c - xmlsec 库 - 获取签名 key 的主题

Question

我正在使用 xmlsec库来验证 SAML 的签名断言。我的代码几乎与 verify4.c 相同xmlsec 网页上提供的示例。

我正在链接 xmlsec-openssl 库，因此使用 openssl 作为加密引擎。

我原以为 xmlsec 只有在使用我加载到 key 管理器中的特定证书之一签名时才会认为签名有效。

但是，如果使用任何可以由 openssl 验证的证书签名，签名似乎被认为是有效的。这意味着某人可以通过从受信任的根 CA 购买证书并使用它来签署他们想要的任何响应来伪造 SAML 响应。

不仅如此，xmlsec1库提供的命令行工具似乎做同样的事情:

xmlsec1 --verify --dtd-file saml.dtd --pubkey-cert-pem my_cert.cer sample_saml_assertion.xml

...
OK
SignedInfo References (ok/all): 1/1
Manifests References (ok/all): 0/0

实际上，在理想情况下，我很乐意使用任何有效的签名 key ，只要我能识别 key 的主题并因此确认它是由我期望的实体签名的。当 SAML 响应的发送者更改他们的签名 key 时，这将简化事情。但是我一直无法找到一种简单的方法来提取用于验证签名的证书的详细信息。

如果做不到这一点，我可以让它只接受我在验证签名时指定的证书吗？

Answer 1

在写问题时我意识到我没有尝试过 xmlsec1 的 --print-debug 选项。当我尝试时，我发现它确实打印了用于验证签名的证书的主题和颁发者。

这让我意识到信息必须存在，所以这是一个如何访问它的问题。追踪代码，我能够编写这个小片段来实现这个目的:

/* If signature is valid, then the list dsigCtx->signKey contains
   the signing key, data dsigCtx->signKey->dataList contains the certificate */
xmlSecPtrListPtr keyDataList = dsigCtx->signKey->dataList;

/* Iterate through the data list to find the X509 cert */
xmlSecSize n = xmlSecPtrListGetSize(keyDataList);
xmlSecSize i;
for (i=0; i<n; i++) {
    xmlSecKeyDataPtr item = xmlSecPtrListGetItem(keyDataList, i);
    if (xmlSecKeyDataIsValid(item) && xmlSecKeyDataCheckId(item, xmlSecOpenSSLKeyDataX509Id)) {

        /* Extract openssl cert */
        X509* cert = xmlSecOpenSSLKeyDataX509GetKeyCert(item);
        char cn_buff[256];
        if(cert != NULL) {
            /* Get the CN */
            X509_NAME * subject_name = X509_get_subject_name(cert);
            int nid_cn = OBJ_txt2nid("CN");
            X509_NAME_get_text_by_NID(subject_name, nid_cn, cn_buff, 255);

            /* Here you would compare it to the expected certificate */
            fprintf(stdout, "CN=%s\n", cn_buff);
        } else {
            fprintf(stdout, "Failed to obtain signing key cert\n");
        }
    }
}

要获得如此基础的东西，这似乎是一种非常复杂的方法，所以我相信一定有更简单的方法。