Swift（Linux）：提取CMS/PKCS#7证书并验证容器签名？

Question

import Foundation
import OpenSSL

public final class BIOWrapper {

    public var bio = BIO_new(BIO_s_mem())

    public init(data: Data) {
        data.withUnsafeBytes { pointer -> Void in
            BIO_write(self.bio, pointer, Int32(data.count))
        }
    }

    public init() {}

    deinit {
        BIO_free(self.bio)
    }
}

public final class PKCS7Wrapper {

    public var pkcs7: UnsafeMutablePointer<PKCS7>

    public init(pkcs7: UnsafeMutablePointer<PKCS7>) {
        self.pkcs7 = pkcs7
    }

    deinit {
        PKCS7_free(self.pkcs7)
    }
}

我能够成功提取PKCS#7容器数据，并使用以下代码验证数据类型代码值是否为nid_pkcs7_signed:

let reqData = Data(bytes: reqBytes)
        guard reqData.count > 0 else {
            print("Empty request body")
            return nil
        }

        let bioWrapper = BIOWrapper(data: reqData)
        guard let container = d2i_PKCS7_bio(bioWrapper.bio, nil) else {
            print("No container")
            return nil
        }

        let pkcs7Wrapper = PKCS7Wrapper(pkcs7: container)
        let dataTypeCode = OBJ_obj2nid((pkcs7Wrapper.pkcs7.pointee.d.sign).pointee.contents.pointee.type)
        print("dataTypeCode : \(dataTypeCode)")

        if dataTypeCode == NID_pkcs7_data {
            print("GOT DATA!")
        } else {
            print("Didn't get data")
            return nil
        }

       let pkcs7SignedTypeCode = OBJ_obj2nid(pkcs7Wrapper.pkcs7.pointee.type)
        if let signed = pkcs7SignedTypeCode == NID_pkcs7_signed {
            print("Signed : \(signed)")
        }

然而，我现在已经到了一个我被卡住的地步。如何从PKCS#7有效载荷获取X.509证书数据？我可以看到pkcs7wrapper.pkcs7.pointee.d.sign.pointee.cert数据结构应该包含证书链数据。它的数据类型是unsafemutablePointer ，我想一旦我在内存中获得X.509证书数据，我就可以找到使用OpenSSL的pkcs7_verify方法的代码。我只是不知道怎么做那部分。

我找到了这个关于在OSX/IOS上验证收据的资源，它涉及到许多相同的问题。它们从文件系统获取X.509证书，并将数据传递到pkcs7_verify方法中。我只需要知道如何从PKCS#7容器中获取证书数据以传入。

有人能帮我做这个吗？我认识到从Swift调用C并不理想，但由于Swift没有一个好的安全/加密框架，我不知道有任何其他选择。

Answer 1

答案的核心部分在您链接的代码中：

let store = X509_STORE_new()
X509_STORE_add_cert(store, appleRootX509)
OpenSSL_add_all_digests()
let result = PKCS7_verify(receiptPKCS7, nil, store, nil, nil, 0)
if result != 1 {
    log.atLevelDebug(id: 0, source: "Main", message: "Receipt signature verification failed")
    exit(errorCode)
}

您似乎忽略了这样一个事实，即不必亲自从PKCS7数据中提取X509证书。pkcs7_verify函数将作为验证的一部分执行以下操作：

尝试定位签名者的所有证书，首先查看certs参数（如果它不为空），然后查看p7结构本身中包含的任何证书。如果无法找到任何签名者的证书，则操作失败。