- mongodb - 在 MongoDB mapreduce 中,如何展平值对象?
- javascript - 对象传播与 Object.assign
- html - 输入类型 ="submit"Vs 按钮标签它们可以互换吗?
- sql - 使用 MongoDB 而不是 MS SQL Server 的优缺点
在最近的 Windows 周年更新中,Edge 现在支持使用 Windows Hello 的生物识别身份验证(参见 https://developer.microsoft.com/en-us/microsoft-edge/platform/documentation/dev-guide/device/web-authentication/、https://blogs.windows.com/msedgedev/2016/04/12/a-world-without-passwords-windows-hello-in-microsoft-edge/)
我有一些 C#、PHP 和 Node.js 示例,并正在尝试使其在 Go 中工作。
以下工作在 JS 中(我在挑战和 key 中进行了硬编码):
function parseBase64(s) {
s = s.replace(/-/g, "+").replace(/_/g, "/").replace(/\s/g, '');
return new Uint8Array(Array.prototype.map.call(atob(s), function (c) { return c.charCodeAt(0) }));
}
function concatUint8Array(a1,a2) {
var d = new Uint8Array(a1.length + a2.length);
d.set(a1);
d.set(a2,a1.length);
return d;
}
var credAlgorithm = "RSASSA-PKCS1-v1_5";
var id,authenticatorData,signature,hash;
webauthn.getAssertion("chalenge").then(function(assertion) {
id = assertion.credential.id;
authenticatorData = assertion.authenticatorData;
signature = assertion.signature;
return crypto.subtle.digest("SHA-256",parseBase64(assertion.clientData));
}).then(function(h) {
hash = new Uint8Array(h);
var publicKey = "{\"kty\":\"RSA\",\"alg\":\"RS256\",\"ext\":false,\"n\":\"mEqGJwp0GL1oVwjRikkNfzd-Rkpb7vIbGodwQkTDsZT4_UE02WDaRa-PjxzL4lPZ4rUpV5SqVxM25aEIeGkEOR_8Xoqx7lpNKNOQs3E_o8hGBzQKpGcA7de678LeAUZdJZcnnQxXYjNf8St3aOIay7QrPoK8wQHEvv8Jqg7O1-pKEKCIwSKikCFHTxLhDDRo31KFG4XLWtLllCfEO6vmQTseT-_8OZPBSHOxR9VhIbY7VBhPq-PeAWURn3G52tQX-802waGmKBZ4B87YtEEPxCNbyyvlk8jRKP1KIrI49bgJhAe5Mow3yycQEnGuPDwLzmJ1lU6I4zgkyL1jI3Ghsw\",\"e\":\"AQAB\"}";
return crypto.subtle.importKey("jwk",JSON.parse(publicKey),credAlgorithm,false,["verify"]);
}).then(function(key) {
return crypto.subtle.verify({name:credAlgorithm, hash: { name: "SHA-256" }},key,parseBase64(signature),concatUint8Array(parseBase64(authenticatorData),hash));
}).then(function(result) {
console.log("ID=" + id + "\r\n" + result);
}).catch(function(err) {
console.log('got err: ', err);
});
在 go 中,我有以下代码,旨在匹配上面的 JS 代码(req 是一个带有来自 JSON 请求正文的字符串的结构):
func webauthnSigninConversion(g string) ([]byte, error) {
g = strings.Replace(g, "-", "+", -1)
g = strings.Replace(g, "_", "/", -1)
switch(len(g) % 4) { // Pad with trailing '='s
case 0:
// No pad chars in this case
case 2:
// Two pad chars
g = g + "=="
case 3:
// One pad char
g = g + "=";
default:
return nil, fmt.Errorf("invalid string in public key")
}
b, err := base64.StdEncoding.DecodeString(g)
if err != nil {
return nil, err
}
return b, nil
}
clientData, err := webauthnSigninConversion(req.ClientData)
if err != nil {
return err
}
authenticatorData, err := webauthnSigninConversion(req.AuthenticatorData)
if err != nil {
return err
}
signature, err := webauthnSigninConversion(req.Signature)
if err != nil {
return err
}
publicKey := "{\"kty\":\"RSA\",\"alg\":\"RS256\",\"ext\":false,\"n\":\"mEqGJwp0GL1oVwjRikkNfzd-Rkpb7vIbGodwQkTDsZT4_UE02WDaRa-PjxzL4lPZ4rUpV5SqVxM25aEIeGkEOR_8Xoqx7lpNKNOQs3E_o8hGBzQKpGcA7de678LeAUZdJZcnnQxXYjNf8St3aOIay7QrPoK8wQHEvv8Jqg7O1-pKEKCIwSKikCFHTxLhDDRo31KFG4XLWtLllCfEO6vmQTseT-_8OZPBSHOxR9VhIbY7VBhPq-PeAWURn3G52tQX-802waGmKBZ4B87YtEEPxCNbyyvlk8jRKP1KIrI49bgJhAe5Mow3yycQEnGuPDwLzmJ1lU6I4zgkyL1jI3Ghsw\",\"e\":\"AQAB\"}" // this is really from a db, not hardcoded
// load json from public key, extract modulus and public exponent
obj := strings.Replace(publicKey, "\\", "", -1) // remove escapes
var k struct {
N string `json:"n"`
E string `json:"e"`
}
if err = json.Unmarshal([]byte(obj), &k); err != nil {
return err
}
n, err := webauthnSigninConversion(k.N)
if err != nil {
return err
}
e, err := webauthnSigninConversion(k.E)
if err != nil {
return err
}
pk := &rsa.PublicKey{
N: new(big.Int).SetBytes(n), // modulus
E: int(new(big.Int).SetBytes(e).Uint64()), // public exponent
}
hash := sha256.Sum256(clientData)
// Create data buffer to verify signature over
b := append(authenticatorData, hash[:]...)
if err = rsa.VerifyPKCS1v15(pk, crypto.SHA256, b, signature); err != nil {
return err
}
// if no error, signature matches
此代码失败,crypto/rsa: input must be hashed message
。如果我在 rsa.VerifyPKCS1v15
中改为使用 hash[:]
而不是 b
,则会失败并显示 crypto/rsa: 验证错误
。我认为我需要结合 authenticatorData
和 hash
的原因是因为这就是 C# 和 PHP 示例代码中发生的情况(参见 https://github.com/adrianba/fido-snippets/blob/master/csharp/app.cs 、 https://github.com/adrianba/fido-snippets/blob/master/php/fido-authenticator.php )。
也许 Go 有不同的方式?
我在 JS 和 Go 中打印了字节数组,并验证了 clientData
、signatureData
、authenticatorData
和 hash
(以及后两者的组合数组)具有完全相同的值。创建公钥后,我无法从 JS 中提取 n 和 e 字段,因此我创建公钥的方式可能存在问题。
最佳答案
我不是加密专家,但我在 Go 方面有一些经验,包括验证使用 PHP 签名的签名。因此,假设比较的字节值相同,我会说您的问题可能是公钥创建。我建议尝试使用此函数从模数和指数创建公钥的解决方案:
func CreatePublicKey(nStr, eStr string)(pubKey *rsa.PublicKey, err error){
decN, err := base64.StdEncoding.DecodeString(nStr)
n := big.NewInt(0)
n.SetBytes(decN)
decE, err := base64.StdEncoding.DecodeString(eStr)
if err != nil {
fmt.Println(err)
return nil, err
}
var eBytes []byte
if len(decE) < 8 {
eBytes = make([]byte, 8-len(decE), 8)
eBytes = append(eBytes, decE...)
} else {
eBytes = decE
}
eReader := bytes.NewReader(eBytes)
var e uint64
err = binary.Read(eReader, binary.BigEndian, &e)
if err != nil {
fmt.Println(err)
return nil, err
}
pKey := rsa.PublicKey{N: n, E: int(e)}
return &pKey, nil
}
我比较了我的公钥和你的公钥 (Playground),它们的值不同。如果可行,您能否给我反馈一下我用您的代码建议的解决方案?
编辑 1:URLEncoding 示例 Playground 2
编辑 2:这就是我验证签名的方式:
hasher := sha256.New()
hasher.Write([]byte(data))
err = rsa.VerifyPKCS1v15(pubKey, crypto.SHA256, hasher.Sum(nil), signature)
因此,Edit 2 片段中的“数据”变量与在 PHP 端用于签名的数据(消息)相同。
关于go - Go中的生物识别登录(webauthn),如何验证签名,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/38940462/
我使用的是linux的windows子系统,安装了ubuntu,bash运行流畅。 我正在尝试使用make,似乎bash 无法识别gcc。尝试将其添加到 PATH,但没有任何改变。奇怪的是 - cmd
ImageMagick 已正确安装。 WAMP 的“PHP 扩展”菜单也显示带有勾选的 php_imagick。除了 Apache 和系统环境变量外,phpinfo() 没有显示任何 imagick
我是这么想的,因为上限是 2^n,并且考虑到它们都是有限机,n 状态 NFA 和具有 2^n 或更少状态的 DFA 的交集将是有效。 我错了吗? 最佳答案 你是对的。 2^n 是一个上限,因此生成的
我有一个大型数据集,其中包含每日值,指示一年中的特定一天是否特别热(用 1 或 0 表示)。我的目标是识别 3 个或更多特别炎热的日子的序列,并创建一个包含每个日子的长度以及开始和结束日期的新数据集。
我有一个向量列表,每个向量看起来像这样 c("Japan", "USA", "country", "Japan", "source", "country", "UK", "source", "coun
是否有任何工具或方法可以识别静态定义数组中的缓冲区溢出(即 char[1234] 而不是 malloc(1234))? 昨天我花了大部分时间来追踪崩溃和奇怪的行为,最终证明是由以下行引起的: // e
我一直在尝试通过导入制表符分隔的文件来手动创建 Snakemake 通配符,如下所示: dataset sample species frr PRJNA493818_GSE120639_SRP1628
我一直在尝试通过导入制表符分隔的文件来手动创建 Snakemake 通配符,如下所示: dataset sample species frr PRJNA493818_GSE120639_SRP1628
我想录下某人的声音,然后根据我获得的关于他/她声音的信息,如果那个人再次说话,我就能认出来!问题是我没有关于哪些统计数据(如频率)导致人声差异的信息,如果有人可以帮助我如何识别某人的声音? 在研究过程
我希望我的程序能够识别用户何时按下“enter”并继续循环播放。但是我不知道如何使程序识别“输入”。尝试了两种方法: string enter; string ent = "\n"; dice d1;
我创建了这个带有一个参数(文件名)的 Bash 小脚本,该脚本应该根据文件的扩展名做出响应: #!/bin/bash fileFormat=${1} if [[ ${fileFormat} =~ [F
我正在寻找一种在 for 循环内迭代时识别 subview 对象的方法,我基本上通过执行 cell.contentView.subviews 从 UITableView 的 contentView 获
我正在尝试在 Swift 中使用 CallKit 来识别调用者。 我正在寻找一种通过发出 URL 请求来识别调用者的方法。 例如:+1-234-45-241 给我打电话,我希望它向 mydomain.
我将(相当古老的)插件称为“thickbox”,如下所述: 创建厚盒时,它包含基于查询的内容列表。 使用 JavaScript 或 jQuery,我希望能够访问 type 的值(在上面的示例中 t
我想编写一些可以接受某种输入并将其识别为方波、三角波或某种波形的代码。我还需要一些产生所述波的方法。 我确实有使用 C/C++ 的经验,但是,我不确定我将如何模拟所有这些。最终,我想将其转换为微 Co
我创建了一个 for 循环,用于在每个部分显示 8 个项目,但我试图在循环中识别某些项目。例如,我想识别前两项,然后是第五项和第六项,但我的识别技术似乎是正确的。 for (int i = 0; i
如何识别 UIStoryboard? 该类具有创建和实例化的方法,但我没有看到带有类似name 的@property。例如 获取 Storyboard对象 + storyboardWithName:b
如何确定所运行的SQLServer2005的版本 要确定所运行的SQLServer2005的版本,请使用SQLServerManagementStudio连接到SQLServer2005,然后运行
这个问题在这里已经有了答案: How to check whether an object is a date? (26 个答案) 关闭2 年前。 我正在使用一个 npm 模块,它在错误时抛出一个空
我正在制作一个使用 ActivityRecognition API 在后台跟踪用户 Activity 的应用,如果用户在指定时间段(例如 1 小时)内停留在同一个地方,系统就会推送通知告诉用户去散步.
我是一名优秀的程序员,十分优秀!