OPENSSL-PKCS7入门知识介绍

1 PKCS7数据结构说明

p7包括6种数据内容：数据(data),签名数据（sign），数字信封数据（enveloped），签名数字信封数据（signed_and_enveloped），摘要数据（digest），加密数据（encrypted）。

数据(data)：明文打包
type为NID_pkcs7_data，ASN1_OCTET_STRING类型，即为简单的ASN1_STRING数据类型。


签名数据（sign）：把数据以及签名值打包，其中包括签名者的证书，CRL等，目的为确定发送者的身份。
type为NID_pkcs7_signed。PKCS7_SIGNED类型的数据，PKCS7_SIGNED定义如下:
typedef struct pkcs7_signed_st
{
ASN1_INTEGER *version; /* version 1 */ //版本
STACK_OF(X509_ALGOR) *md_algs; /* md used */ //摘要算法
STACK_OF(X509) *cert; /* [ 0 ] */ //签名证书
STACK_OF(X509_CRL) *crl; /* [ 1 ] */ //证书吊销列表
STACK_OF(PKCS7_SIGNER_INFO) *signer_info;　签名信息
struct pkcs7_st *contents;
} PKCS7_SIGNED;

数字信封数据（enveloped）：使用接收者的公钥（从证书获取）加密数据。目的为保护数据，拥有私钥的接收者才能解开数据。
type为NID_pkcs7_enveloped。PKCS7_ENVELOPE类型的数据，PKCS7_ENVELOPE定义如下
typedef struct pkcs7_enveloped_st
{
ASN1_INTEGER *version; /* version 0 */
STACK_OF(PKCS7_RECIP_INFO) *recipientinfo;       //接收者的信息(可能存在多个)
PKCS7_ENC_CONTENT *enc_data;                          //用接收者公钥加密的信息
} PKCS7_ENVELOPE;

typedef struct pkcs7_recip_info_st {

    ASN1_INTEGER *version;      /* version 0 */

    PKCS7_ISSUER_AND_SERIAL *issuer_and_serial;   // 证书序列号

    X509_ALGOR *key_enc_algor;                                  //加密算法对象标识

    ASN1_OCTET_STRING *enc_key;                           //加密的报文秘钥

    X509 *cert;                                                            /* get the pub-key from this */

    const PKCS7_CTX *ctx;

} PKCS7_RECIP_INFO;

typedef struct pkcs7_enc_content_st {

    ASN1_OBJECT *content_type;

    X509_ALGOR *algorithm;                                      //加密算法

    ASN1_OCTET_STRING *enc_data; /* [ 0 ] */        // 加密内容信息

    const EVP_CIPHER *cipher;

    const PKCS7_CTX *ctx;

} PKCS7_ENC_CONTENT;


签名数字信封数据（signed_and_enveloped）
数字信封加签名
type为NID_pkcs7_signedAndEnveloped。

PKCS7_SIGN_ENVELOPE定义如下
typedef struct pkcs7_signedandenveloped_st
{
ASN1_INTEGER *version; /* version 1 */
STACK_OF(X509_ALGOR) *md_algs; /* md used */
STACK_OF(X509) *cert; /* [ 0 ] */
STACK_OF(X509_CRL) *crl; /* [ 1 ] */
STACK_OF(PKCS7_SIGNER_INFO) *signer_info;

PKCS7_ENC_CONTENT *enc_data;
STACK_OF(PKCS7_RECIP_INFO) *recipientinfo;
} PKCS7_SIGN_ENVELOPE;


加密数据（encrypted）
使用对称算法加密数据。
type为NID_pkcs7_encrypted。PKCS7_ENCRYPT类型的数据，PKCS7_ENCRYPT定义如下
typedef struct pkcs7_encrypted_st
{
ASN1_INTEGER *version; /* version 0 */
PKCS7_ENC_CONTENT *enc_data;
} PKCS7_ENCRYPT;

2 pkcs7内容类型的编码解码
2.1pkcs7-data内容类型的编码解码

:Data内容类型旨在表示任意的字节串，比如ASCII文本文件；其翻译留给应用。这样的串无需任何内部的结构．
Data ::= OCTET STRING
pkcs7的类型为NID_pkcs7_data，
ｄ为ASN1_OCTET_STRING *data;

一：对data内容进行编码
1.  新建一个PKCS7结构体。
p7 = PKCS7_new();
2.  设置ｐ７结构体的类型为NID_pkcs7_data
PKCS7_set_type(p7,NID_pkcs7_data);
３．设置原文到ASN1_OCTET_STRING *data;
M_ASN1_OCTET_STRING_set(p7->d.data,src,srcLen);
4.   转换pkcs7结构体为der编码
derLen = i2d_PKCS7(p7,&tmpder);
i2d_PKCS7的返回值为der编码的长度。第二个参数为der编码输出。
注意：openssl输出后会更改tmpder的指针，故使用时应该用临时指针。比如欲输出der编码内容到变量der中。
代码应如下：
unsigned char *der = NULL；
unsigned char *dertmp = NULL；
unsigned long derLen;
derLen = i2d_PKCS7(p7,NULL);
der = malloc(derLen);
dertmp = der;
derLen = i2d_PKCS7(p7,&dertmp);
...
free(der);
二：对data内容p7数据包进行解码
解码的过程和编码相反。
1。转换der编码为pkcs7结构体
p7 =d2i_PKCS7 (NULL,dertmp,derLen)
2。检查p7 type是否是NID_pkcs7_data
if(OBJ_obj2nid(p7->type) != NID_pkcs7_data)  //数据类型是否为pkcs7_data
3。取出源数据
srcLen = p7->d.data->length;
memcpy(src,p7->d.data->data,srcLen);
2.2pkcs7- signed-data内容类型的编码解码

PKCS7_SIGNED 在openssl中的定义如下：
typedef struct pkcs7_signed_st
{
ASN1_INTEGER *version; /* version 1 */
STACK_OF(X509_ALGOR) *md_algs; /* md used */
STACK_OF(X509) *cert; /* [ 0 ] */
STACK_OF(X509_CRL) *crl; /* [ 1 ] */
STACK_OF(PKCS7_SIGNER_INFO) *signer_info;
struct pkcs7_st *contents;
} PKCS7_SIGNED;
signed内容类型由任意类型的内容和数字签名组成。任何类型的内容能够同时被任意数量的签名者签名。
签名数据的产生过程有如下几步：
1. 对于每一个签名者，他用消息摘要算法计算出摘要值 。
2. 对于每一个签名者，消息摘要和相关的信息用自己(发送方)的私钥加密。
3. 对于每一个签名者，把加密的消息摘要和其他的签名者特定信息放入signer_info值中。每个 签名者的证书、crl等也在这一步被收集进来。
4. 把所有签名者的信息摘要算法、他们的signer_info值和内容一起放进sign值中。

调用openssl的代码如下：
PKCS7* p7 = PKCS7_new();
PKCS7_set_type(p7, NID_pkcs7_signed);//设置类型为NID_pkcs7_signed
PKCS7_content_new(p7, NID_pkcs7_data);
PKCS7_set_detached(p7, 0);
//添加签名者信息，
//x509：签名证书，pkey：签名者私钥。EVP_sha1()签名者摘要算法。
PKCS7_SIGNER_INFO* info = PKCS7_add_signature(p7, x509, pkey, EVP_sha1());
//添加签名者证书
PKCS7_add_certificate(p7, x509);
//添加签名者的CA证书链
for (int i=0; i<sk_X509_num(ca); i++)
{PKCS7_add_certificate(p7, sk_X509_value(ca, i));
}
BIO* p7bio = PKCS7_dataInit(p7, NULL);
BIO_write(p7bio, "How are you!", strlen("How are you!"));//加入原始数据，
PKCS7_dataFinal(p7, p7bio); //处理数据。
//转换为der编码输出
i2d_PKCS7(p7,&dertmp);
PKCS7_free(p7);
BIO_free(p7bio);
解析P7签名的代码：
//der编码转换为PKCS7结构体
PKCS7 * p7 =d2i_PKCS7(NULL,dertmp,derLen)
//解析出原始数据
BIO *p7bio= PKCS7_dataDecode(p7,NULL,NULL,NULL);
//从BIO中读取原始数据,将得到"How are you!"
srcLen = BIO_read(p7bio,src,1024);
//获得签名者信息stack
STACK_OF(PKCS7_SIGNER_INFO) *sk = PKCS7_get_signer_info(p7);
//获得签名者个数(本例只有1个)
int signCount = sk_PKCS7_SIGNER_INFO_num(sk );
for(int i=0;i
{
//获得签名者信息
PKCS7_SIGNER_INFO *signInfo = sk_PKCS7_SIGNER_INFO_value(sk,i);
//获得签名者证书
X509 *cert= PKCS7_cert_from_signer_info(p7,signInfo);
//验证签名
if(PKCS7_signatureVerify(p7bio,p7,signInfo,cert) != 1)
{printf("signatureVerify Err\n");
}
}
2.3pkcs7-Enveloped-data内容类型的编码解码

PKCS7_ENVELOPE. enveloped在openssl中的定义如下：
typedef struct pkcs7_enveloped_st
{
ASN1_INTEGER             *version;     /* version 0 */
STACK_OF(PKCS7_RECIP_INFO)   *recipientinfo;
PKCS7_ENC_CONTENT         *enc_data;
} PKCS7_ENVELOPE;
enveloped-data内容类型由任意类型的加密内容和加密的一个/多个接收者的内容加密密钥组成。内容的密文和加密密钥一起构成了接收者的“数字信封”。任意类型的内容能够同时为任意数量的接收者进行封装。
Enveloped-data的组建过程分以下几步：
1.       随机产生一个对称密钥用于加密内容。
2.       内容加密密钥用每个接收者的公钥加密。
3.       对于每一个接收者，把内容加密密钥的密文和接收者的其他信息放入recipientinfo值中。
4.       用加密密钥加密内容。
5.       将所有接收者的recipientinfo值和加了密的内容放入EnvelopedData值中
接收者用自己的私钥解开内容加密密钥，然后用该密钥解密密文内容。
调用openssl的代码如下：
 

 PKCS7* p7 = PKCS7_new();//设置类型为NID_pkcs7_enveloped
PKCS7_set_type(p7, NID_pkcs7_enveloped);
//DES算法，用于加密内容“How are you!”
EVP_CIPHER *evp_cipher = EVP_des_cbc();
PKCS7_set_cipher(p7,cipher);
//设置接收者证书，获取公钥用于加密对称密钥
PKCS7_RECIP_INFO *p7recipinfo = PKCS7_add_recipient(p7,x509_Cert);
BIO *p7bio = PKCS7_dataInit(p7, NULL);
BIO_write(p7bio,”How Are You!”,strlen(“How Are You!”));
//完成数字信封的运算
PKCS7_dataFinal(p7, p7bio);
//转换PKCS7结构体为DER编码
derLen = i2d_PKCS7(p7,&derTmp);
BIO_free(p7bio);
PKCS7_free(p7);    解P7数字信封的代码：
//der编码转换为PKCS7结构体
PKCS7* p7 = d2i_PKCS7(NULL,&derTmp,DataLen);
//解析出原始数据, evp_key:接收者私钥，x509_cert:接收者证书
BIO * p7bio = PKCS7_dataDecode(p7,evp_key,NULL,x509_cert);
//从BIO中读取原始数据,将得到"How are you!"
srcLen = BIO_read(p7bio,src,4096)；
BIO_free(p7bio);
PKCS7_free(p7);
2.4pkcs7-Signed-and-enveloped-data内容类型的编码解码


PKCS7_SIGN_ENVELOPE *signed_and_enveloped在openssl中的定义如下：
typedef struct pkcs7_signedandenveloped_st
    {
    ASN1_INTEGER           *version; /* version 1 */
    STACK_OF(X509_ALGOR)         *md_algs;     /* md used */
    STACK_OF(X509)             *cert;         /* [ 0 ] */
    STACK_OF(X509_CRL)         *crl;     /* [ 1 ] */
    STACK_OF(PKCS7_SIGNER_INFO)     *signer_info;
    PKCS7_ENC_CONTENT       *enc_data;
    STACK_OF(PKCS7_RECIP_INFO)   *recipientinfo;
    } PKCS7_SIGN_ENVELOPE;
signed-and-enveloped-data内容类型由任意类型的加密内容、加了密的一个/多个接收者的内容加密密钥和双重加密的一个/多个签名者的消息摘要。“双重加密”由签名者私钥的加密和内容加密密钥的加密组成。
加了密的内容和加了密的内容加密密钥一起构成了接收者的“数字信封”。恢复的签名者单个加密的消息摘要是恢复的签名者内容的“数字签名”。任意类型的内容能够同时为任意数量的接收者进行封装和被任意数量的签名者进行签名。
signed-and-enveloped data的组建过程包括以下几步：
1． 随机产生一个对应于特定加密算法的内容加密密钥，比如des算法的8字节密钥。
2． 内容加密密钥用每个接收者的公钥加密。
3． 对于每一个接收者，把加了密的内容加密密钥和接收者的其他信息放入recipientinfo值中。
4． 对于每一个签名者，他用自己的消息摘要算法计算出摘要值 (如果两个签名者使用同样的算法，那么摘要值只需计算一次)。
5． 对于每一个签名者，消息摘要和相关的信息用自己的私钥加密（即签名），结果再用内容加密密钥加密。
6． 对于每一个签名者，把双重加密的消息摘要和其他的签名者特定信息放入signer_info值中。
7． 用内容加密密钥加密内容。
8． 把所有签名者的消息摘要算法、所有签名者的signer_info值、所有接收者的recipientinfo值和加了密的内容一起放入PKCS7_SIGN_ENVELOPE值中
接收者打开信封并验证签名分两步：
1． 加了密的内容加密密钥用接收者的私钥解开，并用内容加密密钥解开加密的内容。
2． 每个签名者双重加密的消息摘要用恢复的内容加密密钥解开，结果再用签名者公钥解密，恢复的消息摘要再和独立计算的消息摘要进行比较。
调用openssl的代码如下：

PKCS7* p7 = PKCS7_new();//设置类型为NID_pkcs7_signedAndEnvelopedPKCS7_set_type(p7, NID_pkcs7_signedAndEnveloped);//DES算法，用于加密内容“How are you!”EVP_CIPHER *evp_cipher = EVP_des_cbc();PKCS7_set_cipher(p7,cipher);
//设置接收者证书，获取公钥用于加密对称密钥PKCS7_RECIP_INFO *p7recipinfo = PKCS7_add_recipient(p7, x509_RecCert);//x509：签名证书，pkey：签名者私钥。EVP_sha1()签名者摘要算法。
PKCS7_SIGNER_INFO* info = PKCS7_add_signature(p7, x509, pkey, EVP_sha1());
//添加签名者证书
PKCS7_add_certificate(p7, x509t);
//添加签名者的CA证书链
for (int i=0; i<sk_X509_num(ca); i++)
{PKCS7_add_certificate(p7, sk_X509_value(ca, i));
}BIO *p7bio = PKCS7_dataInit(p7, NULL);BIO_write(p7bio,”How Are You!”,strlen(“How Are You!”));//完成签名&数字信封的运算PKCS7_dataFinal(p7, p7bio);//转换PKCS7结构体为DER编码derLen = i2d_PKCS7(p7,&derTmp);BIO_free(p7bio);PKCS7_free(p7);  
3 PKCS7常量

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/491924.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Linux系统前后端分离项目

Linux系统前后端分离项目

目录 一.jdk安装 二.tomcat安装 三.MySQL安装 四.nginx安装 五.Nginx负载均衡tomcat 六.前端部署 一.jdk安装 1. 上传jdk安装包 jdk-8u151-linux-x64.tar.gz 进入opt目录&#xff0c;将安装包拖进去 2. 解压安装包 这里需要解压到usr/local目录下&#xff0c;在这里新建一个…
阅读更多...
Qt程序设计-钟表自定义控件实例

Qt程序设计-钟表自定义控件实例

本文讲解Qt钟表自定义控件实例。 效果如下： 创建钟表类 #ifndef TIMEPIECE_H #define TIMEPIECE_H#include <QWidget> #include <QPropertyAnimation> #include <QDebug> #include <QPainter> #include <QtMath>#include <QTimer>#incl…
阅读更多...
2024.2.21 模拟实现 RabbitMQ —— 实现转发规则

2024.2.21 模拟实现 RabbitMQ —— 实现转发规则

目录 需求分析 直接交换机&#xff08;Direct &#xff09; 主题交换机&#xff08;Topic &#xff09; 扇出交换机&#xff08;Fanout &#xff09; Topic 交换机转发规则 routingKey 组成 bindingKey 组成 匹配规则 情况一 情况二 情况三 实现 Router 类 校验 b…
阅读更多...
POI WorkbookFactory.create(inputStream) IndexOutOfBoundsException

POI WorkbookFactory.create(inputStream) IndexOutOfBoundsException

近期&#xff0c;运行稳定的excel导入功能突然异常&#xff0c;查看了日志&#xff0c;发现以下图示异常&#xff1a; 追踪代码发现是以下代码引起问题&#xff1a; 发现&#xff0c;WorkbookFactory.create(inputStream) 创建workbook对象时读取文件内容下标越界了 分析是因…
阅读更多...
nginx（二）

nginx（二）

nginx的验证模块 输入用户名和密码 第一步先下载httpd 这个安装包 第二步编辑子配置文件 然后去网页访问192.168.68.3/admin/ 连接之后&#xff0c;会出现404&#xff0c;404出现是因为没给网页写页面 如果要写页面&#xff0c;则在/opt/html&#xff0c;建立一个admin&#x…
阅读更多...
ASCII编码的影响与作用：数字化时代的不可或缺之物

ASCII编码的影响与作用：数字化时代的不可或缺之物

title: ASCII编码的影响与作用&#xff1a;数字化时代的不可或缺之物 date: 2024/2/25 16:03:37 updated: 2024/2/25 16:03:37 tags: ASCII起源标准化字符文本处理基础编程语言基石数据库存储标准跨平台兼容多语言编码基础 一、ASCII编码的起源 ASCII&#xff08;American St…
阅读更多...
Java 中常用的数据结构类 API

Java 中常用的数据结构类 API

目录 常用数据结构API 对应的线程安全的api 高可用衡量标准 常用数据结构API ArrayList: 实现了动态数组&#xff0c;允许快速随机访问元素。 import java.util.ArrayList; LinkedList: 实现了双向链表&#xff0c;适用于频繁插入和删除操作。 import java.util.LinkedLis…
阅读更多...
Java设计模式 | 七大原则之接口隔离原则

Java设计模式 | 七大原则之接口隔离原则

接口隔离原则&#xff08;Interface Segregation Principle&#xff09; 基本介绍 客户端不应该依赖他不需要的接口&#xff0c;即一个类对另一个类的依赖应建立在最小的接口上如下图 A类通过接口Interface1依赖B类&#xff0c;C类通过接口Interface1依赖D类。如果Interface…
阅读更多...
免费分享一套SpringBoot+Vue实验室(预约)管理系统，帅呆了~~

免费分享一套SpringBoot+Vue实验室(预约)管理系统，帅呆了~~

大家好&#xff0c;我是java1234_小锋老师&#xff0c;看到一个不错的SpringBootVue实验室(预约)管理系统 &#xff0c;分享下哈。 项目视频演示 【免费】SpringBootVue实验室(预约)管理系统 Java毕业设计_哔哩哔哩_bilibili【免费】SpringBootVue实验室(预约)管理系统 Java毕…
阅读更多...
Spring事务模板及afterCommit存在的坑

Spring事务模板及afterCommit存在的坑

大家好&#xff0c;我是墨哥&#xff08;隐墨星辰&#xff09;。今天的内容来源于两个线上问题&#xff0c;主要和大家聊聊为什么支付系统中基本只使用事务模板方法&#xff0c;而不使用声明式事务Transaction注解&#xff0c;以及使用afterCommit()出现连接未按预期释放导致的…
阅读更多...
云尚办公-0.3.0

云尚办公-0.3.0

5. controller层 import pers.beiluo.yunshangoffice.model.system.SysRole; import pers.beiluo.yunshangoffice.service.SysRoleService;import java.util.List;//RestController&#xff1a;1.该类是控制器&#xff1b;2.方法返回值会被写进响应报文的报文体&#xff0c;而…
阅读更多...
matlab新能源汽车三自由度操纵稳定性分析及优化

matlab新能源汽车三自由度操纵稳定性分析及优化

1、内容简介 略 可以交流、咨询、答疑 55-新能源汽车三自由度操纵稳定性分析及优化 2、内容说明 略 摘 要 电动化是节能减排、寻求替代能源的最佳途径&#xff0c;已成为行业共识&#xff0c;论文基于江西科技学院桑塔纳轿车油改气项目&#xff0c;在拆除发动机、变速…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023