SSL SSL có thể được sử dụng để ký các tệp kỹ thuật số không?

Question

Tôi muốn hỏi một điều về ký kết kỹ thuật số Tôi không chắc lắm. Thay vì tạo chứng chỉ tự ký để sử dụng để ký một số tệp (PDF), tôi muốn lấy chứng chỉ SSL có dữ liệu của tôi đã được xác minh.

Nhưng câu hỏi đặt ra là: Chứng chỉ SSL có thể được sử dụng để ký các tệp kỹ thuật số hoặc không tương thích theo một cách nào đó không?

EDIT: Để làm rõ, câu hỏi này không phải là về cách ký các tệp PDF, chỉ là về việc có thể sử dụng chứng chỉ SSL (hoặc chuyển đổi theo bất kỳ cách nào) để ký tệp hay không.

Answer 1

Để hỗ trợ chứng chỉ ký kỹ thuật số phải có tùy chọn digitalSignature trong trường keyUsage (và codeSigning tùy chọn này trong trường extendedKeyUsage nếu bạn muốn ký chương trình với nó).

ký có thể được thực hiện với các công cụ hiện có hoặc bằng tay (java Ví dụ, bạn không đòi hỏi điều đó, nhưng đoạn mã này có thể có ích anyway):

byte[] bytesToSign = loadMyData(); 
KeyStore ks = KeyStore.getInstance("pkcs12", "SunJSSE"); 
ks.load(new FileInputStream("cert.p12"), "passwd1".toCharArray()); 
PrivateKey privateKey = (PrivateKey) ks.getKey("myalias", "passwd2".toCharArray()); 
Signature sig = Signature.getInstance("SHA1withRSA", ks.getProvider()); 
sig.initSign(privateKey); 
sig.update(bytesToSign); 
byte[] signature = sig.sign(); 

Để làm giấy chứng nhận không tự ký của riêng bạn với openssl xem this SO answer.

Cũng tò mò về việc ký PDF - không phải là số tiền băm riêng biệt của những tệp này đủ trong trường hợp của bạn?

chỉnh sửa: nếu bạn muốn bất kỳ dấu hiệu nào, không chính xác X.509 ký bằng công cụ hiện có, bạn có thể trích xuất khóa RSA từ cert của mình và ký mà không làm phiền về trường keyUsage.

Answer 2

Tại điểm cốt lõi, chứng chỉ chỉ là khóa công cộng RSA thông thường được một số cơ quan có thẩm quyền ký.

Vì vậy, có, chắc chắn có thể.

Mặc dù tôi không biết bất kỳ công cụ phổ biến nào dễ sử dụng cho người dùng cuối cho việc này.

Answer 3

Vâng, bạn có thể đăng và xác minh chữ ký các tập tin sử dụng giấy chứng nhận SSL

Dưới đây là một ví dụ:

SSLCERT='/XXXX/ssl/certs/fqdn.pem' 
SSLKEY='/XXXX/ssl/private_keys/fqdn.pem' 
# You might not need to specify a CA 
CACERTFILE='/XXXX/ssl/certs/ca.pem' 
# File to sign 
FILE='YYYYYYY' 

# Signs, needs ${SSLKEY} and ${FILE} 
openssl dgst -sha512 -sign ${SSLKEY} -out ${FILE}.sha512 ${FILE} 

# Then transfer the following files to another server: 
# - ${CACERTFILE} 
# - ${SSLCERT} 
# - ${FILE} 
# - ${FILE}.sha512 

# Check the certificate is valid 
openssl verify -verbose -CAfile ${CACERTFILE} ${SSLCERT} 
# Extract the pub key from the cert 
openssl x509 -in ${SSLCERT} -pubkey -noout > ${SSLCERT}.pub 
# Check the signature 
openssl dgst -sha512 -verify ${SSLCERT}.pub -signature ${FILE}.sha512 ${FILE}