问题标签 [signing]

我在不安全的网络上有一个需要授权的 Web 服务。

我希望通过 HTTP 而不是 HTTPS 来实现它，同时避免中间人攻击和嗅探攻击。我只需要一个用于客户端和服务器的密钥。

客户端调用一个服务端函数，服务端可以验证这个客户端是否正确，并且可以返回一个响应，这个响应需要签名而不是加密。

我对如何实现这一点有一个粗略的想法，并举个例子：

我知道这种方法很粗暴，还有其他方法吗？

具体来说，我希望在 Java 中做到这一点。

我正在使用一些 Java 代码对数据包进行签名，并且我想验证 C 服务器上的签名。我想为此目的分叉 openssl（以后可以随时使用库函数......当我知道 openssl 可以验证签名时）；但是，它没有这样做：

• 它只说“无法加载密钥文件”

证书上写着：

但是，我特别不关心验证证书，我只想验证给定文件的签名！

的输出openssl x509 -in cert.pem -noout -text是：

我正在尝试签署一些 X509 证书。我的根私钥是 ECDSA secp384r1。我正在使用充气城堡。似乎发生的情况是，在生成证书签名时，使用的 Signature 类无法理解我的 ECDSA 密钥。

生成的代码如下：

输出是：

通过阅读 bouncycastle 源代码，我跟踪了这​​个问题并使用以下代码片段重现它：

产生输出：

问题是我在这一点上完全迷失了。我不知道如何让证书生成器给我一个签名证书。有谁知道我做错了什么？

我有一些变量必须存储在客户端。像往常一样，客户端的任何东西都可以被篡改。我想签署一些变量并在数据发送回服务器时对其进行验证。目前我认为它们是 5 个 64 位变量。

在服务器上，我想对这 5 个变量进行签名，然后确保在客户端发回签名时签名有效。我如何使用 C# .NET 做到这一点？

-edit- 在这种情况下，我没有使用 asp.net

我做什么：通过 VS 或 msbuild（随便）发布 .Net 3.5 应用程序，现在我需要插入到已发布应用程序的单独目录中（模块 - 未作为对项目的引用添加 - 我们的项目架构不允许这样做） . 所以我将文件夹复制到发布的位置，然后运行 ​​magUI.exe 选择应用程序清单，然后问题就开始了。当我按下填充按钮时，它还会添加隐藏目录吗？所以我删除了目录，在我想保存清单文件后，我得到“警告 MSB3110：程序集 'NAME.Shell.application.deploy' 的身份不匹配 'NAME.Shell.application'，预期的文件名：'NAME.Shell .application.application'”。

您是否有同样的问题，根据http://smartclient.codeplex.com/Project/Download/FileDownload.aspx?DownloadId=5060它应该像 1-2-3 一样容易，但事实并非如此。

我正在 CodePlex 上发布一个开源库，并希望 dll 文件具有强名称，以便可以将它们添加到 GAC。

签约的最佳选择是什么？

我应该使用 SNK 吗？如果是这样，每个人都可以访问密钥。我对每个人都可以访问没有问题，但这是一个好方法吗？

我应该使用 PFX 吗？如果是这样，是否意味着其他下载源代码的人无法构建解决方案？

我喜欢做的是我是唯一一个可以访问密钥的人，这样签名的程序集也有一定程度的真实性，但同时不要阻止其他开发人员下载、构建或更改源代码为自己，并能够发布主项目的更改。

我已经为一个android项目制作了一个签名的apk。每当我的客户尝试在模拟器上运行它时，他都会遇到以下错误消息：

分辨率是多少？

我有一个程序可以通过使用 Microsoft 可扩展性框架的插件进行扩展。但我不希望不受信任的来源提供可能不安全的插件。所以我想对插件进行签名（可能使用 Visual Studio 的内置签名）并在程序启动时检查插件是否值得信赖。

我没有找到从 C# 内部检查 DLL 签名的方法。还有一个问题，我用 DirectoryCatalog 加载插件。无法判断哪个插件来自哪个文件。有人知道这样做的方法吗？

感谢您的帮助，马克斯

我正在开发一个电子银行 iphone 应用程序。
我正在使用带有 XML 签名的 WSS 来签署对客户 SOAP 服务器的请求。
由于无法信任 iPhone 设备（由于越狱），客户要求在将密钥存储到钥匙串之前手动加密 RSA 密钥对（使用 AES128）。

从我目前发现的情况来看，密钥在生成时会自动添加到钥匙串中。
所以我的想法是之后提取数据（与 CryptoExercise 示例中提取公钥的方式相同），从钥匙串中删除钥匙，进行 AES 加密并将其作为自定义 NSData 再次存储到钥匙串中。

1）你觉得这有什么问题吗？
我在某处读到检索数据或删除密钥可能需要某种密码，尽管我没有得到什么密码。我将在今天晚些时候尝试此操作，如果在此期间没有发布答案，我将发布答案:)

2）如果没有在代码中实施更多黑客攻击，我找不到是否有任何方法可以使用此密钥？
它看起来像 SecKeyRawSign 方法只接受一个 SecKeyRef 引用，它是指向钥匙串中的密钥的指针。是否有其他使用密钥的 NSData 进行签名的方法？
我目前唯一的想法是在签名前使用 SecItemAdd 方法将未加密的密钥添加到钥匙串中，并在签名后将其删除。但我不喜欢这样，因为它会一直发生，如果应用程序在从钥匙串中移除之前关闭（崩溃或其他情况），它将一直保留在那里，直到下一次启动应用程序。

有更好的解决方案的想法吗？

问候

我正在尝试使用 SecKeyRawSign 对一些数据进行签名，但我不断收到 -4 errSecUnimplemented。这似乎很奇怪，因为文档指出它在 iPhone OS2.0 及更高版本中可用。

有没有人可以使用这个功能？如果是这样，是否涉及任何技巧？

〜内特