9

我已经测试了一个验证 ECDSA 签名的解决方案（如何从 EC 公钥字节中获取 PublicKey 对象？），它与给定的数据完美配合。

这是数据：

byte[] pubKey = DatatypeConverter.parseHexBinary("049a55ad1e210cd113457ccd3465b930c9e7ade5e760ef64b63142dad43a308ed08e2d85632e8ff0322d3c7fda14409eafdc4c5b8ee0882fe885c92e3789c36a7a");
byte[] message = DatatypeConverter.parseHexBinary("54686973206973206a75737420736f6d6520706f696e746c6573732064756d6d7920737472696e672e205468616e6b7320616e7977617920666f722074616b696e67207468652074696d6520746f206465636f6465206974203b2d29");
byte[] signature = DatatypeConverter.parseHexBinary("304402205fef461a4714a18a5ca6dce6d5ab8604f09f3899313a28ab430eb9860f8be9d602203c8d36446be85383af3f2e8630f40c4172543322b5e8973e03fff2309755e654");

这是代码（打印true）：

private static boolean isValidSignature(byte[] pubKey, byte[] message,byte[] signature) throws NoSuchAlgorithmException, NoSuchProviderException, InvalidKeyException, SignatureException, InvalidKeySpecException {
    Signature ecdsaVerify = Signature.getInstance("SHA256withECDSA", new BouncyCastleProvider());
    ecdsaVerify.initVerify(getPublicKeyFromBytes(pubKey));
    ecdsaVerify.update(message);
    return ecdsaVerify.verify(signature);
}

private static PublicKey getPublicKeyFromBytes(byte[] pubKey) throws NoSuchAlgorithmException, InvalidKeySpecException {
    ECNamedCurveParameterSpec spec = ECNamedCurveTable.getParameterSpec("prime256v1");
    KeyFactory kf = KeyFactory.getInstance("ECDSA", new BouncyCastleProvider());
    ECNamedCurveSpec params = new ECNamedCurveSpec("prime256v1", spec.getCurve(), spec.getG(), spec.getN());
    ECPoint point =  ECPointUtil.decodePoint(params.getCurve(), pubKey);
    ECPublicKeySpec pubKeySpec = new ECPublicKeySpec(point, params);
    ECPublicKey pk = (ECPublicKey) kf.generatePublic(pubKeySpec);
    return pk;
}

public static void main (String[] args) {
    System.out.println(isValidSignature(pubKey, message, signature));
}

当我将签名和数据更改为来自已实现系统的示例输入时，我的问题就出现了：

final static byte[] pubKey = DatatypeConverter.parseHexBinary("0447303876C6FED5550DF3EE1136989FCD87293D54A5D8E2F2F6D7FBE9A81089B889A5917443AF33E696178CEF4C9D6A4288B2745B29AF6C8BCAD1348F78EB9F9B");
final static byte[] message = DatatypeConverter.parseHexBinary("02158001f53611a06e2d1a270000013ed9305dc2780524015110500000002d0100140092569202017aa00c5dd30000000000000000000000000000000007d1000001020001b20788b80059f48d95cdefc8c6000200200030d41e0000012016840310a50733a9870fffd0430100");
final static byte[] signature = DatatypeConverter.parseHexBinary("531F8918FF250132959B01F7F56FDFD9E6CA3EC2144E12A6DA37C281489A3D96");

新数据输出此错误：

java.security.SignatureException: error decoding signature bytes.
    at org.bouncycastle.jcajce.provider.asymmetric.util.DSABase.engineVerify(Unknown Source)
    at java.security.Signature$Delegate.engineVerify(Signature.java:1178)
    at java.security.Signature.verify(Signature.java:612)
    at its.sec.exec.TestProgram.isValidSignature(TestProgram.java:168)
    at its.sec.exec.TestProgram.execution(TestProgram.java:101)
    at its.sec.exec.TestProgram.main(TestProgram.java:55)

我认为问题在于安全消息附带的签名，因为：

  • 密钥对的长度和格式与示例相同。并且是正确的，因为它来自签署消息的证书。
  • 消息本身（有效负载）不应影响安全过程。

最后值得一提的是，我的文档说签名之前必须有一个名为“R”的字段，该字段“包含由生成器元素乘以临时私钥得到的椭圆曲线点的 x 坐标”，其长度必须是与签名相同（32 字节）。

有人可以指出我在这里缺少什么吗？

编辑：解决方案

正如 Peter Dettman 在他的回答中指出的那样，该方法的signature格式不正确（内容也不正确）以便通过该verify()方法进行计算。这是一个很好的解释，主要是说：

在 DER 中编码时，此（签名）变为以下字节序列：

0x30 b1 0x02 b2 (vr) 0x02 b3 (vs)

在哪里：

  • b1 是一个单字节值，等于剩余字节列表的长度（以字节为单位）（从第一个 0x02 到编码结束）；
  • b2 是一个单字节值，等于 (vr) 的长度，以字节为单位；
  • b3 是一个单字节值，等于 (vs) 的长度，以字节为单位；
  • (vr) 是最小长度的值“r”的有符号大端编码；
  • (vs) 是最小长度的值“s”的有符号大端编码。

应用该更改，signature增长到 70 个字节，并且执行没有错误输出。

4

2 回答 2

10

BC（和其他提供者）实现使用的预期 ECDSA 签名格式是 DER 编码的 ASN.1 序列，其中包含两个整数值r和s. 此签名格式已在 ANSI X9.62 中指定。这是您提供的第一组数据中的格式（请注意，signature总共 70 个字节）。

在第二组数据中，signature只有 32 个字节，根本不是 ASN.1 序列。我猜这个值只是s值，它缺少r值和它们的 ASN.1 INTEGER 编码，而是将值编码为与键大小相同的无符号大整数值。

于 2015-05-15T10:00:54.453 回答
4

这是以 ASN1 DER 编码格式编写 r 和 s 的示例代码

    // construct the ASN1Sequence with r and s
    ByteArrayOutputStream outs = new ByteArrayOutputStream();

    byte radd = (byte)(((signed[0] & 0x80) > 0) ? 1 : 0);
    byte sadd = (byte)(((signed[32] & 0x80) > 0) ? 1 : 0);

    byte length = (byte)(0x44 + radd + sadd);

    outs.write(0x30);
    outs.write(length); // length 68 bytes +
    outs.write(0x02); // ASN1Integer
    outs.write(0x20 + radd); // length 32 bytes
    if(radd > 0)
        outs.write(0x00); // positive val
    outs.write(signed, 0, 32);
    outs.write(0x02); // ASN1Integer
    outs.write(0x20 + sadd); // length 32 bytes
    if(sadd > 0)
        outs.write(0x00); // positive val
    outs.write(signed, 32, 32);

    signed = outs.toByteArray();
于 2018-12-15T15:38:53.423 回答