BouncyCastle和PKCS#1 v2.1，与RSASSA-PSS签约

Question

我花了无数个小时在这个图书馆里，但仍然无法让它工作。

我想用充气城堡库发送SMIME消息，用RSASSA-PSS签名，用AES加密，其中密钥传输应该是RSAES-OAEP，所有P1#v2.1

签名者优先，这是它的创建方式：

SMIMESignedGenerator gen = new SMIMESignedGenerator();
            SignerInfoGenerator signer
            = new JcaSimpleSignerInfoGeneratorBuilder()
            .setProvider("BC")
            .build("SHA256withRSAAndMGF1", pk.getPrivateKey(), pk.getCertificate()
            );
gen.addSignerInfoGenerator(signer);
        gen.addCertificates(certStore);
        MimeMultipart mmp = gen.generate(message);

所以现在当它应该被签名、加密和使用OAEP填充时：

    OutputEncryptor enc = new BcCMSContentEncryptorBuilder(CMSAlgorithm.AES192_CBC).build();
        SMIMEEnvelopedGenerator gen = new SMIMEEnvelopedGenerator();

        for (X509Certificate nCert : certs) {
                RecipientInfoGenerator keyTransportRecipient = 
                new JceKeyTransRecipientInfoGenerator(nCert).setProvider("BC").
setAlgorithmMapping(PKCSObjectIdentifiers.rsaEncryption, "RSA/ECB/OAEPWithSHA256AndMGF1Padding");
                gen.addRecipientInfoGenerator(keyTransportRecipient);
        }
                MimeBodyPart encryptedMimeBodyPart = gen.generate(message, enc);

我找不到正确的setAlgorithmMapping（）说明，因此尝试了以下组合：

.setAlgorithmMapping(PKCSObjectIdentifiers.rsaEncryption, "RSA/NONE/PKCS1Padding");
.setAlgorithmMapping(PKCSObjectIdentifiers.rsaEncryption, "RSA/ECB/OAEPWithSHA256AndMGF1Padding");
.setAlgorithmMapping(PKCSObjectIdentifiers.id_RSAES_OAEP, "RSA/ECB/OAEPWithSHA56AndMGF1Padding");

顺便说一句，有人能解释一下，这个模式在这里到底是什么意思——“RSA/ECB/OAEPESS SHA256AndMGF1Padd”？如果第一个参数是公钥算法，第二个“ECB”是我假设的ECB AES模式，我是对的吗？（我也尝试了CBC模式，但没有这样的算法异常，也尝试了NONE）最后一个（“OAEPRetSHA56AndMGF1Padd”）显然是OAEP p1#v2.1，这是我真正想要的。

因此，此时应该对消息进行签名

但是，当我和老签名人签约的时候

build("SHA256withRSAEncryption", pk.getPrivateKey(), pk.getCertificate()

并使用旧的密钥传输方案

setProvider("BC").setAlgorithmMapping(PKCSObjectIdentifiers.rsaEncryption, "RSA/NONE/PKCS1Padding");

一切都很顺利。显然，我的自签名x509证书在这里不是问题，如果我在这里打电话，请纠正我。

我还使用Outlook（2013）对其进行了测试

旧方案（SHA256带RSA加密签名PKCS1添加密钥传输）-

新方案（SHA256带有RSA和MGF1签名RSA/ECB/OAEP带有SHA256和MGF1填充）-

在这一点上，我不知道到底是什么错了。以下是我使用openssl创建证书的方式：

openssl req -new -x509 -nodes -sha256 -days 365 -newkey rsa:2048 -out certificate.cer -keyout private.key -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:32 -passin pass:mypass -utf8 -config _openssl.cfg -extensions v3_req
openssl pkcs12 -export -out certificate.pfx -name "testname" -inkey private.key -in certificate.cer

Answer 1

我认为问题在于大多数S/MIME客户端不支持RSASSA-PSS。我发现唯一支持验证S/MIME RSASSA-PSS签名的工具（除了BC）是openssl的最新版本。

根据openssl文档，这需要openssl

openssl cms-验证-在电子邮件中。eml-咖啡根。质子交换膜

这仅适用于openssl cms命令，而不适用于openssl smime命令。

Answer 2

我想我解决了你的问题。至少在我的情况下，它起作用了。用于PKCSObjectIdentifiers的算法标识符。我添加了以下代码行：

pubilc AlgorithmIdentifier getAlgo() {

        JcaAlgorithmParametersConverter paramsConverter = new JcaAlgorithmParametersConverter();
        OAEPParameterSpec oaepSpec = new OAEPParameterSpec("SHA-256", "MGF1", new MGF1ParameterSpec("SHA-256"), new PSource.PSpecified(new byte[]{1, 2, 3, 4, 5}));
    return paramsConverter.getAlgorithmIdentifier(PKCSObjectIdentifiers.id_RSAES_OAEP, oaepSpec);
}

使用此参数化算法标识符，您现在可以加密您的邮件：

AlgorithmIdentifier algo = getAlgo();
    SMIMEEnvelopedGenerator encrypter = new SMIMEEnvelopedGenerator();
    RecipientInfoGenerator keyTransportRecipient = 
                            new JceKeyTransRecipientInfoGenerator(cert).setProvider("BC").setAlgorithmMapping(PKCSObjectIdentifiers.id_RSAES_OAEP, "RSA/ECB/OAEPWithSHA256AndMGF1Padding");

encrypter.generate(bodyPart, new JceCMSContentEncryptorBuilder(algo).setProvider("BC").build());                            encrypter.addRecipientInfoGenerator(keyTransportRecipient);

你在签约问题上取得了成功吗？在我的情况下，Outlook说签名无效。

Answer 3

将RSA-OAEP的算法标识符提供给OutputEncryptor是错误的。这将（至少对我而言）导致如下错误：

 ... no such algorithm: 1.2.840.113549.1.1.7 for provider BC

如果要使用AES和RSA-OAEP，则必须将AES分配给OutputEncryptor（负责对称加密）和RSA-OAEP分配给RecipientInfoGenerator（分别负责密钥加密和非对称加密）。

代码如下：

（前面的一篇文章已经正确解释了OAEPParameterSpec的定义）。

// Note that at JcaAlgorithmParametersConverter is available since BC 1.50.
JcaAlgorithmParametersConverter paramsConverter = new JcaAlgorithmParametersConverter();
OAEPParameterSpec oaepParameters = new OAEPParameterSpec("SHA-256", "MGF1", new MGF1ParameterSpec(
        "SHA-256"), PSource.PSpecified.DEFAULT);
AlgorithmIdentifier idRsaOaep = paramsConverter.getAlgorithmIdentifier(PKCSObjectIdentifiers.id_RSAES_OAEP, oaepParameters);

SMIMEEnvelopedGenerator encryptor = new SMIMEEnvelopedGenerator();

// Assign OAEPParameterSpec and an instance of X509Certificate to the RecipientInfoGenerator.
// prov is an instance of BouncyCastleProvider.
encryptor.addRecipientInfoGenerator(new JceKeyTransRecipientInfoGenerator(certificate, idRsaOaep)
        .setProvider(prov));

// Use an OutputEncryptor with AES.
OutputEncryptor outputEncryptor = new JceCMSContentEncryptorBuilder(CMSAlgorithm.AES128_CBC)
        .setProvider(prov)
        .build();

// Do encryption (were plaintextMsg is a MimeMessage instance).
MimeBodyPart payload = encryptor.generate(plaintextMsg, outputEncryptor);