使用iText从PCKS7签名的PDF文件获取哈希/摘要

Question

我正在编写一个Java web服务，它使用来自网络中一些客户端的iText对PDF文档进行签名。文档的签名正确，可以使用外部工具进行验证。然而，由于一些法律限制，为了将此文档存储在一个正式的文档存储库中，我必须提供来自签名的散列/摘要消息。

我已经尝试了几乎所有的方法来获得那个散列，但我能得到的最接近的方法是用下面的代码段以字符串的形式获得整个签名（证书+散列/摘要+时间戳）（请原谅字符串和[1]，因为我只是在测试如何实现它）：

    PdfReader reader = new PdfReader(path);
    File temp = TempFileManager.createTempFile("aasd2sd", "asdasda222cff");
    PdfStamper stamper = new PdfStamper(reader, new FileOutputStream(temp));
    stamper.setRotateContents(false);
    PdfString firma = (PdfString) stamper.getAcroFields().getSignatureDictionary("Signature1").get((PdfName)stamper.getAcroFields().getSignatureDictionary("Signature1").getKeys().toArray()[1]);

据我所知，我得到了一个DER-enconded的PKCS7签名。但是，我不知道如何解码/阅读这些信息，以获得HAST。

知道吗？

谢谢,克里斯。

Answer 1

首先，不一定有来自签名的哈希/摘要消息，在PKCS#7/CMS签名的情况下，通常涉及多个哈希。这是对数字签名中pdf格式的消息摘要的回答。

但是，考虑到您需要该摘要来满足某些法律限制，我假设您需要的是signed属性messagedigest的值，对于etsi.cades.detached或adbe.pkcs7.detached类型PDF签名，该属性（如果存在）是signed字节范围的摘要。

如果要使用iText类（即，不是安全提供程序类）来完成此操作，则必须克服以下小问题：所要查找的值存储在私有成员(pdfpkcs7.digestattr)中。但是，一些反射允许您访问它：

void extractHashes(PdfReader reader) throws Exception
{
    AcroFields acroFields = reader.getAcroFields();
    List<String> names = acroFields.getSignatureNames();

    for (String name: names)
    {
        PdfPKCS7 pdfPkcs7 = acroFields.verifySignature(name);
        pdfPkcs7.verify();

        Field digestAttrField = PdfPKCS7.class.getDeclaredField("digestAttr");
        digestAttrField.setAccessible(true);
        byte[] digestAttr = (byte[]) digestAttrField.get(pdfPkcs7);

        // process the digest value in digestAttr 
    }
}

您可以在一个更完整的示例extracthash.java中找到使用的方法，该方法输出PDF文档中签名字段的gigest算法和摘要值，例如：

FirstPage11P0022AD_20150202164018_307494.pdf
  Signature1
    Digest algorithm: SHA1
    Hash: 4ac0ed7c2ec611d491f37b5ca74598237b85dbab