Informacje o podpisach XML

Poniżej wymieniono elementy zaleceń W3C dotyczących składni i przetwarzania podpisów XML obsługiwane przez środowisko AIR:

• Wszystkie podstawowe elementy składni (rozdział 4 zaleceń W3C) — z tym że element KeyInfo nie jest w pełni obsługiwany.

• Element KeyInfo musi zawierać wyłącznie element X509Data.

• Element X509Data musi zawierać wyłącznie element X509Certificate.

• Metoda generowania wyciągu SHA256.

• Algorytm podpisywania RSA-SHA1 (PKCS1).

• Metoda sprowadzania do postaci kanonicznej i transformacja „kanoniczny XML bez komentarzy”.

• Transformacja podpisu w kopercie.

• Znaczniki czasowe

Poniższy dokument ilustruje typowy podpis XML (większość danych kryptograficznych usunięto w celu uproszczenia przykładu):

<Signature xmlns="http://www.w3.org/2000/09/xmldsig#"> 
    <SignedInfo> 
        <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/> 
        <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/> 
        <Reference URI="URI_to_signed_data"> 
            <Transforms> 
                <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>            </Transforms> 
            <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"/> 
            <DigestValue>uoo...vY=</DigestValue> 
        </Reference> 
    </SignedInfo> 
    <SignatureValue>Ked...w==</SignatureValue> 
    <KeyInfo> 
        <X509Data> 
            <X509Certificate>i7d...w==</X509Certificate> 
        </X509Data> 
    </KeyInfo> 
</Signature>

Oto najważniejsze elementy podpisu:

• SignedInfo — zawiera odwołania do podpisanych danych i wartości wyciągów obliczone w momencie podpisywania. Podpisane dane mogą być zawarte w tym samym dokumencie, co podpis XML, lub mogą być zewnętrzne w stosunku do niego.

• SignatureValue — zawiera wyciąg elementu SignedInfo zaszyfrowany kluczem prywatnym osoby podpisującej.

• KeyInfo — zawiera certyfikat użyty do podpisywania oraz ewentualne dodatkowe certyfikaty niezbędne do ustanowienia łańcucha zaufania. Należy zwrócić uwagę, że chociaż element KeyInfo jest pod względem technicznym opcjonalny, środowisko AIR nie jest w stanie zweryfikować podpisu w wypadku braku tego elementu.

Wyróżnia się trzy ogólne typy podpisów XML:

• W kopercie — podpis jest wstawiony w dane XML, które podpisuje.

• Koperta — podpisane dane XML są zawarte w elemencie Object wewnątrz elementu Signature.

• Odłączony — podpisane dane są zewnętrzne względem podpisu XML. Podpisane dane mogą znajdować się w zewnętrznym pliku. Mogą jednak również znajdować się w tym samym dokumencie XML, co podpis, ale nie w elemencie nadrzędnym lub podrzędnym elementu Signature.

Podpisy XML odwołują się do podpisanych danych za pomocą identyfikatorów URI. Aplikacje podpisujące i weryfikujące muszą stosować te same konwencje do tłumaczenia identyfikatorów URI. W przypadku użycia klasy XMLSignatureValidator należy udostępnić implementację interfejsu IURIDereferencer. Ta implementacja odpowiada za tłumaczenie identyfikatorów URI i zwracanie podpisanych danych w postaci obiektu ByteArray. Zwrócony obiekt ByteArray jest przekształcany w wyciąg za pomocą tego samego algorytmu, którego użyto do wygenerowania wyciągu zawartego w podpisie.