如何使用KeyTool创建带有RSA-OAEP（opensaml）的CSR

Question

作为一个附带问题，这是否适用于opensaml实现？我不明白为什么不这样做，因为它只是一个有效的X509证书。

keytool -genkey -alias myalias -keyalg RSA -keysize 512 -sigalg SHA256withRSA -keystore sample.jks -dname "CN=C, O=O, L=L, ST=S, C=US" -storepass changeit

Answer 1

OAEP填充将适用于您的密文，而不是您的证书。

您的证书应该使用keytool参数中的SHA256。但是我认为您的SAML DSig参数需要signatureconstants.algo_id_signature_rsa_sha256

在这里修改OpenSaml示例，我认为您可以使用以下方法更改加密参数以使用AES256和RSAOAEP：

Assertion assertion = createAssertion(); 

// Assume this contains a recipient's RSA public key
Credential keyEncryptionCredential = getKEKCredential();

EncryptionParameters encParams = new EncryptionParameters();
encParams.setAlgorithm(EncryptionConstants.ALGO_ID_BLOCKCIPHER_AES256);

KeyEncryptionParameters kekParams = new KeyEncryptionParameters();
kekParams.setEncryptionCredential(keyEncryptionCredential);
kekParams.setAlgorithm(EncryptionConstants.ALGO_ID_KEYTRANSPORT_RSAOAEP);
KeyInfoGeneratorFactory kigf =
    Configuration.getGlobalSecurityConfiguration()
    .getKeyInfoGeneratorManager().getDefaultManager()
    .getFactory(keyEncryptionCredential);
kekParams.setKeyInfoGenerator(kigf.newInstance());

Encrypter samlEncrypter = new Encrypter(encParams, kekParams);
samlEncrypter.setKeyPlacement(KeyPlacement.PEER);