Fuente autorizada en XML-sig

Question

Tenemos una pregunta con respecto a XML-sig y necesitamos detalles sobre los elementos opcionales, así como algunas de las cosas de canonicalización y transformación. Estamos escribiendo una especificación para una carga útil de sintaxis XML muy pequeña que irá a los metadatos de los archivos multimedia y debe estar firmada criptográficamente. En lugar de reinventar la rueda, pensamos que deberíamos usar la especificación XML-sig, pero creo que la mayor parte es excesiva para lo que necesitamos, y por eso nos gusta tener más información/diálogo con personas que conocen los detalles.

Específicamente, ¿tenemos que preocuparnos por las transformaciones o la canonización si el XML es muy básico, sin pestañas para el formateo y es específico para nuestras necesidades?

Answer 1

Si existe la opción de no hacer una firma XML y en su lugar sólo para tratar el XML como un flujo de bytes y firmar que hacerlo. Será más fácil de implementar, más fácil de entender, más estable (sin canonicalización, transformación, política, ...) y más rápido.

Si absolutamente debe tener XML DSIG (lamentablemente, algunos de nosotros debemos), sin duda es posible en estos días, pero hay muchas, muchas advertencias. Necesita una buena compatibilidad con la biblioteca, con Java esto está fuera de la caja en JDK 1.6, no estoy familiarizado con otras plataformas. Debe probar la interoperabilidad con el extremo receptor de su XML firmado, especialmente si se encuentran potencialmente en una plataforma diferente.

Asegúrese de leer Why XML Security Is Broken, que básicamente cubre todo el terreno en relación con el horror que es Canonicalización XML y proporcionan algunos indicadores de algunas alternativas.

Answer 2

¿Puede decirnos qué tecnología está utilizando ya que hay algunas partes interesantes por aquí y algunos atajos ... es decir, WSE2 es una bestia compleja y algo que no me gusta equivocarme!

No me gustan los desarrolladores que hacen esto y hay acreladores WSE2 como SSL Accelorates, ya que el procesamiento de cifrado tiene un alto costo para sacarlo del proceso del código normal y del área de desarrollo.

Si esta es una opción para usted - Try look at this - ForumSystems

Answer 3

Si necesita firmar XML en el código, marque XMLBlackbox, que proporciona la canonicalización y todas las demás transformaciones por usted. XMLBlackbox también es compatible con XAdES.