个问题最简单的方法是从两个方面更新iText类LtvVerification，所以我将在这里描述这种方式。或者，可以使用Java反射，或者复制和调整相当多的代码；如果您不能更新iText，如下所示，您将不得不选择一种这样的替代方法。

LTV启用已签名PDF的签名

本节显示了添加和更改代码，使用这些代码可以LTV启用文档，如OP的示例PDFsign_without_LTV.pdf。

一种使用iText的LtvVerification类的方法

这是使用iText的签名API中的LtvVerification类的原始代码。不幸的是，必须向该类添加一个功能。

修补LtvVerification

iText 5LtvVerification类仅提供接受签名字段名称的addVerification方法。对于未绑定到表单字段的签名，例如OCSP响应签名，我们也需要这些方法的功能。为此，我添加了该方法的以下过载：

public boolean addVerification(PdfName signatureHash, Collection<byte[]> ocsps, Collection<byte[]> crls, Collection<byte[]> certs) throws IOException, GeneralSecurityException {
if (used)
throw new IllegalStateException(MessageLocalization.getComposedMessage("verification.already.output"));
ValidationData vd = new ValidationData();
if (ocsps != null) {
for (byte[] ocsp : ocsps) {
vd.ocsps.add(buildOCSPResponse(ocsp));
}
}
if (crls != null) {
for (byte[] crl : crls) {
vd.crls.add(crl);
}
}
if (certs != null) {
for (byte[] cert : certs) {
vd.certs.add(cert);
}
}
validated.put(signatureHash, vd);
return true;
}

此外，最终VRI字典中需要一个(根据规范可选)时间条目(但请参阅下面的PPS)。因此，我在outputDss方法中添加了一行，如下所示：

...
if (ocsp.size() > 0)
vri.put(PdfName.OCSP, writer.addToBody(ocsp, false).getIndirectReference());
if (crl.size() > 0)
vri.put(PdfName.CRL, writer.addToBody(crl, false).getIndirectReference());
if (cert.size() > 0)
vri.put(PdfName.CERT, writer.addToBody(cert, false).getIndirectReference());
// v--- added line
vri.put(PdfName.TU, new PdfDate());
// ^--- added line
vrim.put(vkey, writer.addToBody(vri, false).getIndirectReference());
...

一些低级助手方法

需要一些在安全原语上操作的辅助方法。这些方法大多是从现有的iText类中收集的(因为它们是私有的，所以不能按原样使用)，或者是从那里的代码中派生的：

static X509Certificate getOcspSignerCertificate(byte[] basicResponseBytes) throws CertificateException, OCSPException, OperatorCreationException {
JcaX509CertificateConverter converter = new JcaX509CertificateConverter().setProvider(BouncyCastleProvider.PROVIDER_NAME);
BasicOCSPResponse borRaw = BasicOCSPResponse.getInstance(basicResponseBytes);
BasicOCSPResp bor = new BasicOCSPResp(borRaw);
for (final X509CertificateHolder x509CertificateHolder : bor.getCerts()) {
X509Certificate x509Certificate = converter.getCertificate(x509CertificateHolder);
JcaContentVerifierProviderBuilder jcaContentVerifierProviderBuilder = new JcaContentVerifierProviderBuilder();
jcaContentVerifierProviderBuilder.setProvider(BouncyCastleProvider.PROVIDER_NAME);
final PublicKey publicKey = x509Certificate.getPublicKey();
ContentVerifierProvider contentVerifierProvider = jcaContentVerifierProviderBuilder.build(publicKey);
if (bor.isSignatureValid(contentVerifierProvider))
return x509Certificate;
}
return null;
}
static PdfName getOcspSignatureKey(byte[] basicResponseBytes) throws NoSuchAlgorithmException, IOException {
BasicOCSPResponse basicResponse = BasicOCSPResponse.getInstance(basicResponseBytes);
byte[] signatureBytes = basicResponse.getSignature().getBytes();
DEROctetString octetString = new DEROctetString(signatureBytes);
byte[] octetBytes = octetString.getEncoded();
byte[] octetHash = hashBytesSha1(octetBytes);
PdfName octetName = new PdfName(Utilities.convertToHex(octetHash));
return octetName;
}
static PdfName getCrlSignatureKey(byte[] crlBytes) throws NoSuchAlgorithmException, IOException, CRLException, CertificateException {
CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509CRL crl = (X509CRL)cf.generateCRL(new ByteArrayInputStream(crlBytes));
byte[] signatureBytes = crl.getSignature();
DEROctetString octetString = new DEROctetString(signatureBytes);
byte[] octetBytes = octetString.getEncoded();
byte[] octetHash = hashBytesSha1(octetBytes);
PdfName octetName = new PdfName(Utilities.convertToHex(octetHash));
return octetName;
}
static X509Certificate getIssuerCertificate(X509Certificate certificate) throws IOException, StreamParsingException {
String url = getCACURL(certificate);
if (url != null && url.length() > 0) {
HttpURLConnection con = (HttpURLConnection)new URL(url).openConnection();
if (con.getResponseCode() / 100 != 2) {
throw new IOException(MessageLocalization.getComposedMessage("invalid.http.response.1", con.getResponseCode()));
}
InputStream inp = (InputStream) con.getContent();
byte[] buf = new byte[1024];
ByteArrayOutputStream bout = new ByteArrayOutputStream();
while (true) {
int n = inp.read(buf, 0, buf.length);
if (n <= 0)
break;
bout.write(buf, 0, n);
}
inp.close();
X509CertParser parser = new X509CertParser();
parser.engineInit(new ByteArrayInputStream(bout.toByteArray()));
return (X509Certificate) parser.engineRead();
}
return null;
}
static String getCACURL(X509Certificate certificate) {
ASN1Primitive obj;
try {
obj = getExtensionValue(certificate, Extension.authorityInfoAccess.getId());
if (obj == null) {
return null;
}
ASN1Sequence AccessDescriptions = (ASN1Sequence) obj;
for (int i = 0; i < AccessDescriptions.size(); i++) {
ASN1Sequence AccessDescription = (ASN1Sequence) AccessDescriptions.getObjectAt(i);
if ( AccessDescription.size() != 2 ) {
continue;
}
else if (AccessDescription.getObjectAt(0) instanceof ASN1ObjectIdentifier) {
ASN1ObjectIdentifier id = (ASN1ObjectIdentifier)AccessDescription.getObjectAt(0);
if ("1.3.6.1.5.5.7.48.2".equals(id.getId())) {
ASN1Primitive description = (ASN1Primitive)AccessDescription.getObjectAt(1);
String AccessLocation =  getStringFromGeneralName(description);
if (AccessLocation == null) {
return "" ;
}
else {
return AccessLocation ;
}
}
}
}
} catch (IOException e) {
return null;
}
return null;
}
static ASN1Primitive getExtensionValue(X509Certificate certificate, String oid) throws IOException {
byte[] bytes = certificate.getExtensionValue(oid);
if (bytes == null) {
return null;
}
ASN1InputStream aIn = new ASN1InputStream(new ByteArrayInputStream(bytes));
ASN1OctetString octs = (ASN1OctetString) aIn.readObject();
aIn = new ASN1InputStream(new ByteArrayInputStream(octs.getOctets()));
return aIn.readObject();
}
static String getStringFromGeneralName(ASN1Primitive names) throws IOException {
ASN1TaggedObject taggedObject = (ASN1TaggedObject) names ;
return new String(ASN1OctetString.getInstance(taggedObject, false).getOctets(), "ISO-8859-1");
}
static byte[] hashBytesSha1(byte[] b) throws NoSuchAlgorithmException {
MessageDigest sh = MessageDigest.getInstance("SHA1");
return sh.digest(b);
}

(如MakeLtvEnabled)

它们还没有优化，当然可以让它们更具表演性和优雅性。

添加LTV信息

基于这些添加和帮助，可以使用以下方法makeLtvEnabled:添加启用LTV的签名所需的LTV信息

public void makeLtvEnabled(PdfStamper stp, OcspClient ocspClient, CrlClient crlClient) throws IOException, GeneralSecurityException, StreamParsingException, OperatorCreationException, OCSPException {
stp.getWriter().addDeveloperExtension(new PdfDeveloperExtension(PdfName.ADBE, new PdfName("1.7"), 8));
LtvVerification v = stp.getLtvVerification();
AcroFields fields = stp.getAcroFields();
Map<PdfName, X509Certificate> moreToCheck = new HashMap<>();
ArrayList<String> names = fields.getSignatureNames();
for (String name : names)
{
PdfPKCS7 pdfPKCS7 = fields.verifySignature(name);
List<X509Certificate> certificatesToCheck = new ArrayList<>();
certificatesToCheck.add(pdfPKCS7.getSigningCertificate());
while (!certificatesToCheck.isEmpty()) {
X509Certificate certificate = certificatesToCheck.remove(0);
addLtvForChain(certificate, ocspClient, crlClient,
(ocsps, crls, certs) -> {
try {
v.addVerification(name, ocsps, crls, certs);
} catch (IOException | GeneralSecurityException e) {
e.printStackTrace();
}
},
moreToCheck::put
);
}
}
while (!moreToCheck.isEmpty()) {
PdfName key = moreToCheck.keySet().iterator().next();
X509Certificate certificate = moreToCheck.remove(key);
addLtvForChain(certificate, ocspClient, crlClient,
(ocsps, crls, certs) -> {
try {
v.addVerification(key, ocsps, crls, certs);
} catch (IOException | GeneralSecurityException e) {
e.printStackTrace();
}
},
moreToCheck::put
);
}
}
void addLtvForChain(X509Certificate certificate, OcspClient ocspClient, CrlClient crlClient, VriAdder vriAdder,
BiConsumer<PdfName, X509Certificate> moreSignersAndCertificates) throws GeneralSecurityException, IOException, StreamParsingException, OperatorCreationException, OCSPException {
List<byte[]> ocspResponses = new ArrayList<>();
List<byte[]> crls = new ArrayList<>();
List<byte[]> certs = new ArrayList<>();
while (certificate != null) {
System.out.println(certificate.getSubjectX500Principal().getName());
X509Certificate issuer = getIssuerCertificate(certificate);
certs.add(certificate.getEncoded());
byte[] ocspResponse = ocspClient.getEncoded(certificate, issuer, null);
if (ocspResponse != null) {
System.out.println("  with OCSP response");
ocspResponses.add(ocspResponse);
X509Certificate ocspSigner = getOcspSignerCertificate(ocspResponse);
if (ocspSigner != null) {
System.out.printf("  signed by %sn", ocspSigner.getSubjectX500Principal().getName());
}
moreSignersAndCertificates.accept(getOcspSignatureKey(ocspResponse), ocspSigner);
} else {
Collection<byte[]> crl = crlClient.getEncoded(certificate, null);
if (crl != null && !crl.isEmpty()) {
System.out.printf("  with %s CRLsn", crl.size());
crls.addAll(crl);
for (byte[] crlBytes : crl) {
moreSignersAndCertificates.accept(getCrlSignatureKey(crlBytes), null);
}
}
}
certificate = issuer;
}
vriAdder.accept(ocspResponses, crls, certs);
}
interface VriAdder {
void accept(Collection<byte[]> ocsps, Collection<byte[]> crls, Collection<byte[]> certs);
}

(MakeLtvEnabled asmakeLtvEnabledV2)

示例用法

对于INPUT_PDF的签名PDF和RESULT_STREAM的结果输出流，您可以使用上面的方法，如下所示：

PdfReader pdfReader = new PdfReader(INPUT_PDF);
PdfStamper pdfStamper = new PdfStamper(pdfReader, RESULT_STREAM, (char)0, true);
OcspClient ocsp = new OcspClientBouncyCastle();
CrlClient crl = new CrlClientOnline();
makeLtvEnabledV2(pdfStamper, ocsp, crl);
pdfStamper.close();

(MakeLtvEnabled测试方法testV2)

限制

上述方法仅在一些简化限制下有效，特别是：

  • 签名时间戳被忽略
  • 假定检索到的CRL是直接和完整的
  • 假设完整的证书链可以使用AIA条目来构建

如果您不能接受这些限制，您可以相应地改进代码。

使用自己的实用程序类的方法

为了避免不得不修补iText类，这种方法从上面的方法中获取所需的代码，从iText的签名API中获取LtvVerification类，并将所有代码合并到一个新的实用程序类中。此类可以LTV启用文档，而不需要修补的iText版本。

AdobeLtvEnabling类

这个类将上面的代码和一些LtvVerification代码组合成一个用于LTV启用文档的实用程序类。

不幸的是，在这里复制它会使消息大小超过堆栈溢出的30000个字符限制。不过，您可以从github检索代码：

AdobeLtvEnabling.java

示例用法

对于INPUT_PDF的签名PDF和RESULT_STREAM的结果输出流，您可以使用上面的类，如下所示：

PdfReader pdfReader = new PdfReader(INPUT_PDF);
PdfStamper pdfStamper = new PdfStamper(pdfReader, RESULT_STREAM, (char)0, true);
AdobeLtvEnabling adobeLtvEnabling = new AdobeLtvEnabling(pdfStamper);
OcspClient ocsp = new OcspClientBouncyCastle();
CrlClient crl = new CrlClientOnline();
adobeLtvEnabling.enable(ocsp, crl);
pdfStamper.close();

(MakeLtvEnabled测试方法testV3)

限制

由于这个实用程序类只是对第一种方法中的代码进行重新打包，因此也有同样的限制。

幕后

如开头所述，Adobe告诉我们关于"LTV enabled">签名配置文件的所有信息都是

启用LTV意味着验证文件所需的所有信息(减去根证书)都包含在中

但他们没有告诉我们他们希望信息嵌入文件的确切方式。

起初，我只是收集了所有这些信息，并确保将其添加到PDF的适用文档安全存储字典中(证书、OCSP和CRL)。

但是，即使验证文件所需的所有信息(减去根证书)都包含在中，Adobe Acrobat也不认为该文件"启用了LTV"。

然后，我使用Adobe Acrobat启用了LTV文档，并分析了差异。事实证明，以下额外数据也是必要的(但请参阅下面的PPS)：

  1. 对于每个OCSP响应的签名，Adobe Acrobat需要相应的VRI字典。在OP的示例PDF中，该VRI字典根本不需要包含任何证书、CRL或OCSP响应，但需要有VRI字典。

    相比之下，这对于CRL的签名来说是不必要的。这看起来有点武断。

    根据ISO 32000-2和ETSI EN 319 142-1的规范，这些VRI字典的使用纯属可选。对于PAdES基线签名，甚至有人建议不要使用VRI字典！

  2. Adobe Acrobat希望VRI词典中的每一个都包含一个TU条目，记录相应VRT字典的创建时间。(可能TS也可以，我还没有测试过)。

    根据ISO 32000-2和ETSI EN 319 142-1的规范，这些TU条目的使用纯属可选。对于PAdES签名，甚至建议使用TU或TS条目来反对！

因此，应用程序根据PDF规范添加的默认LTV信息不会导致Adobe Acrobat报告的"启用LTV"签名，这并不奇怪。

PS

显然，我必须在Adobe Acrobat中添加对某些证书的信任，才能让它考虑到OP文档"LTV enabled"的上述代码的结果。我选择了根证书"CA RAIZ NACIONAL-COSTA RICA v2"。

PPS(2020-03-02)

显然，与此同时，Adobe Acrobat在测试LTV启用状态时，不再需要VRI字典(更不用说TU时间戳)来考虑DSS中的吊销信息，请参阅本答案的"DSS中的可选元素"一节。

因此，上述解决方案很可能会有所简化。

相关内容

  • 没有找到相关文章

最新更新


热门标签：

javascript python java c# php android html jquery c++ css ios sql mysql arrays asp.net json python-3.x ruby-on-rails .net sql-server django objective-c excel regex ruby linux ajax iphone xml vba spring asp.net-mvc database wordpress string postgresql wpf windows xcode bash git oracle list vb.net multithreading eclipse algorithm macos powershell visual-studio image forms numpy scala function api selenium