使用 BouncyCastle 在 Java 中验证 ECDSA 签名时出错答案

【问题标题】：Error when verifying ECDSA signature in Java with BouncyCastle使用 BouncyCastle 在 Java 中验证 ECDSA 签名时出错
【发布时间】：2015-05-11 18:37:03
【问题描述】：

我已经测试了一个解决方案来验证 ECDSA 签名 (How can I get a PublicKey object from EC public key bytes?) 与给定数据完美配合。

这是数据：

byte[] pubKey = DatatypeConverter.parseHexBinary("049a55ad1e210cd113457ccd3465b930c9e7ade5e760ef64b63142dad43a308ed08e2d85632e8ff0322d3c7fda14409eafdc4c5b8ee0882fe885c92e3789c36a7a");
byte[] message = DatatypeConverter.parseHexBinary("54686973206973206a75737420736f6d6520706f696e746c6573732064756d6d7920737472696e672e205468616e6b7320616e7977617920666f722074616b696e67207468652074696d6520746f206465636f6465206974203b2d29");
byte[] signature = DatatypeConverter.parseHexBinary("304402205fef461a4714a18a5ca6dce6d5ab8604f09f3899313a28ab430eb9860f8be9d602203c8d36446be85383af3f2e8630f40c4172543322b5e8973e03fff2309755e654");

这是代码（打印 true）：

private static boolean isValidSignature(byte[] pubKey, byte[] message,byte[] signature) throws NoSuchAlgorithmException, NoSuchProviderException, InvalidKeyException, SignatureException, InvalidKeySpecException {
    Signature ecdsaVerify = Signature.getInstance("SHA256withECDSA", new BouncyCastleProvider());
    ecdsaVerify.initVerify(getPublicKeyFromBytes(pubKey));
    ecdsaVerify.update(message);
    return ecdsaVerify.verify(signature);
}

private static PublicKey getPublicKeyFromBytes(byte[] pubKey) throws NoSuchAlgorithmException, InvalidKeySpecException {
    ECNamedCurveParameterSpec spec = ECNamedCurveTable.getParameterSpec("prime256v1");
    KeyFactory kf = KeyFactory.getInstance("ECDSA", new BouncyCastleProvider());
    ECNamedCurveSpec params = new ECNamedCurveSpec("prime256v1", spec.getCurve(), spec.getG(), spec.getN());
    ECPoint point =  ECPointUtil.decodePoint(params.getCurve(), pubKey);
    ECPublicKeySpec pubKeySpec = new ECPublicKeySpec(point, params);
    ECPublicKey pk = (ECPublicKey) kf.generatePublic(pubKeySpec);
    return pk;
}

public static void main (String[] args) {
    System.out.println(isValidSignature(pubKey, message, signature));
}

当我将签名和数据更改为来自已实现系统的示例输入时，我的问题出现了：

final static byte[] pubKey = DatatypeConverter.parseHexBinary("0447303876C6FED5550DF3EE1136989FCD87293D54A5D8E2F2F6D7FBE9A81089B889A5917443AF33E696178CEF4C9D6A4288B2745B29AF6C8BCAD1348F78EB9F9B");
final static byte[] message = DatatypeConverter.parseHexBinary("02158001f53611a06e2d1a270000013ed9305dc2780524015110500000002d0100140092569202017aa00c5dd30000000000000000000000000000000007d1000001020001b20788b80059f48d95cdefc8c6000200200030d41e0000012016840310a50733a9870fffd0430100");
final static byte[] signature = DatatypeConverter.parseHexBinary("531F8918FF250132959B01F7F56FDFD9E6CA3EC2144E12A6DA37C281489A3D96");

新数据输出此错误：

java.security.SignatureException: error decoding signature bytes.
    at org.bouncycastle.jcajce.provider.asymmetric.util.DSABase.engineVerify(Unknown Source)
    at java.security.Signature$Delegate.engineVerify(Signature.java:1178)
    at java.security.Signature.verify(Signature.java:612)
    at its.sec.exec.TestProgram.isValidSignature(TestProgram.java:168)
    at its.sec.exec.TestProgram.execution(TestProgram.java:101)
    at its.sec.exec.TestProgram.main(TestProgram.java:55)

我认为问题在于安全消息附带的签名，因为：

密钥对的长度和格式与示例相同。并且是正确的，因为它来自签署消息的证书。
消息本身（有效负载）不应影响安全过程。

最后值得一提的是，我的文档说签名之前必须有一个名为“R”的字段，其中 “包含椭圆曲线点的 x 坐标，该坐标是由生成器元素乘以临时私钥得到的" 其长度必须与签名相同（32 字节）。

有人可以指出我在这里缺少什么吗？

编辑：解决方案

正如 Peter Dettman 在他的回答中指出的那样，signature 的格式不正确（内容也不正确）以便通过 verify() 方法计算。 Here 是一个很好的解释，主要是说：

当在 DER 中编码时，这个（签名）变成以下字节序列：

0x30 b1 0x02 b2 (vr) 0x02 b3 (vs)

地点：

b1 是一个单字节值，等于剩余字节列表（从第一个 0x02 到编码结束）的长度，以字节为单位；

b2是一个单字节值，等于(vr)的长度，以字节为单位；

b3是一个单字节值，等于(vs)的长度，以字节为单位；

(vr) 是值“r”的有符号大端编码，长度最小；

(vs) 是值“s”的有符号大端编码，长度最小。

应用该更改，signature 增长到 70 字节并且执行不会输出错误。

【问题讨论】：

当心 ASN.1 DER 编码整数和与密钥大小相同的无符号整数之间的区别 - 在左填充零值字节方面容易出错！
太棒了！有用。如果它们的 MSb 设置为 1，请不要忘记在 vr 和 vs 的开头添加 0x00 广告

标签： java bouncycastle signature ecdsa

【解决方案1】：

BC（和其他提供程序）实现使用的预期 ECDSA 签名格式是 DER 编码的 ASN.1 序列，其中包含两个整数值 r 和 s。此签名格式已在 ANSI X9.62 中指定。这是您提供的第一组数据中的格式（注意signature 总共有 70 个字节）。

在第二组数据中，signature只有32个字节，根本不是ASN.1序列。我猜这个值只是s 值，它缺少r 值和它们的ASN.1 INTEGER 编码，而是将值编码为大小与键。

【讨论】：

在 Java 中从一种格式转换为另一种格式。 gist.github.com/DinoChiesa/7520e1dea6e79888acab8ea8206afe92

【解决方案2】：

这是以 ASN1 DER 编码格式编写 r 和 s 的示例代码

    // construct the ASN1Sequence with r and s
    ByteArrayOutputStream outs = new ByteArrayOutputStream();

    byte radd = (byte)(((signed[0] & 0x80) > 0) ? 1 : 0);
    byte sadd = (byte)(((signed[32] & 0x80) > 0) ? 1 : 0);

    byte length = (byte)(0x44 + radd + sadd);

    outs.write(0x30);
    outs.write(length); // length 68 bytes +
    outs.write(0x02); // ASN1Integer
    outs.write(0x20 + radd); // length 32 bytes
    if(radd > 0)
        outs.write(0x00); // positive val
    outs.write(signed, 0, 32);
    outs.write(0x02); // ASN1Integer
    outs.write(0x20 + sadd); // length 32 bytes
    if(sadd > 0)
        outs.write(0x00); // positive val
    outs.write(signed, 32, 32);

    signed = outs.toByteArray();

【讨论】：