为啥我使用 OpenSSL 和 Java 生成的 RSA-SHA256 签名不同？

Posted 2023-02-25

【中文标题】为啥我使用 OpenSSL 和 Java 生成的 RSA-SHA256 签名不同？

【英文标题】：Why are the RSA-SHA256 signatures I generate with OpenSSL and Java different?为什么我使用 OpenSSL 和 Java 生成的 RSA-SHA256 签名不同？

【发布时间】：2012-11-05 07:58:53

【问题描述】：

我想在 Java 中生成一个 RSA-SHA256 签名，但我无法让它在控制台上生成与 OpenSSL 相同的签名。

这就是我对 OpenSSL 所做的（遵循this tutorial）：

生成密钥对：

openssl genrsa -out private.pem 1024

提取公钥：

openssl rsa -in private.pem -out public.pem -outform PEM -pubout

创建数据哈希：

echo 'data to sign' > data.txt
openssl dgst -sha256 < data.txt > hash

生成的哈希文件以(stdin)= 开头，我手动删除了（先忘了提，谢谢mata）。

签名哈希：

openssl rsautl -sign -inkey private.pem -keyform PEM -in hash  > signature

为了在 Java 中重现结果，我首先将私钥从 PEM 转换为 DER：

openssl pkcs8 -topk8 -inform PEM -outform DER -in private.pem -nocrypt > private.der

现在我编写了这个 Java 类来生成相同的签名：

public class RSATest 

    public static void main(String[] args) throws IOException,
            NoSuchAlgorithmException, InvalidKeySpecException,
            InvalidKeyException, SignatureException 

        byte[] encodedPrivateKey = readFile("private.der");
        byte[] content = readFile("data.txt");

        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(encodedPrivateKey);
        RSAPrivateKey privateKey = (RSAPrivateKey) keyFactory
                .generatePrivate(keySpec);

        Signature signature = Signature.getInstance("SHA256withRSA");
        signature.initSign(privateKey);
        signature.update(content);
        byte[] signatureBytes = signature.sign();

        FileOutputStream fos = new FileOutputStream("signature-java");
        fos.write(signatureBytes);
        fos.close();
    

    private static byte[] readFile(String filename) throws IOException 
        File file = new File(filename);
        BufferedInputStream bis = new BufferedInputStream(new FileInputStream(
                file));
        byte[] bytes = new byte[(int) file.length()];
        bis.read(bytes);
        bis.close();
        return bytes;
    

不幸的是结果不一样，所以我想我一定做错了什么，但我不知道是什么。有人可以帮我找出错误吗？

【问题讨论】：

随机填充和消息编码将确保签名不匹配。也许您应该使用确定性签名方案？

【参考方案1】：

openssl dgst -sha256 < data.txt

产生类似的东西：

（标准输入）= b39eaeb437e33087132f01c2abc60c6a16904ee3771cd7b0d622d01061b40729

注意到(stdin)='？您不希望它成为哈希的一部分，如果您需要创建摘要，请使用 -binary 选项。

尝试使用它来签署您的数据：

openssl sha -sha256 -sign private.pem < data.txt

这可以满足您的一切需求。

---

编辑 - 更多解释：

让我们创建一个摘要并显示它

$ openssl dgst -sha256 -binary < data.txt > digest
$ hd digest
00000000  26 3b 0a a1 2e b9 32 db  b8 dc d3 6f 37 94 0b 05  |&;....2....o7...|
00000010  71 9c ba 79 46 34 28 9f  5c 5b 98 9a 64 61 c9 ec  |q..yF4(.\[..da..|

现在我们获取这个摘要并使用 rsautl 进行 int 签名：

$ openssl rsautl -sign -inkey private.pem < digest > sign1
$ hd sign1
00000000  1b 7a cf a4 8d 41 8e 04  ed 3a bb ba 86 f1 f8 e0  |.z...A...:......|
00000010  df f7 47 3e d7 a7 f4 90  7a 05 f8 7f 45 e5 29 e7  |..G>....z...E.).|
00000020  9f f4 2c 91 97 2f e7 26  69 9f 6a 07 a3 48 1b 85  |..,../.&i.j..H..|
00000030  2e f8 ee 44 4d 25 9f ae  05 95 81 c9 e3 07 68 ad  |...DM%........h.|

现在让我们直接使用dgst 对同一个文件进行签名：

$ openssl dgst -sha256 -sign private.pem < data.txt > sign2
$ hd sign2
00000000  15 c2 94 87 eb e6 cb 45  c8 63 0c 97 60 d3 07 f3  |.......E.c..`...|
00000010  dc 65 32 ad 44 1c c2 2a  7f a3 e1 fc dd 84 27 8c  |.e2.D..*......'.|
00000020  77 a6 97 2b 33 6b c6 d7  7d e1 1d 39 5c 48 b6 48  |w..+3k....9\H.H|
00000030  cb 18 be bf 6a 66 90 d3  88 89 52 6c dd d1 b9 99  |....jf....Rl....|

那么这里有什么不同呢？为了看到这一点，我们可以验证签名并显示原始输出。两个文件都包含摘要，但元数据和填充不同：

$ openssl rsautl -raw -verify -inkey private.pem < sign1 | hd
00000000  00 01 ff ff ff ff ff ff  ff ff ff ff ff ff ff ff  |................|
00000010  ff ff ff ff ff ff ff ff  ff ff ff ff ff ff ff 00  |................|
00000020  26 3b 0a a1 2e b9 32 db  b8 dc d3 6f 37 94 0b 05  |&;....2....o7...|
00000030  71 9c ba 79 46 34 28 9f  5c 5b 98 9a 64 61 c9 ec  |q..yF4(.\[..da..|

$ openssl rsautl -raw -verify -inkey private.pem < sign2 | hd
00000000  00 01 ff ff ff ff ff ff  ff ff ff ff 00 30 31 30  |.............010|
00000010  0d 06 09 60 86 48 01 65  03 04 02 01 05 00 04 20  |...`.H.e....... |
00000020  26 3b 0a a1 2e b9 32 db  b8 dc d3 6f 37 94 0b 05  |&;....2....o7...|
00000030  71 9c ba 79 46 34 28 9f  5c 5b 98 9a 64 61 c9 ec  |q..yF4(.\[..da..|

为了更清楚地看到这一点，我们可以尝试使用-asn1parse 标志，它不适用于第一个签名，但对于第二个它显示签名的正确结构：

$ openssl rsautl -verify -inkey private.pem -asn1parse < sign1
Error in encoding
139931349546656:error:0D07209B:asn1 encoding routines:ASN1_get_object:too long:asn1_lib.c:142:

$ openssl rsautl -verify -inkey private.pem -asn1parse < sign2
    0:d=0  hl=2 l=  49 cons: SEQUENCE          
    2:d=1  hl=2 l=  13 cons:  SEQUENCE          
    4:d=2  hl=2 l=   9 prim:   OBJECT            :sha256
   15:d=2  hl=2 l=   0 prim:   NULL              
   17:d=1  hl=2 l=  32 prim:  OCTET STRING      
      0000 - 26 3b 0a a1 2e b9 32 db-b8 dc d3 6f 37 94 0b 05   &;....2....o7...
      0010 - 71 9c ba 79 46 34 28 9f-5c 5b 98 9a 64 61 c9 ec   q..yF4(.\[..da..

【讨论】：

你说得对，我已经注意到它并手动从哈希文件中删除了 '(stdin)= '，但忘记在我的问题中提及它。我会纠正我的问题。谢谢。

尽管如此，您应该使用我发布的第二个命令创建签名，您这样做的方式是对哈希的字符串表示形式而不是二进制文件进行签名，这并没有真正创建有效的签名。从here看我的回答

你是对的，再次。使用您的命令，签名与 Java 生成的签名相同。但是对我来说出现了另一个问题。我的旧（不正确的）签名已使用命令openssl rsautl -verify -inkey public.pem -keyform PEM -pubin -in signature > verified 成功验证，但它不再起作用了。你能告诉我正确的验证命令是什么吗？

我试图通过展示一些例子来解释它。我希望它更清楚。

在第一种情况下，您获取任意摘要并对其进行签名，使用 sha256 创建摘要的信息在此过程中丢失，因此生成的签名不会/不能包含该信息，而来自第二个签名的 ASN1 数据表明确实如此。因此，只有在验证者确切知道摘要是如何产生的情况下，才能验证第一个签名，因此它并不是真正无效但不完整（较低级别）的输出。