java - BouncycaSTLe 和 PKCS #1 v2.1，使用 RSASSA-PSS 签名并使用 AES CBC 和 RSAES-OAEP 进行加密

Question

在这个库上花费了无数个小时之后，我仍然无法让它工作。

我想用 bouncy caSTLe 库发送 smime 消息，用 RSASSA-PSS 签名，用 AES 加密，其中 key 传输应该是 RSAES-OAEP，所有 P1#v2.1

首先是签名者，这是它的创建方式:

SMIMESignedGenerator gen = new SMIMESignedGenerator();
            SignerInfoGenerator signer
            = new JcaSimpleSignerInfoGeneratorBuilder()
            .setProvider("BC")
            .build("SHA256withRSAAndMGF1", pk.getPrivateKey(), pk.getCertificate()
            );
gen.addSignerInfoGenerator(signer);
        gen.addCertificates(certStore);
        MimeMultipart mmp = gen.generate(message);

所以现在应该对它进行签名、加密和使用 OAEP 填充:

    OutputEncryptor enc = new BcCMSContentEncryptorBuilder(CMSAlgorithm.AES192_CBC).build();
        SMIMEEnvelopedGenerator gen = new SMIMEEnvelopedGenerator();

        for (X509Certificate nCert : certs) {
                RecipientInfoGenerator keyTransportRecipient = 
                new JceKeyTransRecipientInfoGenerator(nCert).setProvider("BC").
setAlgorithmMapping(PKCSObjectIdentifiers.rsaEncryption, "RSA/ECB/OAEPWithSHA256AndMGF1Padding");
                gen.addRecipientInfoGenerator(keyTransportRecipient);
        }
                MimeBodyPart encryptedMimeBodyPart = gen.generate(message, enc);

我找不到合适的 setAlgorithmMapping() 描述，所以我尝试了以下组合:

.setAlgorithmMapping(PKCSObjectIdentifiers.rsaEncryption, "RSA/NONE/PKCS1Padding");
.setAlgorithmMapping(PKCSObjectIdentifiers.rsaEncryption, "RSA/ECB/OAEPWithSHA256AndMGF1Padding");
.setAlgorithmMapping(PKCSObjectIdentifiers.id_RSAES_OAEP, "RSA/ECB/OAEPWithSHA56AndMGF1Padding");

顺便说一句，谁能解释一下，这个模式在这里到底意味着什么——“RSA/ECB/OAEPWithSHA256AndMGF1Padding”？如果第一个参数是公钥算法，我认为第二个“ECB”是 ECB AES 模式，我是对的吗？ (我也尝试了 CBC 模式，但没有出现这样的算法异常，也尝试了 NONE)最后一个(“OAEPWithSHA56AndMGF1Padding”)显然是我真正想要的 OAEP p1#v2.1。

因此，此时应该对消息进行签名和加密。当我现在检查我的邮箱时(使用 Thunderbird)，它说:“Thunderbird 无法解密此邮件”，“发件人使用您的数字证书之一加密此邮件给您，但是 Thunderbird 无法解密”找到这个证书和相应的私钥。”

但是，当我和老签名者签约的时候

build("SHA256withRSAEncryption", pk.getPrivateKey(), pk.getCertificate()

并使用旧的 key 传输方案，即

setProvider("BC").setAlgorithmMapping(PKCSObjectIdentifiers.rsaEncryption, "RSA/NONE/PKCS1Padding");

一切正常。所以显然我的自签名 x509 证书不是这里的问题，如果我在这里，请纠正我。

我还使用 Outlook (2013) 对其进行了测试

旧方案(SHA256withRSAEncryption 签名 + PKCS1Padding key 传输) -> 一切正常。

新方案(SHA256withRSAAndMGF1 签名 + RSA/ECB/OAEPWithSHA256AndMGF1Padding) ->“底层安全系统无法找到您的数字 ID 名称”错误。

在这一点上，我不知道到底出了什么问题。这就是我使用 openssl 创建证书的方式:

openssl req -new -x509 -nodes -sha256 -days 365 -newkey rsa:2048 -out certificate.cer -keyout private.key -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:32 -passin pass:mypass -utf8 -config _openssl.cfg -extensions v3_req
openssl pkcs12 -export -out certificate.pfx -name "testname" -inkey private.key -in certificate.cer

Answer 1

将 RSA-OAEP 的 AlgorithmIdentifier 提供给 OutputEncryptor 是错误的方法。它会(至少对我而言)导致这样的错误:

 ... no such algorithm: 1.2.840.113549.1.1.7 for provider BC

如果您想使用 AES 和 RSA-OAEP，那么您必须将 AES 分配给 OutputEncryptor(负责对称加密)和 RSA-OAEP 到 RecipientInfoGenerator(分别负责 key 加密和非对称加密)。

代码如下:

(OAEPParameterSpec 的定义已在之前的帖子中正确解释过)。

// Note that at JcaAlgorithmParametersConverter is available since BC 1.50.
JcaAlgorithmParametersConverter paramsConverter = new JcaAlgorithmParametersConverter();
OAEPParameterSpec oaepParameters = new OAEPParameterSpec("SHA-256", "MGF1", new MGF1ParameterSpec(
        "SHA-256"), PSource.PSpecified.DEFAULT);
AlgorithmIdentifier idRsaOaep = paramsConverter.getAlgorithmIdentifier(PKCSObjectIdentifiers.id_RSAES_OAEP, oaepParameters);

SMIMEEnvelopedGenerator encryptor = new SMIMEEnvelopedGenerator();

// Assign OAEPParameterSpec and an instance of X509Certificate to the RecipientInfoGenerator.
// prov is an instance of BouncyCastleProvider.
encryptor.addRecipientInfoGenerator(new JceKeyTransRecipientInfoGenerator(certificate, idRsaOaep)
        .setProvider(prov));

// Use an OutputEncryptor with AES.
OutputEncryptor outputEncryptor = new JceCMSContentEncryptorBuilder(CMSAlgorithm.AES128_CBC)
        .setProvider(prov)
        .build();

// Do encryption (were plaintextMsg is a MimeMessage instance).
MimeBodyPart payload = encryptor.generate(plaintextMsg, outputEncryptor);