Реализация интерфейса IURIDereferencer

При создании вложенной XML-подписи ее элементы вставляются в подписанные данные. Например, если следующее сообщение подписывается с помощью структуры вложенной подписи.

<message> 
    <data>...</data> 
</message>

Получившийся в результате подписанный документ будет выглядеть следующим образом.

<message> 
    <data>...</data> 
     <Signature xmlns="http://www.w3.org/2000/09/xmldsig#"> 
        <SignedInfo> 
            <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/> 
            <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/> 
            <Reference URI=""> 
                <Transforms> 
                    <Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/> 
                </Transforms> 
                <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"/> 
                <DigestValue>yv6...Z0Y=</DigestValue> 
            </Reference> 
        </SignedInfo> 
        <SignatureValue>cCY...LQ==</SignatureValue> 
        <KeyInfo> 
            <X509Data> 
                <X509Certificate>MII...4e</X509Certificate> 
            </X509Data> 
        </KeyInfo> 
    </Signature> 
</message>

Обратите внимание, что подпись содержит один элемент Reference с пустой строкой в качестве его идентификатора URI. Пустая строка в данном контексте указывает на корневой каталог документа.

Также обратите внимание, что алгоритм преобразования указывает на то, что было применено преобразование вложенной подписи. После преобразования вложенной подписи класс XMLSignatureValidator автоматически удаляет ее из документа перед расчетом дайджеста. Это означает, что объект dereferencer не должен удалять элемент Signature при возвращении данных.

В следующем примере проиллюстрирована работа объекта dereferencer для вложенных подписей:

package 
{ 
    import flash.events.ErrorEvent; 
      import flash.events.EventDispatcher;  
    import flash.security.IURIDereferencer; 
    import flash.utils.ByteArray; 
    import flash.utils.IDataInput; 
 
    public class EnvelopedDereferencer 
        extends EventDispatcher implements IURIDereferencer 
    { 
        private var signedMessage:XML; 
         
        public function EnvelopedDereferencer( signedMessage:XML ) 
        { 
            this.signedMessage = signedMessage; 
        } 
 
        public function dereference( uri:String ):IDataInput 
        { 
            try 
            { 
                if( uri.length != 0 ) 
                { 
                    throw( new Error("Unsupported signature type.") ); 
                } 
                var data:ByteArray = new ByteArray(); 
                data.writeUTFBytes( signedMessage.toXMLString() ); 
                data.position = 0; 
            } 
            catch (e:Error) 
                { 
                var error:ErrorEvent = 
                    new ErrorEvent("Ref error " + uri + " ", false, false, e.message); 
                this.dispatchEvent(error); 
                data = null; 
                throw new Error("Reference not resolvable: " + uri + ", " + e.message); 
            } 
            finally 
            { 
                return data; 
            } 
        }         
    } 
}

Класс dereferencer использует функцию конструктора с параметром signedMessage для создания документа со вложенной подписью, доступного для метода dereference() . Поскольку ссылка во вложенной подписи всегда указывает на корневой каталог подписанных данных, метод dereferencer() записывает документ в Byte Array и возвращает его.

Если подписанные данные расположены в том же документе, что и сама подпись, то идентификаторы URI в ссылках обычно используют синтаксис XPath или XPointer для адресации подписанных элементов. В рекомендациях W3C для синтаксиса и порядка обработки XML-подписей даются только общие рекомендации синтаксиса, поэтому на практике необходимо реализовывать обработку тех подписей, которые предположительно будут встречаться (и добавлять достаточные механизмы проверки ошибок для обработки неподдерживаемого синтаксиса).

Подпись в приложении AIR является примером обертывающей подписи. Файлы приложения перечисляются в элементе Manifest. Элемент Manifest адресуется атрибутом Reference URI, используя строку "#PackageContents", которая ссылается на идентификатор элемента Manifest:

<Signature xmlns="http://www.w3.org/2000/09/xmldsig#" Id="PackageSignature"> 
    <SignedInfo> 
        <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/> 
        <SignatureMethod Algorithm="http://www.w3.org/TR/xmldsig-core#rsa-sha1"/> 
        <Reference URI="#PackageContents"> 
            <Transforms> 
                <Transform Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/> 
            </Transforms> 
            <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"/> 
            <DigestValue>ZMGqQdaRKQc1HirIRsDpeBDlaElS+pPotdziIAyAYDk=</DigestValue> 
        </Reference> 
    </SignedInfo> 
    <SignatureValue Id="PackageSignatureValue">cQK...7Zg==</SignatureValue> 
    <KeyInfo> 
        <X509Data> 
            <X509Certificate>MII...T4e</X509Certificate> 
        </X509Data> 
    </KeyInfo> 
    <Object> 
    <Manifest Id="PackageContents"> 
        <Reference URI="mimetype"> 
            <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"> 
            </DigestMethod> 
            <DigestValue>0/oCb84THKMagtI0Dy0KogEu92TegdesqRr/clXct1c=</DigestValue> 
        </Reference> 
        <Reference URI="META-INF/AIR/application.xml"> 
            <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"> 
            </DigestMethod> 
            <DigestValue>P9MqtqSdqcqnFgeoHCJysLQu4PmbUW2JdAnc1WLq8h4=</DigestValue> 
        </Reference> 
        <Reference URI="XMLSignatureValidation.swf"> 
            <DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"> 
            </DigestMethod> 
            <DigestValue>OliRHRAgc9qt3Dk0m0Bi53Ur5ur3fAweIFwju74rFgE=</DigestValue> 
        </Reference> 
    </Manifest> 
</Object> 
</Signature>

Объект dereferencer для проверки этой подписи должен брать строку URI, содержащую "#PackageContents" из элемента Reference, а возвращать элемент Manifest в объекте ByteArray. Символ # указывает на значение атрибута идентификатора элемента.

В следующем примере реализуется объект dereferencer для проверки подписей приложения AIR. Эта реализация достаточно проста, т.к. основана на известной структуре подписи в AIR. Многоцелевой объект dereferencer может быть значительно более сложным.

package 
{ 
    import flash.events.ErrorEvent;    
    import flash.security.IURIDereferencer; 
    import flash.utils.ByteArray; 
    import flash.utils.IDataInput; 
     
    public class AIRSignatureDereferencer implements IURIDereferencer { 
        private const XML_SIG_NS:Namespace = 
            new Namespace( "http://www.w3.org/2000/09/xmldsig#" ); 
        private var airSignature:XML; 
     
        public function AIRSignatureDereferencer( airSignature:XML ) { 
            this.airSignature = airSignature; 
        } 
         
        public function dereference( uri:String ):IDataInput {     
            var data:ByteArray = null;     
            try 
            {     
                if( uri != "#PackageContents" ) 
                { 
                    throw( new Error("Unsupported signature type.") ); 
                } 
                var manifest:XMLList = 
                    airSignature.XML_SIG_NS::Object.XML_SIG_NS::Manifest; 
                data = new ByteArray(); 
                data.writeUTFBytes( manifest.toXMLString()); 
                data.position = 0; 
            } 
            catch (e:Error) 
            { 
                data = null; 
                throw new Error("Reference not resolvable: " + uri + ", " + e.message); 
            } 
            finally 
            { 
                return data; 
            } 
             
        } 
    } 
}

Когда проверяется такой тип подписей, фактически проверяются только данные в элементе Manifest. Фактические же файлы в пакете не проверяются совсем. Чтобы проверить файлы пакета на предмет фальсификации, необходимо считать эти файлы, рассчитать дайджест SHA256 и сравнить результат с дайджестом, записанным в манифесте. Класс XMLSignatureValidator не выполняет автоматической проверки таких вторичных ссылок.

Если идентификатор URI ссылается на внешний источник, необходимо выполнить доступ к данным и загрузить их в объект ByteArray. Если идентификатор URI содержит абсолютный адрес URL, то все сводится к простому считыванию файла или запросу URL. Если, как это, вероятно, бывает в большинстве случаев, идентификатор URI содержит относительный путь, то реализация интерфейса IURIDereferencer должна включать способ разрешения путей для подписанных файлов.

В следующем примере используется объект File, инициализируемый при создании экземпляра класса dereferencer в качестве основы для разрешения подписанных файлов.

package 
{ 
    import flash.events.ErrorEvent; 
    import flash.events.EventDispatcher; 
    import flash.filesystem.File; 
    import flash.filesystem.FileMode; 
    import flash.filesystem.FileStream; 
    import flash.security.IURIDereferencer; 
    import flash.utils.ByteArray; 
    import flash.utils.IDataInput; 
    public class RelativeFileDereferencer 
        extends EventDispatcher implements IURIDereferencer 
    { 
        private var base:File; 
         
        public function RelativeFileDereferencer( base:File ) 
        { 
            this.base = base; 
        } 
 
        public function dereference( uri:String ):IDataInput 
        { 
            var data:ByteArray = null; 
            try{ 
                var referent:File = this.base.resolvePath( uri ); 
                var refStream:FileStream = new FileStream();             
                data = new ByteArray(); 
                refStream.open( referent, FileMode.READ ); 
                 
                refStream.readBytes( data, 0, data.bytesAvailable ); 
                 
            } catch ( e:Error ) { 
                data = null; 
                throw new Error("Reference not resolvable: " + referent.nativePath + ", " + e.message ); 
            } finally { 
                return data; 
            } 
        }         
    } 
}

Функция dereference() просто находит файл, адресуемый идентификатором URI ссылки, загружает содержимое этого файла в байтовый массив и возвращает объект ByteArray.