4

S/MIMEで受信したデータを平文化した後、OpenSSLを使って自分で
メッセージダイジェストを求めて、改ざんがないかチェックをしたいと思います。

ただ、smime.p7sからメッセージダイジェストを求める手順がわかりませんでした。
OpenSSLでなくても構わないのですが、求め方を教えて頂けますか。

今のところ、以下の手順でメッセージダイジェストの取得を進めていました。
平文部分をdata.txt、署名部をsmime.p7sとしています。

  1. 平文のメッセージダイジェスト

    % openssl sha1 data.txt

  2. 署名部のメッセージダイジェスト
    64bitデコード

    % openssl enc -d -base64 -in smime.p7s -out smime64.p7s

ここから、smime64.p7sに含まれる署名の取得、電子証明書の取得、署名の復号(メッセージダイジェストの取得)と進める必要があるかと思いますが、進め方がわかりません。

以下を元に、含まれる証明書の表示までは手順がわかっています。似たような方法で署名も表示できるのではないかと思ったのですが、OpenSSLのコマンド一覧などを読んでもどれが該当するのかよくわかりませんでした。
https://stackoverflow.com/questions/5678124/extract-public-certificate-from-smime-message-pkcs7-signature-with-openssl

smime.p7sをASN.1形式のファイルをGUIで参照できるaatool2などを元に確認しましたが、
どの箇所が署名にあたるのかわかりませんでした。ASN.1に関する知識もあまりないため、
以下などを確認していますが、署名データの箇所となる部分を見つけられませんでした。
http://www.geocities.co.jp/SiliconValley-SanJose/3377/

2 件の回答 2

2

openssl(1) には smime(1) サブコマンドがあります。そのオプションの -sign で署名、-verify で署名の確認を行なえます。

昔、OpenSSL smime(1) をラップする Perl モジュールを作成しました。
POD に記載したように、smime(1) に渡す/返されるデータは RFC 2822 の
e-mail 形式のテキストです。ご参考まで。

https://github.com/fumiyas/openssl-hack/blob/master/lib/perl5/smime.pm

5
  • やりたいことは、署名データの生成/検証ではなくて、署名データの内容を知りたい (証明書を openssl x509 -text -noout foo.crt するような要領のことを署名データに対して実行したい)ということですか?
    – fumiyas
    Commented 2015年7月24日 5:41
  • smime(1) を利用しない手順ってことですかね。最初に斜め読み読みしすぎました。すみません…。
    – fumiyas
    Commented 2015年7月24日 6:15
  • 回答ありがとうございます。smime(1)を利用しない手順という認識であってます。私の説明不足でした。 ipa.go.jp/security/pki/072.html この辺りの説明を読みながら確認していたのですが、S/MIMEは復号されたデータのボディ部と署名部(smime.p7s)に別れるかと思います。ここから実際のメッセージダイジェストの値を求めて比較したかった、ということになります。 S/MIMEによるメールを受け取った時に、smime.p7sが添付として見えたので、メッセージダイジェストの値を自分で求めるならどうするのだろうと思ったのがきっかけです。ただ、メールデータを元に署名確認する手順についてはおかげ様で理解ができました。ありがとうございます。
    – damsoya
    Commented 2015年7月24日 10:12
  • 先のコマンドラインが間違っていたので、念の為、訂正。 openssl x509 -text -noout <foo.crt
    – fumiyas
    Commented 2015年7月25日 7:12
  • p7s (PKCS7) のざっくりした中身は asn1parse(1) で見られますね。 openssl asn1parse -inform der < foo.p7s
    – fumiyas
    Commented 2015年7月25日 7:12
1

PKCS7 のデータ構造は、

http://www.itu.int/ITU-T/formal-language/itu-t/x/x420/1999/PKCS7.html

に定義があります。ASN.1 になじみがないとデコードした結果とつきあわせるのは難しいかもしれません。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。