我正在尝试通过签名服务签署PDF文档。该服务要求发送十六进制编码的SHA256摘要，并返回一个十六进制编码的signatureValue。除此之外，我还会收到签名证书、中间证书、OCSP响应和TimeStampToken。然而，我已经陷入了尝试使用signatureValue签署PDF的困境中。
我已经阅读了Bruno的白皮书，浏览了大量的互联网信息，并尝试了许多不同的方法，但签名仍然无效。
我的最新尝试如下：
首先，准备PDF文件。
在MyExternalSignatureContainer的签名方法中，我现在构建并返回签名容器：
我已经阅读了Bruno的白皮书，浏览了大量的互联网信息，并尝试了许多不同的方法，但签名仍然无效。
我的最新尝试如下：
首先，准备PDF文件。
PdfReader reader = new PdfReader(src);
FileStream os = new FileStream(dest, FileMode.Create);
PdfStamper stamper = PdfStamper.CreateSignature(reader, os, '\0');
PdfSignatureAppearance appearance = stamper.SignatureAppearance;
appearance.Certificate = signingCertificate;
IExternalSignatureContainer external = new ExternalBlankSignatureContainer(PdfName.ADOBE_PPKLITE, PdfName.ADBE_PKCS7_DETACHED);
MakeSignature.SignExternalContainer(appearance, external, 8192);
string hashAlgorithm = "SHA-256";
PdfPKCS7 sgn = new PdfPKCS7(null, chain, hashAlgorithm, false);
PdfSignatureAppearance appearance2 = stamper.SignatureAppearance;
Stream stream = appearance2.GetRangeStream();
byte[] hash = DigestAlgorithms.Digest(stream, hashAlgorithm);
byte[] sh = sgn.getAuthenticatedAttributeBytes(hash, null, null, CryptoStandard.CMS);
将哈希值byte[] sh转换为以下字符串：
private static String sha256_hash(Byte[] value)
{
using (SHA256 hash = SHA256.Create())
{
return String.Concat(hash.ComputeHash(value).Select(item => item.ToString("x2"))).ToUpper();
}
}
发送给签名服务。我收到的十六进制编码的signatureValue然后转换为字节。
private static byte[] StringToByteArray(string hex)
{
return Enumerable.Range(0, hex.Length).Where(x => x % 2 == 0).Select(x => Convert.ToByte(hex.Substring(x, 2), 16)).ToArray();
}
最后，创建签名
private void CreateSignature(string src, string dest, byte[] sig)
{
PdfReader reader = new PdfReader(src); // src is now prepared pdf
FileStream os = new FileStream(dest, FileMode.Create);
IExternalSignatureContainer external = new MyExternalSignatureContainer(sig);
MakeSignature.SignDeferred(reader, "Signature1", os, external);
reader.Close();
os.Close();
}
private class MyExternalSignatureContainer : IExternalSignatureContainer
{
protected byte[] sig;
public MyExternalSignatureContainer(byte[] sig)
{
this.sig = sig;
}
public byte[] Sign(Stream s)
{
return sig;
}
public void ModifySigningDictionary(PdfDictionary signDic) { }
}
我做错了什么？非常感谢您的帮助。谢谢！
编辑：当前状态
感谢mkl提供的帮助，遵循Bruno的延迟签名示例，我已经成功解决了无效签名的问题。显然，签名服务没有向我发送完整的证书链，而只是中间证书，这导致了无效消息。不幸的是，签名仍然存在缺陷。
我按照以下方式构建证书链：
List<X509Certificate> certificateChain = new List<X509Certificate>
{
signingCertificate,
intermediateCertificate
};
在MyExternalSignatureContainer的签名方法中，我现在构建并返回签名容器：
public byte[] Sign(Stream s)
{
string hashAlgorithm = "SHA-256";
PdfPKCS7 sgn = new PdfPKCS7(null, chain, hashAlgorithm, false);
byte[] ocspResponse = Convert.FromBase64String("Base64 encoded DER representation of the OCSP response received from signing service");
byte[] hash = DigestAlgorithms.Digest(s, hashAlgorithm);
byte[] sh = sgn.getAuthenticatedAttributeBytes(hash, ocspResponse, null, CryptoStandard.CMS);
string messageDigest = Sha256_hash(sh);
// messageDigest sent to signing service
byte[] signatureAsByte = StringToByteArray("Hex encoded SignatureValue received from signing service");
sgn.SetExternalDigest(signatureAsByte, null, "RSA");
ITSAClient tsaClient = new MyITSAClient();
return sgn.GetEncodedPKCS7(hash, tsaClient, ocspResponse, null, CryptoStandard.CMS);
}
public class MyITSAClient : ITSAClient
{
public int GetTokenSizeEstimate()
{
return 0;
}
public IDigest GetMessageDigest()
{
return new Sha256Digest();
}
public byte[] GetTimeStampToken(byte[] imprint)
{
string hashedImprint = HexEncode(imprint);
// Hex encoded Imprint sent to signing service
return Convert.FromBase64String("Base64 encoded DER representation of TimeStampToken received from signing service");
}
}
仍然收到以下消息：
- "签名者的身份未知，因为它未包含在可信身份列表中，且其父证书也不是可信身份"
- "签名已经时间戳，但无法验证时间戳"
再次提供进一步帮助将非常感激！
