XMLSignatureValidator  - AS3

Etat de validité de la signature cryptographique calculée sur l’élément de signature SignedInfo.

Le statut est :

• valid : si la signature est valide au niveau cryptographique.
• invalid : si la méthode digest a été modifiée après la signature.
• unknown : si la méthode verify() n’a pas été appelée.

Remarque : si digestStatus est invalid, les états identityStatus et referencesStatus ne sont pas vérifiés et sont indiqués comme unknown.

Etat de validité du certificat de signature.

Les états possibles sont les suivants :

• valid : le certificat n’a pas expiré, la vérification de la révocation a été effectuée correctement et il est lié à un certificat racine approuvé.
• unknown : le certificat n’a pas expiré, la vérification de la révocation a été effectuée correctement, mais il n’est pas lié à un certificat racine approuvé. Le statut unknown est également signalé lorsqu’il n’a pas été vérifié, soit parce que la méthode verify() n’a pas été appelée, soit parce que la signature cryptographique de l’élément SignedInfo (digestStatus) n’est pas valide.
• invalid : le certificat a expiré ou la vérification de la révocation a échoué.

Les certificats ajoutés à l’aide de la méthode addCertificate(), ainsi que les paramètres des propriétés revocationCheckSetting et useSystemTrustStore peuvent changer lorsqu’un certificat est considéré comme étant valide.

Remarque : si identifyStatus est invalid, l’état referenceStatus n’est pas vérifié et est indiqué comme unknown. En outre, les références ne sont pas vérifiées si l’état identityStatus est unknown, à moins que la propriété referencesValidationSetting soit définie sur validOrUnknownIdentity.

Eléments de l’API associés

 import flash.security.XMLSignatureValidator;
 
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var identityResult:String = verifier.identityStatus;

La propriété isSupported est définie sur true si la classe XMLSignatureValidator est disponible sur la plate-forme actuelle ; dans le cas contraire, elle est définie sur false.

Validité des données de toutes les références dans l’élément de signature SignedInfo.

Les états possibles sont les suivants :

• valid : si toutes les références sont valides.
• invalid : si l’une des références n’est pas valide.
• unknown : si aucune référence n’est vérifiée. Il est possible de ne pas vérifier les références dans les cas suivants :
  • la méthode verify() n’a pas été appelée
  • la signature cryptographique de l’élément SignedInfo (digestStatus) n’est pas valide
  • le certificat de signature (identityStatus) n’est pas valide
  • la propriété referencesValidationSetting est définie sur validIdentity (paramètre par défaut) et l’état identityStatus du certificat de signature est unknown
  • la propriété referencesValidationSetting est définie sur never.

Important : les ressources externes ne sont pas vérifiées, à moins qu’elles ne soient référencées directement dans un élément SignedInfo au sein du document de signature. Les ressources externes désignées par une référence secondaire ne sont pas vérifiées. Par exemple, si une signature XML signe un élément manifest, seule l’intégrité de l’élément manifest est vérifiée. Les fichiers répertoriés dans le manifeste ne sont pas vérifiés.

Eléments de l’API associés

 import flash.security.XMLSignatureValidator;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var dataResult:String = verifier.referencesStatus;

Spécifie les conditions sous lesquelles les références sont vérifiées.

Utilisez les constantes définies dans la classe ReferencesValidationSetting pour définir cette propriété. Les paramètres sont les suivants :

• ReferencesValidationSetting.VALID_IDENTITY : vérifiez les références uniquement si le certificat de signature est valide et s’il est lié à un certificat racine approuvé. C’est la valeur par défaut.
• ReferencesValidationSetting.VALID_OR_UNKNOWN_IDENTITY : vérifiez les références si le certificat de signature est valide, même s’il n’est lié à aucun certificat racine approuvé.
• ReferencesValidationSetting.NEVER : ne vérifiez jamais les références.

Utilisez le paramètre par défaut, validIdentity, avec les signatures signées à l’aide d’un certificat commercial ou lorsque vous fournissez votre propre certificat en tant qu’ancre de confiance à l’aide de la méthode addCertificate(). Ce paramètre permet d’éviter de vérifier plusieurs fois la validité des références lorsque le document signé est rejeté.

Utilisez le paramètre validOrUnknownIdentity avec les signatures signées à l’aide de certificats auto-signés. Ce paramètre vous permet de vérifier que les données signées n’ont pas été altérées, mais il ne permet pas de vérifier l’identité du signataire.

Utilisez le paramètre never pour éviter de vérifier plusieurs fois les références lorsque cette vérification n’est pas importante dans le contexte de votre application.

Eléments de l’API associés

 import flash.security.ReferencesValidationSetting;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator(); 
 verifier.referencesValidationSetting = ReferencesValidationSetting.VALID_OR_UNKNOWN_IDENTITY;

Détermine la méthode de vérification de la révocation des certificats.

Utilisez les constantes définies dans la classe RevocationSettings pour définir cette propriété. Les paramètres sont les suivants :

• RevocationCheckSettings.NEVER : la révocation des certificats n’est pas vérifiée.
• RevocationCheckSettings.BEST_EFFORT : la révocation des certificats est vérifiée si les informations de révocation sont disponibles et s’il est possible d’obtenir le statut de révocation. S'il s'avère impossible de déterminer le statut de révocation, le certificat n'est pas rejeté.
• RevocationCheckSettings.REQUIRED_IF_AVAILABLE : si le certificat dispose d’informations de révocation, il est nécessaire de déterminer le statut de révocation pour le valider.
• RevocationCheckSettings.ALWAYS_REQUIRED : vérifie toujours la révocation des certificats. Les certificats ne disposant d’aucune information de révocation sont rejetés.

Eléments de l’API associés

Champ Nom commun du certificat de signature.

 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var commonName:String = verifier.signerCN;

Champ Nom unique du certificat de signature.

 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var distinguishedName:String = verifier.signerDN;

Tableau contenant les identificateurs d’objets de l’utilisation avancée de la clé répertoriés dans le certificat de signature.

Chaque utilisation avancée de la clé est indiquée sous forme d’identificateur d’objet numérique.

 import flash.security.XMLSignatureValidator;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var extendedKeyOIDs:Array = verifier.signerExtendedKeyUsages;

Tableau contenant les paramètres d’approbation du certificat de signature.

Les paramètres d’approbation proviennent du système et des identificateurs d’objets incorporés dans le certificat. Les constantes des chaînes représentant les paramètres d’approbation reconnus sont définies dans la classe SignerTrustSettings.

Le tableau signerTrustSettings d’un certificat unknown ou invalid est vide.

La modification du tableau ne permet pas de modifier les paramètres d’approbation du certificat.

Eléments de l’API associés

 import flash.security.XMLSignatureValidator;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var certificateTrustedFor:Array = verifier.signerTrustSettings;

Implémentation de IURIDereferencer.

Vous devez fournir une implémentation de IURIDereferencer avant de vérifier une signature.

Eléments de l’API associés

 import com.example.SignedMessageDereferencer; //A custom class implementing IURIDereferencer
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator(); 
 verifier.uriDereferencer = new SignedMessageDereferencer();

Indique que les certificats dans le magasin d’approbations du système sont utilisés pour la création de chaînes.

Si la valeur true est définie, les ancres de confiance dans le magasin d’approbations du système sont utilisées comme racines de confiance. Par défaut, le magasin d’approbations du système n’est pas utilisé.

 var verifier:XMLSignatureValidator = new XMLSignatureValidator(); 
 verifier.useSystemTrustStore = true;

Etat de validité d’une signature XML vérifiée.

La signature XML est vérifiée en validant la signature cryptographique de l’élément SignedInfo, le certificat de signature et les données transmises par les références dans l’élément SignedInfo. La validité de ces éléments est indiquée individuellement par les propriétés digestStatus, identityStatus() et referencesStatus, respectivement.

Une signature XML peut présenter un état « valid » (valide), non « invalid » (non valide) ou « unknown » (inconnu). L’état général dépend de l’état de vérification des composants individuels du fichier de signature :

• digestStatus : validité de la signature cryptographique calculée sur l’élément SignedInfo.
• identityStatus : validité du certificat de signature.
• referencesStatus : validité de la méthode digest des références dans l’élément de signature SignedInfo.

L’état de la signature indiqué par la propriété validityStatus peut être :

• valid : si les propriétés referencesStatus, digestStatus et identityStatus sont toutes valid.
• invalid : si l’un des états individuels est invalid.
• unknown : si l’un des états individuels est unknown.

Eléments de l’API associés

 import flash.security.XMLSignatureValidator;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate the signature...
  
 var validationResult:String = verifier.validityStatus;

Crée un objet XMLSignatureValidator.

Vous devez définir la propriété uriDereferencer avant d’appeler la méthode verify() du nouvel objet.

Eléments de l’API associés

 
import com.example.EnvelopedDereferencer; //Your custom IURIDereferencer implementation

//Create the object
var verifier:XMLSignatureValidator = new XMLSignatureValidator();

//Provide the IURIDerferencer
verifier.uriDereferencer = new EnvelopedDereferencer(xmlDoc);

//Set validation options
verifier.referencesValidationSetting = ReferencesValidationSetting.VALID_OR_UNKNOWN_IDENTITY;
verifier.revocationCheckSetting = RevocationCheckSettings.NEVER;
verifier.useSystemTrustStore = true;

//Add listeners to handle results
verifier.addEventListener(Event.COMPLETE, verificationComplete);
verifier.addEventListener(ErrorEvent.ERROR, verificationError);

Ajoute un certificat x509 pour la création de la chaîne.

Le certificat ajouté doit être un certificat x509 codé en DER.

Si le paramètre trusted est défini sur true, le certificat est considéré comme une ancre de confiance.

Remarque : une signature XML peut inclure des certificats permettant de créer la chaîne de certificats du signataire. Par défaut, la classe XMLSignatureValidator utilise ces certificats pour la création de chaînes, et non comme racines de confiance.

Paramètres

 import flash.utils.ByteArray;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 var certificate:ByteArray = new ByteArray();
 
 var certFile:File = new File("certificate.cer");
 var certFileStream:FileStream = new FileStream();
 certFileStream.open(certFile, FileMode.READ);
 certFileStream.readBytes(certificate, 0, certFileStream.bytesAvailable);

 verifier.addCertificate(certificate, true);

Vérifie la signature spécifiée.

La vérification est asynchrone. L’objet XMLSignatureValidator distribue un événement complete lorsque la vérification s’achève avec succès, ou si un événement error est émis lorsque la vérification s’avère impossible à cause d’erreurs.

Il est impossible d’annuler la procédure de vérification. Lorsqu’une vérification est en cours, les appels suivants à la méthode verify() échouent. Une fois la vérification en cours terminée, vous pouvez rappeler la méthode verify().

Remarque : étant donné que l’objet XMLSignatureValidator implémente uniquement un sous-ensemble de la recommandation du W3C portant sur la syntaxe et le traitement des signatures XML, toutes les signatures XML valides ne peuvent pas être vérifiées.

Paramètres

import flash.filesystem.File;
import flash.filesystem.FileStream;
import com.example.SignedMessageDereferencer; //Your IURIDereferencer implementation
 
const xmlSignatureNS:Namespace = new Namespace( "http://www.w3.org/2000/09/xmldsig#" );

var verifier:XMLSignatureValidator = new XMLSignatureValidator();
verifier.uriDereferencer = new SignedMessageDereferencer();

var signatureFile:File = new File( "path/to/XMLSignatureDocument.xml" );
var sigFileStream:FileStream = new FileStream();
sigFileStream.open( signatureFile, FileMode.READ );

var xmlDoc:XML = XML( sigFileStream.readUTFBytes(sigFileStream.bytesAvailable) );
var xmlSig:XML = XML( xmlDoc..xmlSignatureNS::Signature );

verifier.verify( xmlSig );

Distribué une fois la vérification terminée.

Un événement complete n’indique pas la validité d’une signature. Vérifiez la propriété validityStatus de l’objet XMLSignatureValidator afin de déterminer les résultats de la vérification de la signature.

Les propriétés de cet événement sont les suivantes :

private function verificationComplete(event:Event):void{
    var validator:XMLSignatureValidator = event.target as XMLSignatureValidator;
    trace("Digest status: " + validator.digestStatus);
    trace("Identity status: " + validator.identityStatus);
    trace("Reference status: " + validator.referencesStatus);
    trace("Signature status: " + validator.validityStatus);    
}

Eléments de l’API associés

Distribué si la vérification s’avère impossible à cause d’erreurs.

Les propriétés de cet événement sont les suivantes :

private function verificationError(event:ErrorEvent):void{
    trace("Verification error: " + event.text);                
}