如何计算 PDF 签名哈希？答案

【问题标题】：How to compute PDF signature hash?如何计算 PDF 签名哈希？
【发布时间】：2019-01-25 09:04:40
【问题描述】：

这个问题与this 相关，但更具体一点。我怀疑我没有正确计算我的 pdf 的哈希值。

我想计算签名 PDF 的 SHA256 哈希值。

根据PDF32000我应该：

获取\ByteRange 值
连接两个块
计算 SHA256

这是我所做的：

$ grep -aPo 'ByteRange\[\s*(\d+)\s+(\d+)\s+(\d+)\s+(\d+)\s*\]' dummy-signed.pdf
ByteRange[ 0 59718 72772 5058]

$ dd if=dummy-signed.pdf of=head.bin bs=1 skip=0 count=59718
59718 bytes (60 kB, 58 KiB) copied, 0.630196 s, 94.8 kB/s

$ dd if=dummy-signed.pdf of=tail.bin bs=1 skip=72772 count=5058
5058 bytes (5.1 kB, 4.9 KiB) copied, 0.064317 s, 78.6 kB/s

$ cat head.bin tail.bin > whole.bin

$ sha256sum whole.bin
04b69f55f12fa5cc7923f4307154f2702efde43b32e4a8d9dbb0507a56fcecd3  whole.bin

我检查了我不包括< 和> 字符：

$ hexdump -C head.bin | tail -n3
0000e930  20 20 20 20 20 20 20 20  20 20 20 20 20 2f 43 6f  |             /Co|
0000e940  6e 74 65 6e 74 73                                 |ntents|
0000e946

$ hexdump -C tail.bin | head -n3
00000000  2f 46 69 6c 74 65 72 2f  41 64 6f 62 65 2e 50 50  |/Filter/Adobe.PP|
00000010  4b 4c 69 74 65 2f 4d 28  44 3a 32 30 31 39 30 31  |KLite/M(D:201901|
00000020  32 38 31 33 34 30 35 38  2b 30 31 27 30 30 27 29  |28134058+01'00')|

不幸的是，我的签名似乎是错误的，但在解码 PKCS7 签名后，我再次检查了哈希是 sha256WithRSAEncryption，所以在验证了这个摘要之后，我得到了另一个哈希，而不是我计算的那个。

我的/SubFilter 是：

$ grep -aPo '/SubFilter.*?(?=>)' dummy-signed.pdf
/SubFilter/adbe.pkcs7.detached/Type/Sig

我的 PDF 版本是：

$ grep -aPo '%PDF-\d.\d' dummy-signed.pdf
%PDF-1.6

因此，从带有adbe.pkcs7.detached 和 PDF 1.6 的 PDF32000 开始，HASH 应该是 SHA256，它与我在 PKCS7 中找到的内容兼容。

仅作记录，我从签名中得到的哈希是：

#!/bin/bash
PKCS7='out.pkcs7'

# Extract Digest (SHA256)
OFFSET=$(openssl asn1parse -inform der -in $PKCS7 | \
    perl -ne 'print $1 + $2 if /(\d+):d=\d\s+hl=(\d).*?256 prim.*HEX DUMP/m')
dd if=$PKCS7 of=signed-sha256.bin bs=1 skip=$OFFSET count=256

# Extract Public key 
openssl pkcs7 -print_certs -inform der -in $PKCS7 | \
    tac | sed '/-----BEGIN/q' | tac > client.pem
openssl x509 -in client.pem -pubkey -noout > client.pub.pem

# Verify the signature
openssl rsautl -verify -pubin -inkey client.pub.pem < signed-sha256.bin > verified.bin

# Get Hash and compare with the computed hash from the PDF
openssl asn1parse -inform der -in verified.bin | grep -Po '\[HEX DUMP\]:\K\w+$' | tr A-F a-f

$ ./verify-signature.sh
256+0 records in
256+0 records out
256 bytes copied, 0.029548 s, 8.7 kB/s
2a3f629f7bdce750321da7f219ec5759dc9ed14818acbd3cd0b6092d5371c03a

您可以通过我的gist访问测试PDF文件dummy-signed.pdf

curl https://gist.githubusercontent.com/nowox/94dd54e484df877e1232c18bd7b91c97/raw/d249f3757137e9b665e895c900f08b1156f1bc4f/dummy-signed.pdf.base64 | base64 --decode > dummy-signed.pdf

【问题讨论】：

您完全忽略了签名的 Subfilter 条目。根据子过滤器的值，签名容器的格式和实际签名的数据确实不同。
请分享有问题的 pdf 文件以供进一步分析。
@mkl 我已经分享了我的 PDF。对不起base64。否则我不知道如何分享 pdf。
共享 PDF（或任意二进制文件，内嵌显示的图像除外）的最简单方法是使用公共文件共享（Dropbox 或 Google Drive 公共共享）。但是您的 base64 编码要点也有效。

标签： bash pdf hash sha256

【解决方案1】：

总之

您尝试从签名容器中提取错误的哈希值。

详细说明

我之前没有意识到这一点，因为我并不是真正的 openssl 专家。但是，分析示例 PDF 后，混淆的原因就很清楚了。

在 PKCS#7 / CMS 签名容器中，通常有（至少）两个感兴趣的哈希值：

messageDigest签名属性中签名文档数据的哈希值和
加密签名字节中签名属性的哈希值（在旧 RSA 签名方案的情况下）。

示例文档中签名容器中的 messageDigest 签名属性如下所示（如果您在 openssl 中使用 asn1-dump，外观可能会有所不同，但该值应该是可识别的）：

5306   47: . . . . . . SEQUENCE {
    <06 09>
5308    9: . . . . . . . OBJECT IDENTIFIER messageDigest (1 2 840 113549 1 9 4)
         : . . . . . . . . (PKCS #9)
    <31 22>
5319   34: . . . . . . . SET {
    <04 20>
5321   32: . . . . . . . . OCTET STRING    
         : . . . . . . . . . 04 B6 9F 55 F1 2F A5 CC    ...U./..
         : . . . . . . . . . 79 23 F4 30 71 54 F2 70    y#.0qT.p
         : . . . . . . . . . 2E FD E4 3B 32 E4 A8 D9    ...;2...
         : . . . . . . . . . DB B0 50 7A 56 FC EC D3                            
         : . . . . . . . . }
         : . . . . . . . }
         : . . . . . . }

如您所知，此属性包含您计算的哈希值。

另一方面，您尝试从解密的签名字节中提取签名的哈希值，它不是文档的哈希值，而是签名属性的哈希值！

此外，提取步骤中似乎出现了问题，您应该检索的值是

AB86B27177E388A1EE69A5C7479D74621E84473E0CAB5C647471B724FEFCE826

而不是

2a3f629f7bdce750321da7f219ec5759dc9ed14818acbd3cd0b6092d5371c03a

你明白了。

【讨论】：