OPENSSL-PKCS7入门知识介绍

1 PKCS7数据结构说明

p7包括6种数据内容:数据(data),签名数据(sign),数字信封数据(enveloped),签名数字信封数据(signed_and_enveloped),摘要数据(digest),加密数据(encrypted)。

数据(data):明文打包
type为NID_pkcs7_data,ASN1_OCTET_STRING类型,即为简单的ASN1_STRING数据类型。


签名数据(sign):把数据以及签名值打包,其中包括签名者的证书,CRL等,目的为确定发送者的身份。
type为NID_pkcs7_signed。PKCS7_SIGNED类型的数据,PKCS7_SIGNED定义如下:
typedef struct pkcs7_signed_st
{
ASN1_INTEGER *version; /* version 1 */ //版本
STACK_OF(X509_ALGOR) *md_algs; /* md used */ //摘要算法
STACK_OF(X509) *cert; /* [ 0 ] */ //签名证书
STACK_OF(X509_CRL) *crl; /* [ 1 ] */ //证书吊销列表
STACK_OF(PKCS7_SIGNER_INFO) *signer_info; 签名信息
struct pkcs7_st *contents;
} PKCS7_SIGNED;

数字信封数据(enveloped):使用接收者的公钥(从证书获取)加密数据。目的为保护数据,拥有私钥的接收者才能解开数据。
type为NID_pkcs7_enveloped。PKCS7_ENVELOPE类型的数据,PKCS7_ENVELOPE定义如下
typedef struct pkcs7_enveloped_st
{
ASN1_INTEGER *version; /* version 0 */
STACK_OF(PKCS7_RECIP_INFO) *recipientinfo;       //接收者的信息(可能存在多个)
PKCS7_ENC_CONTENT *enc_data;                          //用接收者公钥加密的信息
} PKCS7_ENVELOPE;

typedef struct pkcs7_recip_info_st {

    ASN1_INTEGER *version;      /* version 0 */

    PKCS7_ISSUER_AND_SERIAL *issuer_and_serial;   // 证书序列号

    X509_ALGOR *key_enc_algor;                                  //加密算法对象标识

    ASN1_OCTET_STRING *enc_key;                           //加密的报文秘钥

    X509 *cert;                                                            /* get the pub-key from this */

    const PKCS7_CTX *ctx;

} PKCS7_RECIP_INFO;

typedef struct pkcs7_enc_content_st {

    ASN1_OBJECT *content_type;

    X509_ALGOR *algorithm;                                      //加密算法

    ASN1_OCTET_STRING *enc_data; /* [ 0 ] */        // 加密内容信息

    const EVP_CIPHER *cipher;

    const PKCS7_CTX *ctx;

} PKCS7_ENC_CONTENT;


签名数字信封数据(signed_and_enveloped)
数字信封加签名
type为NID_pkcs7_signedAndEnveloped。

PKCS7_SIGN_ENVELOPE定义如下
typedef struct pkcs7_signedandenveloped_st
{
ASN1_INTEGER *version; /* version 1 */
STACK_OF(X509_ALGOR) *md_algs; /* md used */
STACK_OF(X509) *cert; /* [ 0 ] */
STACK_OF(X509_CRL) *crl; /* [ 1 ] */
STACK_OF(PKCS7_SIGNER_INFO) *signer_info;

PKCS7_ENC_CONTENT *enc_data;
STACK_OF(PKCS7_RECIP_INFO) *recipientinfo;
} PKCS7_SIGN_ENVELOPE;


加密数据(encrypted)
使用对称算法加密数据。
type为NID_pkcs7_encrypted。PKCS7_ENCRYPT类型的数据,PKCS7_ENCRYPT定义如下
typedef struct pkcs7_encrypted_st
{
ASN1_INTEGER *version; /* version 0 */
PKCS7_ENC_CONTENT *enc_data;
} PKCS7_ENCRYPT;

2 pkcs7内容类型的编码解码
2.1pkcs7-data内容类型的编码解码

:Data内容类型旨在表示任意的字节串,比如ASCII文本文件;其翻译留给应用。这样的串无需任何内部的结构.
Data ::= OCTET STRING
pkcs7的类型为NID_pkcs7_data,
d为ASN1_OCTET_STRING *data;

一:对data内容进行编码
1.  新建一个PKCS7结构体。
p7 = PKCS7_new();
2.  设置p7结构体的类型为NID_pkcs7_data
PKCS7_set_type(p7,NID_pkcs7_data);
3.设置原文到ASN1_OCTET_STRING *data;
M_ASN1_OCTET_STRING_set(p7->d.data,src,srcLen);
4.   转换pkcs7结构体为der编码
derLen = i2d_PKCS7(p7,&tmpder);
i2d_PKCS7的返回值为der编码的长度。第二个参数为der编码输出。
注意:openssl输出后会更改tmpder的指针,故使用时应该用临时指针。比如欲输出der编码内容到变量der中。
代码应如下:
unsigned char *der = NULL;
unsigned char *dertmp = NULL;
unsigned long derLen;
derLen = i2d_PKCS7(p7,NULL);
der = malloc(derLen);
dertmp = der;
derLen = i2d_PKCS7(p7,&dertmp);
...
free(der);
二:对data内容p7数据包进行解码
解码的过程和编码相反。
1。转换der编码为pkcs7结构体
p7 =d2i_PKCS7 (NULL,dertmp,derLen)
2。检查p7 type是否是NID_pkcs7_data
if(OBJ_obj2nid(p7->type) != NID_pkcs7_data)  //数据类型是否为pkcs7_data
3。取出源数据
srcLen = p7->d.data->length;
memcpy(src,p7->d.data->data,srcLen);
2.2pkcs7- signed-data内容类型的编码解码

PKCS7_SIGNED 在openssl中的定义如下:
typedef struct pkcs7_signed_st
{
ASN1_INTEGER *version; /* version 1 */
STACK_OF(X509_ALGOR) *md_algs; /* md used */
STACK_OF(X509) *cert; /* [ 0 ] */
STACK_OF(X509_CRL) *crl; /* [ 1 ] */
STACK_OF(PKCS7_SIGNER_INFO) *signer_info;
struct pkcs7_st *contents;
} PKCS7_SIGNED;
signed内容类型由任意类型的内容和数字签名组成。任何类型的内容能够同时被任意数量的签名者签名。
签名数据的产生过程有如下几步:
1. 对于每一个签名者,他用消息摘要算法计算出摘要值 。
2. 对于每一个签名者,消息摘要和相关的信息用自己(发送方)的私钥加密。
3. 对于每一个签名者,把加密的消息摘要和其他的签名者特定信息放入signer_info值中。每个 签名者的证书、crl等也在这一步被收集进来。
4. 把所有签名者的信息摘要算法、他们的signer_info值和内容一起放进sign值中。

调用openssl的代码如下:
PKCS7* p7 = PKCS7_new();
PKCS7_set_type(p7, NID_pkcs7_signed);//设置类型为NID_pkcs7_signed
PKCS7_content_new(p7, NID_pkcs7_data);
PKCS7_set_detached(p7, 0);
//添加签名者信息,
//x509:签名证书,pkey:签名者私钥。EVP_sha1()签名者摘要算法。
PKCS7_SIGNER_INFO* info = PKCS7_add_signature(p7, x509, pkey, EVP_sha1());
//添加签名者证书
PKCS7_add_certificate(p7, x509);
//添加签名者的CA证书链
for (int i=0; i<sk_X509_num(ca); i++)
{PKCS7_add_certificate(p7, sk_X509_value(ca, i));
}
BIO* p7bio = PKCS7_dataInit(p7, NULL);
BIO_write(p7bio, "How are you!", strlen("How are you!"));//加入原始数据,
PKCS7_dataFinal(p7, p7bio); //处理数据。
//转换为der编码输出
i2d_PKCS7(p7,&dertmp);
PKCS7_free(p7);
BIO_free(p7bio);
解析P7签名的代码:
//der编码转换为PKCS7结构体
PKCS7 * p7 =d2i_PKCS7(NULL,dertmp,derLen)
//解析出原始数据
BIO *p7bio= PKCS7_dataDecode(p7,NULL,NULL,NULL);
//从BIO中读取原始数据,将得到"How are you!"
srcLen = BIO_read(p7bio,src,1024);
//获得签名者信息stack
STACK_OF(PKCS7_SIGNER_INFO) *sk = PKCS7_get_signer_info(p7);
//获得签名者个数(本例只有1个)
int signCount = sk_PKCS7_SIGNER_INFO_num(sk );
for(int i=0;i
{
//获得签名者信息
PKCS7_SIGNER_INFO *signInfo = sk_PKCS7_SIGNER_INFO_value(sk,i);
//获得签名者证书
X509 *cert= PKCS7_cert_from_signer_info(p7,signInfo);
//验证签名
if(PKCS7_signatureVerify(p7bio,p7,signInfo,cert) != 1)
{printf("signatureVerify Err\n");
}
}
2.3pkcs7-Enveloped-data内容类型的编码解码

PKCS7_ENVELOPE. enveloped在openssl中的定义如下:
typedef struct pkcs7_enveloped_st
{
ASN1_INTEGER             *version;     /* version 0 */
STACK_OF(PKCS7_RECIP_INFO)   *recipientinfo;
PKCS7_ENC_CONTENT         *enc_data;
} PKCS7_ENVELOPE;
enveloped-data内容类型由任意类型的加密内容和加密的一个/多个接收者的内容加密密钥组成。内容的密文和加密密钥一起构成了接收者的“数字信封”。任意类型的内容能够同时为任意数量的接收者进行封装。
Enveloped-data的组建过程分以下几步:
1.       随机产生一个对称密钥用于加密内容。
2.       内容加密密钥用每个接收者的公钥加密。
3.       对于每一个接收者,把内容加密密钥的密文和接收者的其他信息放入recipientinfo值中。
4.       用加密密钥加密内容。
5.       将所有接收者的recipientinfo值和加了密的内容放入EnvelopedData值中
接收者用自己的私钥解开内容加密密钥,然后用该密钥解密密文内容。
调用openssl的代码如下:
 

 PKCS7* p7 = PKCS7_new();//设置类型为NID_pkcs7_enveloped
PKCS7_set_type(p7, NID_pkcs7_enveloped);
//DES算法,用于加密内容“How are you!”
EVP_CIPHER *evp_cipher = EVP_des_cbc();
PKCS7_set_cipher(p7,cipher);
//设置接收者证书,获取公钥用于加密对称密钥
PKCS7_RECIP_INFO *p7recipinfo = PKCS7_add_recipient(p7,x509_Cert);
BIO *p7bio = PKCS7_dataInit(p7, NULL);
BIO_write(p7bio,”How Are You!”,strlen(“How Are You!”));
//完成数字信封的运算
PKCS7_dataFinal(p7, p7bio);
//转换PKCS7结构体为DER编码
derLen = i2d_PKCS7(p7,&derTmp);
BIO_free(p7bio);
PKCS7_free(p7);    解P7数字信封的代码:
//der编码转换为PKCS7结构体
PKCS7* p7 = d2i_PKCS7(NULL,&derTmp,DataLen);
//解析出原始数据, evp_key:接收者私钥,x509_cert:接收者证书
BIO * p7bio = PKCS7_dataDecode(p7,evp_key,NULL,x509_cert);
//从BIO中读取原始数据,将得到"How are you!"
srcLen = BIO_read(p7bio,src,4096);
BIO_free(p7bio);
PKCS7_free(p7);
2.4pkcs7-Signed-and-enveloped-data内容类型的编码解码


PKCS7_SIGN_ENVELOPE *signed_and_enveloped在openssl中的定义如下:
typedef struct pkcs7_signedandenveloped_st
    {
    ASN1_INTEGER           *version; /* version 1 */
    STACK_OF(X509_ALGOR)         *md_algs;     /* md used */
    STACK_OF(X509)             *cert;         /* [ 0 ] */
    STACK_OF(X509_CRL)         *crl;     /* [ 1 ] */
    STACK_OF(PKCS7_SIGNER_INFO)     *signer_info;
    PKCS7_ENC_CONTENT       *enc_data;
    STACK_OF(PKCS7_RECIP_INFO)   *recipientinfo;
    } PKCS7_SIGN_ENVELOPE;
signed-and-enveloped-data内容类型由任意类型的加密内容、加了密的一个/多个接收者的内容加密密钥和双重加密的一个/多个签名者的消息摘要。“双重加密”由签名者私钥的加密和内容加密密钥的加密组成。
加了密的内容和加了密的内容加密密钥一起构成了接收者的“数字信封”。恢复的签名者单个加密的消息摘要是恢复的签名者内容的“数字签名”。任意类型的内容能够同时为任意数量的接收者进行封装和被任意数量的签名者进行签名。
signed-and-enveloped data的组建过程包括以下几步:
1. 随机产生一个对应于特定加密算法的内容加密密钥,比如des算法的8字节密钥。
2. 内容加密密钥用每个接收者的公钥加密。
3. 对于每一个接收者,把加了密的内容加密密钥和接收者的其他信息放入recipientinfo值中。
4. 对于每一个签名者,他用自己的消息摘要算法计算出摘要值 (如果两个签名者使用同样的算法,那么摘要值只需计算一次)。
5. 对于每一个签名者,消息摘要和相关的信息用自己的私钥加密(即签名),结果再用内容加密密钥加密。
6. 对于每一个签名者,把双重加密的消息摘要和其他的签名者特定信息放入signer_info值中。
7. 用内容加密密钥加密内容。
8. 把所有签名者的消息摘要算法、所有签名者的signer_info值、所有接收者的recipientinfo值和加了密的内容一起放入PKCS7_SIGN_ENVELOPE值中
接收者打开信封并验证签名分两步:
1. 加了密的内容加密密钥用接收者的私钥解开,并用内容加密密钥解开加密的内容。
2. 每个签名者双重加密的消息摘要用恢复的内容加密密钥解开,结果再用签名者公钥解密,恢复的消息摘要再和独立计算的消息摘要进行比较。
调用openssl的代码如下:

PKCS7* p7 = PKCS7_new();//设置类型为NID_pkcs7_signedAndEnvelopedPKCS7_set_type(p7, NID_pkcs7_signedAndEnveloped);//DES算法,用于加密内容“How are you!”EVP_CIPHER *evp_cipher = EVP_des_cbc();PKCS7_set_cipher(p7,cipher);
//设置接收者证书,获取公钥用于加密对称密钥PKCS7_RECIP_INFO *p7recipinfo = PKCS7_add_recipient(p7, x509_RecCert);//x509:签名证书,pkey:签名者私钥。EVP_sha1()签名者摘要算法。
PKCS7_SIGNER_INFO* info = PKCS7_add_signature(p7, x509, pkey, EVP_sha1());
//添加签名者证书
PKCS7_add_certificate(p7, x509t);
//添加签名者的CA证书链
for (int i=0; i<sk_X509_num(ca); i++)
{PKCS7_add_certificate(p7, sk_X509_value(ca, i));
}BIO *p7bio = PKCS7_dataInit(p7, NULL);BIO_write(p7bio,”How Are You!”,strlen(“How Are You!”));//完成签名&数字信封的运算PKCS7_dataFinal(p7, p7bio);//转换PKCS7结构体为DER编码derLen = i2d_PKCS7(p7,&derTmp);BIO_free(p7bio);PKCS7_free(p7);  
3 PKCS7常量

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://xiahunao.cn/news/2810276.html

如若内容造成侵权/违法违规/事实不符,请联系瞎胡闹网进行投诉反馈,一经查实,立即删除!

相关文章

ERROR 1045 (28000): Access denied for user ‘root‘@‘localhost‘无密码如何解决

1.修改my.cnf配置文件 &#xff08;1&#xff09;找到my.cnf位置&#xff0c;在[mysqld]下面添加skip-grant-tables cd / vim /etc/my.cnf &#xff08;2&#xff09;添加完成后保存&#xff0c;并重启mysql服务 按下esc 输入:wq 执行 servcie mysqld restart 2.进入mysql数据…

300分钟吃透分布式缓存-14讲:大数据时代,MC如何应对新的常见问题?

大数据时代 Memcached 经典问题 随着互联网的快速发展和普及&#xff0c;人类进入了大数据时代。在大数据时代&#xff0c;移动设备全面融入了人们的工作和生活&#xff0c;各种数据以前所未有的 速度被生产、挖掘和消费。移动互联网系统也不断演进和发展&#xff0c;存储、计…

Matlab论文插图绘制模板第138期—极坐标直方图

在之前的文章中&#xff0c;分享了Matlab一系列极坐标下的插图绘制模板&#xff1a; 本期再来分享一下极坐标直方图的绘制模板。 先来看一下成品效果&#xff1a; 特别提示&#xff1a;本期内容『数据代码』已上传资源群中&#xff0c;加群的朋友请自行下载。有需要的朋友可以…

MySQL多实例与Mycat分布式读写分离的架构实践

文章目录 1.Mycat读写分离分布式架构规划2.在两台服务器中搭建八个MySQL实例2.1.安装MySQL软件2.2.创建每个MySQL实例的数据目录并初始化2.3.准备每个实例的配置文件2.4.准备每个实例的启动脚本2.6启动每台机器的MySQL多实例2.7.为每个MySQL实例设置密码2.8.查看每个MySQL实例的…

项目启动∣新一代亿元级国民零食品牌「比比赞」携手企企通,合力打造企业级数字化采购与供应链管理平台

为进一步提升企业的核心供应链一体化协同管理&#xff0c;助力企业效益提升&#xff0c;近日&#xff0c;泉州市丰泽区尚客食品有限公司&#xff08;以下简称“比比赞”&#xff09;与企企通携手&#xff0c;成功召开SRM项目启动会。 会议期间&#xff0c;双方对项目背景、项目…

Oracle内存计算应用模式

前言 内存计算是利用内存来加速数据访问和应用的性能&#xff0c;并降低应用开发复杂度的技术。近十年来&#xff0c;随着软硬件技术的发展和用户需求的成熟&#xff0c;内存计算技术已经得到了广泛地应用。 Oracle在内存计算领域具有非常重要的地位&#xff0c;这主要得益于…

开了抖店该怎么玩?不知道运营流程的,今天一文带你了解!

大家好&#xff0c;我是电商小布。 在电商的快速发展下&#xff0c;越来越多的新手小伙伴开始加入其中。 抖音小店作为当前的低成本创业项目&#xff0c;吸引到了很多的新手朋友加入其中。 但是开店后怎么玩&#xff0c;如何做好运营操作呢&#xff1f; 今天&#xff0c;小…

WampServer环境下载安装并结合内网穿透实现远程访问管理界面

文章目录 前言1.WampServer下载安装2.WampServer启动3.安装cpolar内网穿透3.1 注册账号3.2 下载cpolar客户端3.3 登录cpolar web ui管理界面3.4 创建公网地址 4.固定公网地址访问 前言 Wamp 是一个 Windows系统下的 Apache PHP Mysql 集成安装环境&#xff0c;是一组常用来…

AI论文速读 | 【综述】(LLM4TS)大语言模型用于时间序列

题目&#xff1a;Large Language Models for Time Series: A Survey 作者&#xff1a;Xiyuan Zhang , Ranak Roy Chowdhury , Rajesh K. Gupta and Jingbo Shang 机构&#xff1a;加州大学圣地亚哥分校&#xff08;UCSD&#xff09; 网址&#xff1a;https://arxiv.org/abs/…

CleanMyMac2024一款备受赞誉的mac电脑垃圾清理软件

在数字世界中&#xff0c;我们的Mac不仅仅是一台电脑&#xff0c;更是我们工作、娱乐和生活的得力助手。然而&#xff0c;随着时间的推移&#xff0c;系统垃圾、无用文件和缓存不断堆积&#xff0c;让Mac变得迟钝&#xff0c;甚至威胁到我们的数据安全。此刻&#xff0c;您需要…

《Docker 简易速速上手小册》第6章 Docker 网络与安全(2024 最新版)

文章目录 6.1 Docker 网络概念6.1.1 重点基础知识6.1.2 重点案例&#xff1a;基于 Flask 的微服务6.1.3 拓展案例 1&#xff1a;容器间的直接通信6.1.4 拓展案例 2&#xff1a;跨主机容器通信 6.2 配置与管理网络6.2.1 重点基础知识6.2.2 重点案例&#xff1a;配置 Flask 应用的…

vite搭配vue2创建工程

一、安装vite npm init vite2.8.0 vite默认支持的是vue3&#xff0c; 这里选择框架和版本vanilla&#xff0c; 方便以后自己安装vue2. 二、修改package.json 默认生成的pacakage.json文件 {"name": "vite-project","private": true,"v…

开源项目---集成系信息管理平台

文章目录 概要整体架构流程内置的功能介绍系统演示小结 概要 提示&#xff1a;开源信息管理平台 主要是进行的是对于大部分的管理信息平台的综合&#xff0c;以及进行相关的开源项目的改造和升级&#xff0c;添加新的功能的同时&#xff0c;也是为了更好的让大家一起学习&#…

优优嗨聚集团:法律咨询服务,守护您生活的每一份权益

在当今社会&#xff0c;随着法治意识的日益增强&#xff0c;法律咨询服务的重要性愈发凸显。无论是个人还是企业&#xff0c;面对纷繁复杂的法律环境&#xff0c;专业的法律咨询服务成为了不可或缺的护航者。 一、法律咨询服务&#xff1a;个人权益的守护者 在日常生活中&…

手机和windows的便签怎么共享账号使用

在忙碌的生活中&#xff0c;我经常需要在手机和电脑之间同步记事信息。可是&#xff0c;每次当我在手机上记下一些重要事项后&#xff0c;想要在电脑上查看或继续编辑时&#xff0c;总是遇到各种麻烦。因为手机和电脑上的便签软件各不相同&#xff0c;无法实现账号共享和内容同…

Object中的hashCode()

让hashcode方法的返回值为地址 vm参数中输入-XX:UnlockExperimentalVMOptions -XX:hashCode4&#xff0c;如下图&#xff1a; 参考 搞懂JAVAObject中的hashCode()_java_脚本之家 JDK核心JAVA源码解析(9) - hashcode 方法 - 知乎

护眼台灯怎么选?五大2024年口碑台灯力荐!

护眼台灯算得上是近年来家长为孩子置办最多的用品之一&#xff0c;作为一名十分关注各类市场的测评师&#xff0c;我时刻关注各种家电、灯具的走向&#xff0c;也结合实际的使用&#xff0c;为广大用户提供专业深度的护眼台灯测评。对于护眼台灯&#xff0c;消费者的评价褒贬不…

git之远程操作

一.分布式版本控制系统 分布式版本控制系统通常也有⼀台充当“中央服务器”的电脑&#xff0c;但这个服务器的作⽤仅仅是⽤来⽅便“交换”⼤家的修改&#xff0c;没有它⼤家也⼀样⼲活&#xff0c;只是交换修改不⽅便⽽已。有了这个“中央服务器”的电脑&#xff0c;这样就不怕…

如何在本地部署密码管理软件bitwarden并结合cpolar实现远程同步

文章目录 1. 拉取Bitwarden镜像2. 运行Bitwarden镜像3. 本地访问4. 群晖安装Cpolar5. 配置公网地址6. 公网访问Bitwarden7. 固定公网地址8. 浏览器密码托管设置 Bitwarden是一个密码管理器应用程序&#xff0c;适用于在多个设备和浏览器之间同步密码。自建密码管理软件bitwarde…

疯狂收割offer,软件测试-自动化测试面试题汇总(新版)

目录&#xff1a;导读 前言一、Python编程入门到精通二、接口自动化项目实战三、Web自动化项目实战四、App自动化项目实战五、一线大厂简历六、测试开发DevOps体系七、常用自动化测试工具八、JMeter性能测试九、总结&#xff08;尾部小惊喜&#xff09; 前言 面试题&#xff1…