XMLSignatureValidator  - AS3

Состояние достоверности для криптографической подписи, рассчитанной по элементу SignedInfo подписи.

Значение состояния:

• valid — если сигнатура криптографически действительна.
• invalid — если дайджест менялся после подписания.
• unknown — если метод verify() не вызывался.

Примечание. Если digestStatus имеет значение invalid, свойства identityStatus и referencesStatus не проверяются и принимают значение unknown.

Состояние достоверности подписывающего сертификата.

Состояние может принимать следующие значения:

• valid — срок действия сертификата не истек, не было ошибок при проверке аннулирования, сертификат связан цепью с доверенным корневым сертификатом.
• unknown — срок действия сертификата не истек, не было ошибок при проверке аннулирования, но цепь к доверенному корневому сертификату отсутствует. Состояниеunknown также будет выставляться, если еще не проведена проверка, потому что метод verify() еще не вызывался или потому что криптографическая сигнатура элемента SignedInfo (digestStatus) недействительна.
• invalid — срок действия сертификата истек или обнаружена ошибка при проверке аннулирования.

Сертификаты добавляются с помощью метода addCertificate(), а установки свойств revocationCheckSetting и useSystemTrustStore можно изменить в зависимости от того, считается ли сертификат действительным.

Примечание. Если identityStatus имеет значение invalid, свойство referencesStatus не проверяется и принимает значение unknown. Более того, ссылки не проверяются, если identityStatus имеет значение unknown, если только referencesValidationSetting не имеет значение validOrUnknownIdentity

Связанные элементы API

 import flash.security.XMLSignatureValidator;
 
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var identityResult:String = verifier.identityStatus;

Свойству isSupported задается значение true, если текущая платформа поддерживает класс XMLSignatureValidator, в противном случае задается значение false.

Состояние достоверности данных в ссылках элемента SignedInfo подписи.

Состояние может принимать следующие значения:

• valid — если все ссылки действительны.
• invalid — если какая-либо ссылка недействительна.
• unknown — если проверка не была выполнена. Ссылки могут не проверяться по следующим причинам:
  • метод verify() не был вызван;
  • криптографическая подпись элемента SignedInfo (digestStatus) недействительна;
  • сертификат подписи (identityStatus) недействителен;
  • referencesValidationSetting имеет значение validIdentity (настройка по умолчанию), и значение identityStatus сертификата подписи неизвестно;
  • referencesValidationSetting имеет значение never.

Важно! Внешние ресурсы не проверяются, если в элементе SignedInfo документа подписи нет прямой ссылки на них. Внешние ресурсы, на которые указывают вторичные ссылки, не проверяются. Например, если XML-подпись используется для элемента манифеста, проверяется только целостность самого элемента манифеста. Файлы, перечисленные в манифесте, не проверяются.

Связанные элементы API

 import flash.security.XMLSignatureValidator;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var dataResult:String = verifier.referencesStatus;

Указывает условия проверки ссылок.

Для настройки этого свойства используются константы, определенные в классе ReferencesValidationSetting. Эти параметры включают:

• ReferencesValidationSetting.VALID_IDENTITY — проверка ссылок выполняется, только если сертификат подписи действительный и ведет к доверенному корневому сертификату. Это настройка по умолчанию.
• ReferencesValidationSetting.VALID_OR_UNKNOWN_IDENTITY — проверка ссылок выполняется, если сертификат подписи действительный, даже если он не ведет к доверенному корневому сертификату.
• ReferencesValidationSetting.NEVER — проверка ссылок никогда не выполняется.

Используйте настройку по умолчанию (validIdentity) для коммерческих сертификатов подписи или в случае предоставления собственного сертификата в качестве якоря доверия в методе addCertificate(). Эта настройка позволит избежать излишней проверки действительности ссылки, если подписанный документ будет отклонен в любом случае.

Используйте настройку validOrUnknownIdentity для самозаверяющих сертификатов. Данная настройка позволяет проверить, не были ли изменены подписанные данные, но не позволяет проверить личность подписавшего.

Используйте настройку never, чтобы избежать излишней проверки ссылок, если такая проверка не важна в контексте вашего приложения.

Связанные элементы API

 import flash.security.ReferencesValidationSetting;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator(); 
 verifier.referencesValidationSetting = ReferencesValidationSetting.VALID_OR_UNKNOWN_IDENTITY;

Указывает, как проверяется аннулирование сертификата.

Используются константы, определенные в классе RevocationSettings для настройки этого свойства. Эти параметры включают:

• RevocationCheckSettings.NEVER — аннулирование сертификата не проверяется.
• RevocationCheckSettings.BEST_EFFORT — проверяется аннулирование сертификата, если информация об аннулировании сертификата доступна, а состояние аннулирования может быть получено. Если состояние аннулирования невозможно установить определенно, сертификат не отвергается.
• RevocationCheckSettings.REQUIRED_IF_AVAILABLE — если сертификат содержит информацию об аннулировании, состояние аннулирования должно быть точно установлено для проверки действительности сертификата.
• RevocationCheckSettings.ALWAYS_REQUIRED — всегда проверять аннулирование сертификата. Сертификаты без информации об отзыве отвергаются.

Связанные элементы API

Поле «Общее имя» в подписывающем сертификате.

 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var commonName:String = verifier.signerCN;

Поле «Отличительное имя» в подписывающем сертификате.

 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var distinguishedName:String = verifier.signerDN;

Массив, содержащий объектные идентификаторы расширенного использования ключей, перечисленные в подписывающем сертификате.

Каждое расширенное использование ключей регистрируется в форме цифрового объектного идентификатора.

 import flash.security.XMLSignatureValidator;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var extendedKeyOIDs:Array = verifier.signerExtendedKeyUsages;

Массив, содержащий доверительные параметры подписывающего сертификата.

Доверительные параметры выводятся из системного объектного идентификатора и идентификатора использования ключей, встроенных в сертификат. Константы для строк, представляющие распознанные доверительные параметры, определенные в классе SignerTrustSettings.

Массив signerTrustSettings для сертификата в состоянии unknown или invalid не содержит данных.

Модификация массива не изменяет доверительных параметров сертификата.

Связанные элементы API

 import flash.security.XMLSignatureValidator;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate a signature...
  
 var certificateTrustedFor:Array = verifier.signerTrustSettings;

Реализация IURIDereferencer.

Реализация IURIDereferencer должна быть предоставлена до попытки проверки сигнатуры.

Связанные элементы API

 import com.example.SignedMessageDereferencer; //A custom class implementing IURIDereferencer
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator(); 
 verifier.uriDereferencer = new SignedMessageDereferencer();

Указывает, какие сертификаты из хранилища доверенных сертификатов используются для создания цепи.

Если значение true, то якоря доверия в хранилище доверенных сертификатов используются в качестве доверенных корней. Хранилище доверенных сертификатов по умолчанию не используется.

 var verifier:XMLSignatureValidator = new XMLSignatureValidator(); 
 verifier.useSystemTrustStore = true;

Состояние достоверности проверенной сигнатуры XML.

Проверка XML-подписи включает в себя проверку криптографической подписи элемента SignedInfo, сертификата подписи и данных, на которые указывают ссылки в элементе SignedInfo. Достоверность каждого из этих элементов регистрируется отдельно с помощью свойств digestStatus, identityStatus() и referencesStatus соответственно.

Достоверность сигнатуры XML может иметь три значения: действительно, недействительно, неизвестно. Общее состояние зависит от состояния проверки отдельных компонентов файла сигнатуры.

• digestStatus — криптографическая достоверность сигнатуры вычисляется по элементу SignedInfo.
• identityStatus — достоверность подписывающего сертификата.
• referencesStatus — достоверность дайджеста ссылок в элементе сигнатуры SignedInfo.

Достоверность сигнатуры, указанная в свойстве validityStatus, может принимать следующие значения.

• valid — если свойства referencesStatus, digestStatus и identityStatus все имеют значение valid.
• invalid — если для какого-либо отдельного состояния задано значение invalid.
• unknown — если какое-либо отдельное состояние имеет значение unknown.

Связанные элементы API

 import flash.security.XMLSignatureValidator;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 //validate the signature...
  
 var validationResult:String = verifier.validityStatus;

Создает объект XMLSignatureValidator.

Необходимо установить свойство uriDereferencer перед вызовом метода verify() для нового объекта.

Связанные элементы API

 
import com.example.EnvelopedDereferencer; //Your custom IURIDereferencer implementation

//Create the object
var verifier:XMLSignatureValidator = new XMLSignatureValidator();

//Provide the IURIDerferencer
verifier.uriDereferencer = new EnvelopedDereferencer(xmlDoc);

//Set validation options
verifier.referencesValidationSetting = ReferencesValidationSetting.VALID_OR_UNKNOWN_IDENTITY;
verifier.revocationCheckSetting = RevocationCheckSettings.NEVER;
verifier.useSystemTrustStore = true;

//Add listeners to handle results
verifier.addEventListener(Event.COMPLETE, verificationComplete);
verifier.addEventListener(ErrorEvent.ERROR, verificationError);

Добавляется сертификат x509 для построения цепи.

Добавляемый сертификат должен быть зашифрованным в формате DER сертификатом x509.

Если для параметра trusted задано значение true, то данный сертификат считается якорем доверия.

Примечание. Сигнатура XML может включать сертификаты для построения цепи сертификатов подписывающего. Класс XMLSignatureValidator использует эти сертификаты для построения цепи, но не в качестве доверенных корней (по умолчанию).

Параметры

 import flash.utils.ByteArray;
 
 var verifier:XMLSignatureValidator = new XMLSignatureValidator();
 var certificate:ByteArray = new ByteArray();
 
 var certFile:File = new File("certificate.cer");
 var certFileStream:FileStream = new FileStream();
 certFileStream.open(certFile, FileMode.READ);
 certFileStream.readBytes(certificate, 0, certFileStream.bytesAvailable);

 verifier.addCertificate(certificate, true);

Проверяет указанную сигнатуру.

Проверка выполняется в асинхронном режиме. Объект XMLSignatureValidator передает событие complete, если проверка завершается успешно, или событие error, если проверка не может быть выполнена из-за ошибок.

Процесс проверки не может быть отменен. Пока происходит процесс проверки, последующие вызовы метода verify() завершаются со сбоем. После того как текущая проверка завершена, можно снова вызывать метод verify().

Примечание. Поскольку класс XMLSignatureValidator реализует только часть набора рекомендаций W3C для синтаксиса и обработки подписей XML, многие действительные в других случаях подписи XML не могут быть проверены.

Параметры

import flash.filesystem.File;
import flash.filesystem.FileStream;
import com.example.SignedMessageDereferencer; //Your IURIDereferencer implementation
 
const xmlSignatureNS:Namespace = new Namespace( "http://www.w3.org/2000/09/xmldsig#" );

var verifier:XMLSignatureValidator = new XMLSignatureValidator();
verifier.uriDereferencer = new SignedMessageDereferencer();

var signatureFile:File = new File( "path/to/XMLSignatureDocument.xml" );
var sigFileStream:FileStream = new FileStream();
sigFileStream.open( signatureFile, FileMode.READ );

var xmlDoc:XML = XML( sigFileStream.readUTFBytes(sigFileStream.bytesAvailable) );
var xmlSig:XML = XML( xmlDoc..xmlSignatureNS::Signature );

verifier.verify( xmlSig );

Передается, если выполнена проверка.

Событие complete не подразумевает, что сигнатура действительна. Проверьте свойство validityStatus объекта XMLSignatureValidator, чтобы узнать результат проверки подписи.

Это событие имеет следующие свойства:

private function verificationComplete(event:Event):void{
    var validator:XMLSignatureValidator = event.target as XMLSignatureValidator;
    trace("Digest status: " + validator.digestStatus);
    trace("Identity status: " + validator.identityStatus);
    trace("Reference status: " + validator.referencesStatus);
    trace("Signature status: " + validator.validityStatus);    
}

Связанные элементы API

Передается, если невозможно выполнить проверку из-за ошибок.

Это событие имеет следующие свойства:

private function verificationError(event:ErrorEvent):void{
    trace("Verification error: " + event.text);                
}