JSON nesnelerini imzalama

Question

Bir hizmetin farklı platformları ve uygulamaları arasında JSON nesneleri değiş tokuş etmek ve bütünlüğünü dijital imzalar aracılığıyla doğrulanabilir yapmak zorundayım. Böylece bir A platformu böyle bir nesne oluşturacak ve dijital bir imza yaratacaktır. Söz konusu imza daha sonra nesneye dahil edilir ve B platformuna gönderilir. JSON nesneleri, keyfi nitelikler ve veriler içerebilir.

E.g. PHP'de: ör.,

function signObject($jsonObjectToSign, $privateKey) { 
    $jsonObjectToSign->signature = ""; 
    $msgToSign = json_encode($jsonObjectToSign); 

    openssl_sign($msgToSign, $jsonObjectToSign->signature, $privateKey, OPENSSL_SLGO_SHA1); 

    return $jsonObjectToSign; 
} 

Sorun şu ki, örn. Java'da, bir JSON nesnesinin özelliklerinin, onları eklediğiniz sırada (JSONObject.put() aracılığıyla) olup olmayacağını belirtmenin bir yolu yoktur. PHP bir

$json = json_encode('{"a":1, "b":2}'); 

yaparsanız yani, ben muhtemelen farklı olacaktı, imzayı doğrulamak için deneyin, bir java tabanlı bir sunucuya aktarmak, yukarıda belirtildiği gibi bu nesneyi imzalamak json nesnesi deşifre ve nesnenin özniteliklerinin sırası.

İhtiyacım olan şey, kullanılan dil veya platformdan bağımsız olarak JSONObject öğesinden bir String oluşturmak için güvenilir bir yoldur.

Yukarıdaki örnek nesnenin her zaman {"a":1, "b":2} ve NEVER {"b":2, "a":1} çıkışına ihtiyacı vardır. Ne yazık ki, bu olağan durum örn. Java'da.

JSON Nesneleri güvenli bir şekilde imzalamak için herhangi bir "en iyi uygulama" var mı?

Ama beni başka bir şekilde sorunu tarif edelim:

ı Java bunu yapmak istiyor demek (veya başka bir dili) yapalım: Şimdi

JSONObject j = new JSONObject(); 
j.put("a", 1); 
j.put("b", 2); 

, bir seri fonksiyonu gerekir ki Bu nesne için her zaman aynı dize temsili çıktıları, bu nesnenin nasıl ve hangi dilde oluşturulduğu önemli değildir.

Answer 1

Şimdi bunu çözdüm. Başlık içindekiler hariç, JOSE'un yaptığı gibi. Ancak JOSE, ihtiyacım olmayan bir sürü havai (ve özellik) getiriyor gibi görünüyor. Bu yüzden aşağıdaki ile gitmeye karar verdi: eğer [bu] (

class Signature 
{ 
    private static $algorithm = OPENSSL_ALGO_SHA512; 
    private static $signaturePrefix = '-----BEGIN SIGNATURE-----'; 
    private static $signaturePostfix = '-----END SIGNATURE-----'; 

    public static function createSignature($message, $privateKey) 
    { 
     $signature = null; 

     openssl_sign($message, $signature, $privateKey, self::$algorithm); 

     return self::$signaturePrefix . base64_encode($signature) . self::$signaturePostfix; 
    } 

    public static function verifySignature($message, $publicKey, $signature) 
    { 
     $signature = str_replace(self::$signaturePrefix, '', $signature); 
     $signature = str_replace(self::$signaturePostfix, '', $signature); 

     return openssl_verify($message, base64_decode($signature), $publicKey, self::$algorithm); 
    } 

    public static function signJSON($jsonToSign, $privateKey) 
    { 
     if(gettype($jsonToSign) != 'string') 
      $jsonToSign = json_encode($jsonToSign); 

     $signedJSON = json_decode('{}'); 
     $sigedJSON->signature = self::createSignature($message, $privateKey); 
     $signedJSON->object = $jsonToSign; 

     return $signedJSON; 
    } 

    public static function verifyJSONSignature($jsonObject, $publicKey) 
    { 
     if(gettype($jsonObject->object) == 'string') 
      throw new Exception('Value $jsonObject->object must be a String, is a ' . gettype($jsonObject->object)); 

     return self::verifySignature($jsonObject->object, $publicKey, $jsonObject->signature); 
    } 
} 

Answer 2

JSFA'da henüz bir resmi (resmi olmayan) standardı olmayan bir AFAIK var olduğundan, muhtemelen özel bir uygulama yapabilirim. Yeni bir JSON nesnesini tanımlardım, ör. Sistemimin her iki tarafına da bir imzalama/imza doğrulama katmanı uygulayın ve uygulayın.

Answer 3

JSON nesnelerinin imzalanması ve şifrelenmesi, JOSE'un Javascript Nesnesi İmzalama ve Şifreleme anlamına geldiği belirtimlerin JOSE paketinde belirtilmiştir, bkz. http://jose.readthedocs.org/en/latest/ JOSE, JSON nesnesinin bir base64url kodlama gösterimi üzerinden hesaplanan ayrılmış bir imza kullanır. İmza, JSON nesnesinin bir parçası değildir, dolayısıyla doğrulamak için yeniden sıralama gerekmez.

Answer 4

JsonObject js = new JsonObject(); 
js.addProperty("c", "123"); 
js.addProperty("t", "yyyy-MM-dd'T'HH:mm:ss.SSSZ"); 
System.out.println("Json object == " + js); 
GenerateSignature util = new GenerateSignature(); 
String ecodedToken = util.signJSONObject(js);