Преобразование подписи Openssl в .NET6

Почему обычно нельзя использовать нативные методы .NET

Для RSASignaturePadding.Pkcs1 нативные реализации .NET SignData() и SignHash() следуют схеме подписи RSASSA-PKCS1-v1_5, описанной в RFC8017, которая применяет EMSA-PKCS1-v1_5 в качестве операции кодирования: сообщение хешируется, и следующее значение подписывается (т. е. шифруется закрытым ключом):

EM = 0x00 || 0x01 || PS || 0x00 || T

Здесь PS состоит из такого количества значений 0xff, что размер EM равен размеру модуля ключа. T — это DER-кодирование значения ДайджестИнформация, которое содержит дайджест OID и хеш, например. для SHA256:

3031300d060960864801650304020105000420 || H 

где H — это 32-байтовый хэш SHA56 сообщения M, которое нужно подписать.

Напротив, openssl rsautl использует алгоритм RSA напрямую, как указано в разделе ПРИМЕЧАНИЯ, т. е. подписаны следующие данные:

EM' = 0x00 || 0x01 || PS || 0x00 || M

Этого нельзя достичь с помощью нативных методов .NET в целом (за исключением особого случая использования, см. ниже): SignData() хеширует и, следовательно, терпит неудачу, SignHash() не хеширует, а внутренне (как SignData()) генерирует кодировку DER значения ДайджестИнформация.

Альтернативой является BouncyCastle, который подписывается алгоритмом NoneWithRSA так же, как openssl rsautl.

Одним из недостатков этого алгоритма является то, что из-за отсутствия хеширования могут быть подписаны только короткие сообщения, так как для более длинных сообщений не может быть выполнен критерий длины (согласно которому размер EM' должен соответствовать размеру модуля ключа) .

Импорт ключей

Опубликованный ключ представляет собой закодированный PEM закрытый ключ в формате PKCS#1.

.NET поддерживает импорт закодированных ключей PEM (закрытый/открытый, формат PKCS#8/PKCS#1) с ImportFromPem(), начиная с .NET 5, но импорт ключей, закодированных DER, поддерживается начиная с .NET Core 3.0. Частный ключ в кодировке DER в формате PKCS#1 можно импортировать с помощью ImportRSAPrivateKey() (преобразование между кодировкой PEM и DER тривиально и состоит из удаления заголовка, нижнего колонтитула и разрывов строк, а также декодирования Base64 остального тела).

BouncyCastle поддерживает импорт закодированного ключа PEM с классом PemReader.

Возможная реализация опубликованной функциональности OpenSSL с BouncyCastle

Следующий код генерирует ту же подпись, что и оператор OpenSSL, когда раси.бин содержит данные из dataToSign, а riktest.key содержит ключ из privatePkcs1Pem:

using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.OpenSsl;
using Org.BouncyCastle.Security;
using System;
using System.IO;

...

// For testing purposes a 512 bits key is used.
// In practice, keys >= 2048 bits must be used for security reasons!
string privatePkcs1Pem = @"-----BEGIN RSA PRIVATE KEY-----
                            MIIBOwIBAAJBANoHbFSEZoOSB9Kxt7t8PoBwmauaODjECHqJgtTU3h4MW5K3857+
                            04Flc6x6a9xxyvCKS5RtOP2gaOlOVtrph0ECAwEAAQJBALu8LpRr2RWrdV7/tfQT
                            HIJd8oQnbAe9DIvuwh/fF08IwApOE/iGL+Ded49eoHHu1OXycZhpHavN/sQMnssP
                            FNECIQDyDIW7V5UUu16ZAeupeQ7zdV6ykVngd0bb3FEn99EchQIhAOaYe3ll211q
                            SIXVjKHudMn3xe6Vvguc9O7cwCB+gyqNAiEAsr3kk6/de23SMZNlf8TR8Z8eyybj
                            BAuQ3BMaKzWpyjECIFMR0UFNYTYIyLF12aCoH2h2mtY1GW5jj5TQ72GFUcktAiAf
                            WWXnts7m8kZWuKjfD0MQiW+w4iAph+51j+wiL3EMAQ==
                            -----END RSA PRIVATE KEY-----";
byte[] dataToSign = Convert.FromHexString("3031300d060960864801650304020105000420d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592");

// Import private PKCS#1 key, PEM encoded
PemReader pemReader = new PemReader(new StringReader(privatePkcs1Pem));
AsymmetricKeyParameter privateKeyParameter = ((AsymmetricCipherKeyPair)pemReader.ReadObject()).Private;

// Sign raw data
ISigner signer = SignerUtilities.GetSigner("NoneWithRSA");
signer.Init(true, privateKeyParameter);
signer.BlockUpdate(dataToSign, 0, dataToSign.Length);
byte[] signature = signer.GenerateSignature();

Console.WriteLine(Convert.ToHexString(signature)); // 8C83CAD897EDA249FEC9EBA231061D585DAFC99177267E3E71BB8A3FCE07CC6663BF4DF7AF2E1C1945D2A6BB42EB25F042228B591FC18CDA82D92CAAE844670C

Особый вариант использования — когда можно использовать нативные методы C#.

Если раси.бин содержит кодировку DER значения ДайджестИнформация, BouncyCastle не нужен.
В следующем примере предполагается, что раси.бин содержит кодировку DER значения ДайджестИнформация для сообщения Быстрая коричневая лиса прыгает через ленивую собаку с SHA256 в качестве дайджеста. т.е. последние 32 байта соответствуют хешу SHA256.
Тогда возможная реализация с собственными методами .NET:

using System;
using System.Security.Cryptography;

...

// For testing purposes a 512 bits key is used.
// In practice, keys >= 2048 bits must be used for security reasons!
string privatePkcs1Pem = @"-----BEGIN RSA PRIVATE KEY-----
                            MIIBOwIBAAJBANoHbFSEZoOSB9Kxt7t8PoBwmauaODjECHqJgtTU3h4MW5K3857+
                            04Flc6x6a9xxyvCKS5RtOP2gaOlOVtrph0ECAwEAAQJBALu8LpRr2RWrdV7/tfQT
                            HIJd8oQnbAe9DIvuwh/fF08IwApOE/iGL+Ded49eoHHu1OXycZhpHavN/sQMnssP
                            FNECIQDyDIW7V5UUu16ZAeupeQ7zdV6ykVngd0bb3FEn99EchQIhAOaYe3ll211q
                            SIXVjKHudMn3xe6Vvguc9O7cwCB+gyqNAiEAsr3kk6/de23SMZNlf8TR8Z8eyybj
                            BAuQ3BMaKzWpyjECIFMR0UFNYTYIyLF12aCoH2h2mtY1GW5jj5TQ72GFUcktAiAf
                            WWXnts7m8kZWuKjfD0MQiW+w4iAph+51j+wiL3EMAQ==
                            -----END RSA PRIVATE KEY-----";
byte[] sha256DigestInfoDer = Convert.FromHexString("3031300d060960864801650304020105000420d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592");
byte[] sha256HashToSign = new byte[32];
Buffer.BlockCopy(sha256DigestInfoDer, sha256DigestInfoDer.Length - sha256HashToSign.Length, sha256HashToSign, 0, sha256HashToSign.Length);

using (RSA rsa = RSA.Create())
{ 
    rsa.ImportFromPem(privatePkcs1Pem);
    byte[] signature = rsa.SignHash(sha256HashToSign, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1); // pass the SHA256 hash, internally the DER encoding of the DigestInfo is generated (which is why the digest must be specified)
    Console.WriteLine(Convert.ToHexString(signature)); // 8C83CAD897EDA249FEC9EBA231061D585DAFC99177267E3E71BB8A3FCE07CC6663BF4DF7AF2E1C1945D2A6BB42EB25F042228B591FC18CDA82D92CAAE844670C
}

что дает подпись такой же, поскольку раси.бин идентична в обоих случаях.

Однако имейте в виду, что последний подход работает только в том случае, если раси.бин содержит кодировку DER значения ДайджестИнформация, тогда как первое решение работает для данных произвольный в раси.бин (при условии соблюдения критерия длины).