署名済みのjarにタイムスタンプが含まれているかどうかを検証する方法は？

StackOverflow https://stackoverflow.com/questions/1647759

質問

jarが署名され、-tsaオプションが使用された後、タイムスタンプが含まれていることをどのように検証できますか？試しました：

jarsigner -verify -verbose -certs myApp.jar

ただし、出力ではタイムスタンプについて何も指定されていません。 -tsa URLパスにタイプミスがあっても、jarsignerは成功するので、私は尋ねています。これはGlobalSign TSA URLです： http://timestamp.globalsign.com/scripts/timstamp.dll とその背後のサーバーは明らかにすべてのパス（つまり、timestamp.globalsign.com / foobar）を受け入れるため、最終的には、jarにタイムスタンプが付けられているかどうか本当にわかりません。

役に立ちましたか？

解決

この問題を探すために最後の2時間を費やし、最終的にjarファイルの署名ブロックファイルにタイムスタンプ情報が実際に含まれているかどうかを特定する方法を見つけました。 /META-INF/FOO.DSAファイルのhexeditorにGlobalSign証明書が表示されましたが、必要な情報を印刷するツールは見つかりませんでした。

FOO.DSAファイルの名前をfoo.p7bに変更して、Windows CertMgrで開くことができますが、タイムスタンプ情報も表示されません。また、OpenSSLを使用してDSAファイルを検証することもできませんでした（PKCS＃7ファイル形式です）。

それで、タイムスタンプSignerInfoとタイムスタンプが作成された日付を表示する次のコードを思いつきました。良いスタートになることを願っています。 クラスパスにbcprov-jdk16-144.jar、bctsp-jdk16-144.jar、およびbcmail-jdk16-144.jarが必要です。 Bouncycastle

から入手してください。 
package de.mhaller.bouncycastle;

import java.io.FileInputStream;
import java.io.IOException;
import java.io.InputStream;
import java.security.Security;
import java.util.Collection;
import java.util.jar.JarEntry;
import java.util.jar.JarInputStream;

import org.bouncycastle.asn1.DEREncodable;
import org.bouncycastle.asn1.cms.Attribute;
import org.bouncycastle.asn1.cms.AttributeTable;
import org.bouncycastle.asn1.pkcs.PKCSObjectIdentifiers;
import org.bouncycastle.cms.CMSException;
import org.bouncycastle.cms.CMSSignedData;
import org.bouncycastle.cms.SignerId;
import org.bouncycastle.cms.SignerInformation;
import org.bouncycastle.cms.SignerInformationStore;
import org.bouncycastle.jce.provider.BouncyCastleProvider;
import org.bouncycastle.tsp.TSPException;
import org.bouncycastle.tsp.TimeStampToken;
import org.bouncycastle.tsp.TimeStampTokenInfo;

public class VerifyTimestampSignature {

    private static boolean found;

    public static void main(String[] args) throws Exception {
        if (args == null || args.length != 1) {
            System.out.println("usage: java " + VerifyTimestampSignature.class.getName()
                    + " [jar-file|dsa-file]");
            return;
        }

        BouncyCastleProvider provider = new BouncyCastleProvider();
        Security.addProvider(provider);

        String filename = args[0];

        if (filename.toLowerCase().endsWith(".dsa")) {
            InputStream dsa = new FileInputStream(filename);
            printDSAInfos(filename, dsa);
            return;
        }

        if (filename.toLowerCase().endsWith(".jar")) {
            InputStream jar = new FileInputStream(filename);
            JarInputStream jarInputStream = new JarInputStream(jar);
            JarEntry nextJarEntry;
            do {
                nextJarEntry = jarInputStream.getNextJarEntry();
                if (nextJarEntry == null) {
                    break;
                }
                if (nextJarEntry.getName().toLowerCase().endsWith(".dsa")) {
                    printDSAInfos(nextJarEntry.getName(), jarInputStream);
                }
            } while (nextJarEntry != null);
        }

        if (!found) {
            System.out.println("No certificate with time stamp information found in " + filename);
        } else {
            System.out.println("Found at least one time stamp info");
            System.out.println("Note: But it was NOT verified for validity!");
        }
    }

    private static void printDSAInfos(String file, InputStream dsa) throws CMSException,
            IOException, TSPException {
        System.out.println("Retrieving time stamp token from: " + file);
        CMSSignedData signature = new CMSSignedData(dsa);
        SignerInformationStore store = signature.getSignerInfos();
        Collection<?> signers = store.getSigners();
        for (Object object : signers) {
            SignerInformation signerInform = (SignerInformation) object;
            AttributeTable attrs = signerInform.getUnsignedAttributes();
            if (attrs == null) {
                System.err
                        .println("Signer Information does not contain any unsigned attributes. A signed jar file with Timestamp information should contain unsigned attributes.");
                continue;
            }
            Attribute attribute = attrs.get(PKCSObjectIdentifiers.id_aa_signatureTimeStampToken);
            DEREncodable dob = attribute.getAttrValues().getObjectAt(0);
            CMSSignedData signedData = new CMSSignedData(dob.getDERObject().getEncoded());
            TimeStampToken tst = new TimeStampToken(signedData);

            SignerId signerId = tst.getSID();
            System.out.println("Signer: " + signerId.toString());

            TimeStampTokenInfo tstInfo = tst.getTimeStampInfo();
            System.out.println("Timestamp generated: " + tstInfo.getGenTime());
            found = true;
        }
    }
}

他のヒント

https://blogs.oracle.com/mullan/entry/how_to_determine_if_a から：

  

jarsigner ユーティリティを使用できます。署名されたJARが次のようにタイムスタンプされているかどうかを判断します。

     

jarsigner -verify -verbose -certs signed.jar

     

signed.jar は、署名されたJARの名前です。タイムスタンプが付けられている場合、出力には、署名された時刻を示す次の行が含まれます。

     

[エントリは8/2/13 3:48 PMに署名されました]

     

JARにタイムスタンプが付けられていない場合、出力にはこれらの行が含まれません。

Javaの keytool は、署名付きJARにタイムスタンプが付けられているかどうかを確認でき、TSAの証明書も表示できます。

$ keytool -printcert -jarfile myApp.jar

...

Timestamp:

Owner: CN=GeoTrust Timestamping Signer 1, O=GeoTrust Inc, C=US
Issuer: CN=Thawte Timestamping CA, OU=Thawte Certification, O=Thawte, L=Durbanville, ST=Western Cape, C=ZA
Serial number: 5e8d2daca44665546bb587978191a8bf
Valid from: Wed Oct 31 00:00:00 GMT 2007 until: Mon Oct 30 23:59:59 GMT 2017
Certificate fingerprints:
     MD5:  E5:30:07:8E:91:8D:A0:6C:18:6D:91:2A:B6:D2:3A:56
     SHA1: 22:3C:DA:27:07:96:73:81:6B:60:8A:1B:8C:B0:AB:02:30:10:7F:CC
     SHA256: D7:B8:44:BD:39:5A:17:36:02:39:51:C6:4D:6C:81:65:45:93:AD:29:1D:DC:E4:6C:8D:79:B6:65:DF:31:0C:F6
     Signature algorithm name: SHA1withRSA
     Version: 3

...

mhallerは素晴らしいコード（printDSAInfos）を提供します。私の仕事を大いに助けてくれます。ただし、いくつかの変更が必要です。 DEREncodableクラスはASN1Encodableに変更され、getDERObject（）メソッドはtoASN1Primitiveに変更されました。したがって、コードは次のようになります

    ASN1Encodable dob = attribute.getAttrValues().getObjectAt(0);
    CMSSignedData signedData = new CMSSignedData(dob.toASN1Primitive().getEncoded());
ライセンス： CC-BY-SA と 帰属
所属していません StackOverflow
scroll top