Fuente autorizada sobre XML-sig

Question

Tenemos una pregunta con respecto a XML-sig y necesitamos detalles sobre los elementos opcionales, así como algunas de las cosas de canonicalización y transformación.Estamos escribiendo una especificación para una carga útil de sintaxis XML muy pequeña que se incluirá en los metadatos de los archivos multimedia y debe estar firmada criptográficamente.En lugar de reinventar la rueda, pensamos que deberíamos usar la especificación XML-sig, pero creo que la mayor parte es excesiva para lo que necesitamos, por lo que nos gusta tener más información/diálogo con personas que conocen los detalles.

Específicamente, ¿debemos preocuparnos por las transformaciones o la canonicalización si el XML es muy básico, sin pestañas para formatear y es específico para nuestras necesidades?

Answer 1

Si existe la opción de no haga una firma XML y en lugar de tratar el XML como un flujo de bytes y firmarlo, hágalo.Será más fácil de implementar, más fácil de entender, más estable (sin canonicalización, transformación, política,...) y más rápido.

Si es absolutamente necesario tener XML DSIG (lamentablemente, algunos de nosotros debemos hacerlo), ciertamente es posible hoy en día, pero hay muchas, muchas advertencias.Necesita un buen soporte de biblioteca, con Java esto está listo para usar en JDK 1.6, no estoy familiarizado con otras plataformas.Debe probar la interoperabilidad con el extremo receptor de su XML firmado, especialmente si potencialmente se encuentran en una plataforma diferente.

Asegúrate de leer Por qué no funciona la seguridad XML, básicamente cubre todo el terreno relacionado con el horror que es la canonicalización XML y da algunos consejos sobre algunas alternativas.

Answer 2

¿Puede informarnos qué tecnología está utilizando, ya que hay algunas partes interesantes sobre estas cosas y algunos atajos...?es decir.¡WSE2 es una bestia compleja y algo en lo que no me gusta equivocarme!

No me gusta que los desarrolladores hagan esto y existen aceleradores WSE2 como SSL Accelorates, ya que el procesamiento del cifrado tiene un costo enorme; es mejor sacarlo del proceso del código normal y del ámbito de desarrollo.

Si esta es una opción para ti... Prueba a mirar esto - ForumSystems

Answer 3

Si necesita firmar XML en el código, consulte XML Caja Negra que proporciona la canonicalización y todas las demás transformaciones para usted.XMLBlackbox también es compatible con XAdES.