Я так понял что pkcs7 хранит в себе сертификат, и просто этим сертификатом проверяешь эту подпись(то есть себя ж), возможно я что-то я понял не так..
Вот код:
public boolean verify(byte[] data) {
try {
CMSSignedData cmsSignedData = new CMSSignedData(data);
// получаем список сертификатов, которые содержатся в файле
Store<X509CertificateHolder> certs = cmsSignedData.getCertificates();
// p7s файл может содержать данные, которые были подписаны, то есть ваш pdf файл
byte[] content = (byte[]) cmsSignedData.getSignedContent().getContent();
// проходимся по списку подписей, обычно одна подпись, но стандарт поддерживает множество подписей
for (SignerInformation si : cmsSignedData.getSignerInfos()) {
// список всех атрибутов, подписанных вместе с файлом
AttributeTable signedAttributes = si.getSignedAttributes();
// атрибут с именем
Attribute attrSurname = signedAttributes.get(new ASN1ObjectIdentifier("2.5.4.4"));
// атрибут с именем 2
Attribute attrGivenName = signedAttributes.get(new ASN1ObjectIdentifier("2.5.4.42"));
// атрибут с датой подписи
Attribute attrSigningTime = signedAttributes.get(new ASN1ObjectIdentifier("1.2.840.113549.1.9.5"));
// выводим дату подписи
System.out.println(attrSigningTime.getAttributeValues()[0].toString());
// возможно некоторые атрибуты не были частью подписи, формат поддерживает и такие
//AttributeTable unsignedAttributes = si.getUnsignedAttributes();
// получаем идентификатор сертификата, которым подписаны данные
SignerId signerId = si.getSID();
// ищем сертификат в коллекции по идентификатору
Collection certCollection = certs.getMatches(signerId);
// выбираем первый сертификат, здесь не должно быть больше одного
Iterator certIt = certCollection.iterator();
X509CertificateHolder certHolder = (X509CertificateHolder) certIt.next();
// создаем Verifier на основании сертификата, Verifier использует публичный ключ сертификата
SignerInformationVerifier verifier = new JcaSimpleSignerInfoVerifierBuilder().build(certHolder);
// проверяем подпись
return si.verify(verifier);
}
} catch (CertificateException | OperatorCreationException | CMSException e) {
logger.error(e);
}
return false;
}
Как я понял byte[] content может не содержать самих данных которые подписывает а может и содержать. Так же Attribute *** написаны чисто для проверки. И еще маркер состоит из header.payload.signature в формате base64url, поэтому signature надо декодировать примерно так:
byte[] data = Base64.getUrlDecoder().decode(a);
И уже эту data надо отправлять в эту функцию public boolean verify(byte[] data). Возможно это решение не верное, я точно не знаю. Если это правильно/неправильно то напишите что все ок или подскажите как правильно.
detached signature
как раз и значит, что самих данных внутри нет. Вы должны проверить в себя, доверяете вы этому сертификату, или нет. В этом суть проверки подписи. И это вы уже делаете, как хотите. Или проверяете в локальном хранилище доверенных сертификатов, или хардкодите серийный номер сертификата/SHA-1 отпечаток. – Zergatul 14 фев '18 в 15:48