Веб-сервисы с поддержкой ЭЦП на базе криптографии ГОСТ / Хабр

Анализ исходных данных

C MB 3: использование портала CMB-3 для скачивания

Знание различий между подписью CMEA 3 и CMEA 2 становится интересным, если мы уже знакомы с тем, как генерировать XMLDSig или подписывать конверты сообщения CMEA 2.

Открываем пример конверта СМЭВ 3 SendRequestRequestNoAttach.xml

Дополнительные библиотеки java

Нам понадобится библиотека iscjccp.jar (исходники).

Для взаимодействия с JCP из Cache он содержит вспомогательные классы. Вам также потребуются следующие три библиотеки с открытым исходным кодом:

Известен как безопасность XML)

. Использование лицензий в Российской Федерации регулируется лицензией

Установите четыре перечисленных библиотеки из архива Jars.zip в папку Jrelibext.

Для Windows 7 необходимо предоставить группе «Everyone» разрешение на чтение и выполнение каждой библиотеки в папке jrelibext.

Интеграция «инфотекс» в liberica jdk

Это функция библиотеки jcrypto компании Infotex, доступ к которой разработчики могут получить по запросу. Она использует метод irafx: HostServices().

Для интеграции тестового приложения необходимо внести в него следующие изменения:

Внесение этого изменения, вы сможете использовать Apache Maven для сбора проекта и выполнения вашей работы как обычно.

Импортируем провайдера:

Мы записываем это:

Интеграция «криптопро» в liberica jdk

Разработчики, запросившие его, получили комплект поставки, включающий библиотеку с зависимостями и документацию. В этом разделе мы поговорим об алгоритме шифрования текстовых сообщений ГОСТ 28147-89.

Импортируем провайдера в класс:

Регистрируем провайдера:

Java API будет включать новые алгоритмы, к которым можно получить доступ с использованием Java APK по умолчанию.

Криптография на российском рынке java™

Стандартные сборки JavaTM, одной из лучших платформ для создания приложений на стороне сервера, обычно включают широкий спектр криптографических инструментов и алгоритмов. Наряду с JDK они поддерживаются, обновляются и работают параллельно.

Настройка и запуск java gateway, создание проекций классов

Java Gateway должен быть настроен и запущен, чтобы кэш/ансамбль вызовал классы Java.

В таблице настроек шлюза Java есть новая запись.

insert into %Net_Remote.ObjectGateway(Name, Type, Server, Port, JavaHome) values (‘JCPGate’, ‘1’, ‘127.0.0.1’, ‘55555’, ‘C:Program FilesJavajdk1.6.0_20jre’)

Имя нового шлюза Java Gatesway, «JCPGate», вводится в поле Name. В поле JavaHome необходимо ввести путь к JRE, для которой был установлен jCP. TCP-порт Java-шлюза для связи с Cachet указывается в поле Port.

Теперь вы можете запустить Java Gateway, введя в терминале Cache следующую команду:

write ##class(%Net.Remote.Service).StartGateway(«JCPGate»)

Вызовите метод StopGateway, чтобы завершить его работу:

write ##class(%Net.Remote.Service).StopGateway(«JCPGate»)

Java Gateway можно запустить и остановить где угодно.

Мы создадим проекцию для ISA-класса jcP в области, где разрабатываются веб-сервисы и создаются сайты с помощью Java-класса isc.jccpFacade:

do ##class(%Net.Remote.Java.JavaGateway).%ExpressImport(«isc.jcp.JcpFacade», «55555»)

Номер TCP-порта, используемый здесь для связи с Java-шлюзом, равен 55555. Когда мы добавляли запись в таблицу %Net_Remote, мы указали этот порт. ObjectGateway

Подготовка к подписи по правилам смэв 3

Поначалу ни криптоПро, ни криптографические алгоритмы ГОСТ не были знакомы Apache Santuario.

Только поддержка иностранных криптографических алгоритмов присутствует в файле orgapachexmlsec-1.5.1.0 (XML).

Вы должны инициализировать его, чтобы он распознал ГОСТы и использовал их в вашей практике.

В старом стиле это делается следующим образом:

//APACHE-SANTUARIO INIT WITH CryptoPro JCP
        System.setProperty("org.apache.xml.security.resource.config", "resource/jcp.xml");
        org.apache.xml.security.Init.init();
        String cfile1 = System.getProperty("org.apache.xml.security.resource.config");
        LOGGER.log(Level.INFO, "Init class URL: "   org.apache.xml.security.Init.class.getProtectionDomain().getCodeSource().getLocation());
        LOGGER.log(Level.INFO, cfile1);

Одна строка появится в новой версии КриптоПро:

ru.CryptoPro.JCPxml.xmldsig.JCPXMLDSigInit.init();

Теперь Apache Santuario необходимо проинструктировать пользователей о новых правилах преобразования, предписанных SMEW 3. Для этого зарегистрируйте класс преобразования:

  try {
                Transform.register(SmevTransformSpi.ALGORITHM_URN, SmevTransformSpi.class.getName());
                santuarioIgnoreLineBreaks(true);
                LOGGER.log(Level.INFO, "SmevTransformSpi has been initialized");
            } catch (AlgorithmAlreadyRegisteredException e) {
                LOGGER.log(Level.INFO, "SmevTransformSpi Algorithm already registered: "   e.getMessage());
            } 

Далее мы выполняем следующий этап Методических указаний:

Текстовые узлы, включая перевод строки, не допускаются между элементами в структуре подписи XML.

santuarioIgnoreLineBreaks(true);

    private static final String IGNORE_LINE_BREAKS_FIELD = "ignoreLineBreaks";

/**
     * Apache Santuario privileged switch IgnoreLineBreaks property
     * 
     * @param mode
     */
    private void santuarioIgnoreLineBreaks(Boolean mode) {
        try {
            Boolean currMode = mode;
            AccessController.doPrivileged(new PrivilegedExceptionAction<Boolean>() {
                
                public Boolean run() throws Exception {
                    Field f = XMLUtils.class.getDeclaredField(IGNORE_LINE_BREAKS_FIELD);
                    f.setAccessible(true);
                    f.set(null, currMode);
                    return false;
                }
            });
            
        } catch (Exception e) {
            LOGGER.warning("santuarioIgnoreLineBreaks "   ExceptionUtils.getFullStackTrace(e));
        }
    }

Делается это в привилегированном блоке AccessController.doPrivileged

и через reflection, из-за особенности реализации свойства ignoreLineBreaks в Santuario.

Простое изменение свойства системы будет настроить свойство системы.

System.setProperty("org.apache.xml.security.ignoreLineBreaks", "true");

Не работает.

Как настроить опцию JVM:

-Dcom.sun.org.apache.xml.internal.security.ignoreLineBreaks=true

работает.

Если вы изучите код org.apache,xml.security-utils. Вы можете увидеть, что поле возникает в блоке, отличном от блока системы «Organic Apache», если посмотрите на привилегированный блок свойства системы «General LaneBreaks» в классе XMLUtils.

private static boolean ignoreLineBreaks =
        AccessController.doPrivileged(new PrivilegedAction<Boolean>() {
            public Boolean run() {
                return Boolean.valueOf(Boolean.getBoolean
                    ("org.apache.xml.security.ignoreLineBreaks"));
            }
        }).booleanValue();
public static boolean ignoreLineBreaks() {
        return ignoreLineBreaks;
    }

Процесс Java не может быть гибко настроен на игнорирование перевода строк для некоторых методов и при этом не игнорировать его для других методов, использующих этот метод.

Перевод строк не будет применен ко всем выходным документам, если одно приложение выполняет подписи XMLDSIG, SMEV 2, и CMEV 3.

Однако эта характеристика поднимает вопрос о Сантуарио апачей.

Подпись сообщений смэв 3

Документы SMEV 3 готовятся к подписанию.

Код подписи выглядит следующим образом:

Порядок подключения библиотек российской криптографии

Для подключения библиотек, отвечающих требованиям российского рынка, необходимо предпринять следующие действия:

Рассмотрим примеры интеграции библиотек.

Проблемы. хэш не совпадает

Внимание!

Для отладки был использован исполняемый файл SendRequestNoAttitude.xml.

Метод подписи и преобразование SmevTransformSpi из Методических указаний были разработаны S MEW 3.

ЭП-ОВ не подтверждена: Ошибка проверки ЭП: Нарушена целостность ЭП

Почему

Не совпадал оригиналом.

X Mleventwriter был добавлен в метод SMEVTRANSFORMSPI, чтобы помочь выявить причины.

ByteArrayOutputStream baos = new ByteArrayOutputStream();
XMLEventWriter bdst =
outputFactory.get().createXMLEventWriter(baos, ENCODING_UTF_8); 

Анализировать каждую стадию трансформации параллельно.

Вот так появился нормализованный элемент XML.

Тот факт, что решение может быть найдено, доказывает, что оно существовало изначально.

Его хэш будет отличаться, и нормализованный документ может иметь другой вид.

Во-вторых, он предоставил ссылку на более старую версию GitHub.

Новый нормализованный документ был произведен обновленным классом преобразования:

Его хэш начал совпадать, и его подпись была успешно подтверждена.

Класс SmevTransformSpi был модифицирован, и сравнение двух версий показывает, что он теперь включает дополнительные функции протоколирования и диагностики.

if (logger.isDebugEnabled()) {
                debugStream = new DebugOutputStream(argDst);
                dst = outputFactory.get().createXMLEventWriter(debugStream, ENCODING_UTF_8);
            } else {
                dst = outputFactory.get().createXMLEventWriter(argDst, ENCODING_UTF_8);
            }

В школьном задании есть опечатка или неправильная линия.

Нет линии:

prefixMappingStack.pop();

Эта кнопка удаляет первый элемент из стека префикса.

  Stack<List<Namespace>> prefixMappingStack = new Stack<List<Namespace>>();

В результате SmevTransformSpi не смог работать должным образом.

Обновленная версия SmevTransformSpi.java содержит эту строку.

Проверка подписи сообщения смэв 3

Код проверки подписи выглядит следующим образом:

Проверка эцп во входящих soap-сообщениях

Скачать и распаковать файл

Из исходного кода smev. Импортируйте класс MIX с помощью классов JcpUtils и JCPSignature

Придурок

Перейдя сначала в область разработки интернет-служб в Cache, вы можете запускать веб-службы с помощью Studio. Указав TCP-порт или IP-адрес используемого шлюза Java, вы можете изменить значения параметров JAVAGATEWAPORT и javaGateway. соберите класс.

В настоящее время для внедрения метода достаточно проверки ЭЦП, чтобы дополнить текущий веб-сервис:

Method OnPreSOAP(mode As %String, action As %String, request)
{
  do ##super(mode, action, request)

  #dim stream As %Stream.Object = request

  if '$isObject(stream)
  {
    // на случай MIME attachments
    #dim index As %Integer = %request.NextMimeData("")
    set stream = $select(index="":"", 1:%request.GetMimeData(index))
  }

  if $isObject(stream)
  {
  #dim fault As %SOAP.Fault = ##class(smev.JcpUtils).verifySignatureOnPreSoap(stream)
    if $isObject(fault) set ..SoapFault = fault
  }
}

С 2009 года Cache/Ensemble работает в этой версии. В этом примере мы продемонстрировали веб-службу, которая проверяет подписи всех входящих SOAP-сообщений.

Размещение секретного ключа и сертификата на виртуальной дискете на сервере системы

Для создания такой дискеты необходимо выполнить следующие действия:

1. Установите драйвер, имитирующий FDD-диски, например ImDisk.
2. Запустите программу установки «ImDisk Virtual Disk Driver» из панели управления Windows и настройте диск со следующими параметрами:
3. Отформатируйте виртуальный диск, установив файловую систему FAT.
4. Распакуйте содержимое архива FDD.zip на диск A:.

В результате описанных манипуляций на диске A: сервера имеем хранилище ключей, содержащее тестовый секретный ключ. Файл A:SelfSigned.cer представляет собой тестовый сертификат, соответствующий секретному ключу.

С помощью КриптоПро вы можете создавать ключи и сертификаты. В документации к продукту есть описание этих шагов.

Результаты

Конверты с SMEW 3 были успешно подписаны.

Просмотр сообщений на портале электронного правительства

В приложении:

Совместимость java криптопро java csp и delphi capicom

Тестирование веб-сервиса

Чтобы тест можно было использовать для тестирования ЭЦП. Воспользуемся веб-сервисом TestService (пример кода которого приведен выше).

Установка криптопро jcp на windows

Сначала установите лицензионный ключ на системном сервере.

(JRE) версии не ниже 1.6.

Запустите сценарий install.bat, который находится в папке lib дистрибутива КриптоПро, после того как скачаете его с сайта производителя и разархивируете в папку на сервере. Вы должны указать путь к JR при запуске JRE:

install.bat «C:Program FilesJavajdk1.6.0_20jre»

При запуске скрипта отображается серийный номер и название компании, если есть лицензия:

install.bat «C:Program FilesJavajdk1.6.0_20jre» XXXXX-XXXXX-XXXXX-XXXXX-XXXXX «Your Company»

Сценарий программы установки должен быть выполнен от имени администратора в Windows 7. Убедитесь, что файлы jrelibext были сохранены и находятся на сервере JRRELEBEXT после запуска скрипта.

Формирование эцп

Ранее загруженный файл

с исходным кодом Caché Object Script содержал класс

Смэв. ЖцпСигнатуре

. Чтобы создать этот класс, используйте Studio.

Выберите SMEV. Отредактируйте значение параметра CertFilename в классе JCputils в студии, чтобы отразить полный путь к файлу сертификата: «A»: Self -подписание; Cer.«Этот сертификат относится к секретному ключу, который будет использоваться для создания EDS», — говорится в нем. Поместите группу.

Теперь функция генерации ЭЦП должна быть добавлена в метод веб-службы путем добавления строки следующего содержания:

do ..SecurityOut.AddElement(##class(smev.JcpSignature).%New())

Формирование эцп для исходящих soap-сообщений веб-сервиса

В этой статье мы рассмотрим ситуации, когда ЭЦП организации должна подписывать каждый ответ веб-службы. В этом случае секретный ключ, используемый для создания подписи, хранится в репозитории на сервере системы. Также требуется сертификат соответствия этого ключа.

Заключение

С помощью лицензированных криптопровайдеров и Liberica JDK вы можете реализовывать Java-проекты, одновременно обеспечивая безопасность своих приложений и приводя их к стандартам безопасности Российской Федерации.

Мы поговорим об использовании Liberica JDK Librecat Bundle библиотек криптопровадера в качестве более эффективного и практического метода защиты данных в следующей статье в серии о шифровании в продуктах Bellsoft.

Оставьте заявку, если вам нужна помощь в выборе криптопровайдера или интеграции его в среду исполнения JavaTM.

Свяжитесь с нами