Canonicalizing XML en Ruby

Question

Estoy trabajando en una puerta de enlace SAML usando Ruby/Rails y estoy intentando escribir algún código que valida el xml digital signature de la respuesta SAML entrante contra el certificado x509 del servicio de origen.

Mi problema: la firma depende de una versión canonicalizada del XML que es hash y luego firmado y tengo problemas para encontrar una lib/ruby ​​lib que canonicalize XML por the spec. Encontré un super old gem on rubyforge que es un desastre, pero estaría más interesado si algo como nokogiri admite este tipo de funcionalidad (de los documentos de nokogiri, no es así).

He buscado en Google extensamente pero pensé en preguntar aquí para ver si alguien tiene alguna buena idea antes de ir y tratar de escribir mi propia versión o volver a trabajar con la biblioteca c14n-r existente.

Answer 1

dar a estas dos gemas un tiro:

http://rubygems.org/gems/coupa-libxml-ruby

http://rubygems.org/gems/xmlsec-ruby

las escribí para un proyecto de SAML. La primera parchea libxml-ruby para agregar un enlace para la función canonicalize en la biblioteca base C.

Este último es ruby ​​vinculante para xmlsec. En este momento, todo lo que funciona es la verificación de firmas, que era todo lo que necesitaba para el proyecto, pero parece que también se ajustaría a sus necesidades.

Recomiendo ir con xmlsec porque tratar de escribir su propio código de verificación de firma XML es un ejercicio inútil. Solo espera hasta que tengas que lidiar con múltiples firmas envolventes, certificados incrustados, gah. Deje que xmlsec maneje esa mierda.

Answer 2

tengo un rubí/rieles de proveedor de servicios y una .NET (ComponentSoft) IDP

esto funcionó para mí (no tuve problemas con la versión canónica del XML):

received_certificate = XPath.first(response_document,"//samlp:Response//Signature//KeyInfo//X509Data//X509Certificate").text 

def self.verify_signature(received_certificate, idp_certificate_path) 
    certificate ||= OpenSSL::X509::Certificate.new(File.read(idp_certificate_path)) 
    cert_decoded = Base64.decode64(received_certificate) 
    cert = OpenSSL::X509::Certificate.new(cert_decoded) 
    certificate.verify(cert.public_key) 
end 

Answer 3

Después mirando un poco más he encontrado que nokogiri ha puesto compatibilidad con c14n en la lista de tareas para el next release. No sé más que eso, pero parece que ninguna biblioteca XML ampliamente utilizada admite c14n a partir de junio de 2010. Cerraré esto ya que no apareció nada.

Answer 4

Probablemente un poco tarde y no es realmente ideal, pero this fork utiliza XMLStarlet a través de la línea de comandos para la canonicalización.

Answer 5

El xmlcanonicalizer joya parece ser el más canonicaliser hasta a la fecha de rubí disponibles:

https://github.com/andrewferk/xmlcanonicalizer

Se tiene un error sin embargo, que hace que sea inútil en canonicalising algunos árboles XML.Algunos persona amable ha presentado un parche pero no se ha aplicado aún:

https://github.com/andrewferk/xmlcanonicalizer/pull/1

Esta joya parcheado además rubí saml hace el truco (y más, si usted está tratando de implementar SAML SSO:

https://github.com/onelogin/ruby-saml

la esperanza de que ayude a alguien a salvar los 3 días que pierde tiempo tratando de conseguir cosas para trabajar! :)

Answer 6

tenían problemas con xmlcanonicalizer.

xmlstarlet trabajó para mí:

`echo "#{xml_str}" | xmlstarlet c14n`