0

Tengo que implementar un SSO, con un sistema Okta, y me envía el XML encriptado con un certificado de seguridad, que me han facilitado.

El certificado lo consigo leer bien, pero viene sin clave privada, por lo que al usar la clave publica y al tratar de desencriptar recibo el siguiente error

System.Security.Cryptography.CryptographicException: 'La clave no existe.

Para cargar el certificado uso el siguiente código

 var ss = new System.Security.SecureString();
        foreach (var keyChar in ClavePrivada.ToCharArray())
            ss.AppendChar(keyChar);

        X509Certificate2 cerDecrypt = new X509Certificate2(certificateFile, ss);

        RSACryptoServiceProvider rsa = (RSACryptoServiceProvider)cerDecrypt.PublicKey.Key;
        
        var fooByte = rsa.Decrypt(data,false);

Los certficados y el metadata necesarios, los tengo en una carpeta del proyecto.

Alguien me puede ayudar

***** EDITADO ****************

Os comparto la información que se lee del certificado introducir la descripción de la imagen aquí

También os pongo la llama completa de como cargo del certificado y como leo el dato del XML, que necesito decodificar.

XmlNodeList elemData = response.GetElementsByTagName("xenc:CipherValue");
        RutaCertificado = Server.MapPath(RutaFicheros + "okta.cert");
        for (int i = 1; i < elemData.Count; i++)
        {
            Data = elemData[i].InnerXml;               

            byte[] SamlByte = Convert.FromBase64String(Data);

            X509Certificate2 cerDecrypt = new X509Certificate2(RutaCertificado);

            RSACryptoServiceProvider rsa = (RSACryptoServiceProvider)cerDecrypt.PublicKey.Key;

            var fooByte = rsa.Decrypt(SamlByte, false);

            //var mail = X509Decrypt(SamlByte, RutaCertificado, privateKeyText);
        }

Este es el XML que recibo

 <saml2p:Response Destination="https://xxxxxxxxxxxxxxx/BackOffice/Validate"
             ID="id73607904232296671938710433"
             IssueInstant="2021-06-25T06:01:02.988Z"
             Version="2.0"
             xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol"
             >
<saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity"
              xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"
              >http://www.okta.com/ex..................</saml2:Issuer>
<ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
    <ds:SignedInfo>
        <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
        <ds:SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256" />
        <ds:Reference URI="#id73607904232296671938710433">
            <ds:Transforms>
                <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" />
                <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" />
            </ds:Transforms>
            <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256" />
            <ds:DigestValue>LM4QiOAUqynTr2eF3fxHPEUpMfjlNaBbvKBkHVJvlSg=</ds:DigestValue>
        </ds:Reference>
    </ds:SignedInfo>
    <ds:SignatureValue>H7sX3pAKDBETEtmcgNuHa90lrkU1+...........................
    </ds:SignatureValue>
    <ds:KeyInfo>
        <ds:X509Data>
            <ds:X509Certificate>MIIDljCCAn6gAwIBAgIGAV1VxVpAMA0GCSqGSIb3DQEBCwUAMIGLMQswCQYDVQQGEwJVUzETMBEG
            ..........................................
            </ds:X509Certificate>
        </ds:X509Data>
    </ds:KeyInfo>
</ds:Signature>
<saml2p:Status xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol">
    <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" />
</saml2p:Status>
<saml2:EncryptedAssertion xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">
    <xenc:EncryptedData Id="_d94b006db4db53071df05233193f954b"
                        Type="http://www.w3.org/2001/04/xmlenc#Element"
                        xmlns:xenc="http://www.w3.org/2001/04/xmlenc#"
                        >
        <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#aes256-cbc"
                               xmlns:xenc="http://www.w3.org/2001/04/xmlenc#"
                               />
        <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
            <ds:RetrievalMethod Type="http://www.w3.org/2001/04/xmlenc#EncryptedKey"
                                URI="#_9ef4959105c46c31fff0eda0055c2830"
                                />
        </ds:KeyInfo>
        <xenc:CipherData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
            <xenc:CipherValue>jWxhen+PSeeSohWQ/XJARF5vjuN4a+.......................</xenc:CipherValue>
        </xenc:CipherData>
    </xenc:EncryptedData>
    <xenc:EncryptedKey Id="_9ef4959105c46c31fff0eda0055c2830"
                       xmlns:xenc="http://www.w3.org/2001/04/xmlenc#"
                       >
        <xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p"
                               xmlns:xenc="http://www.w3.org/2001/04/xmlenc#"
                               >
            <ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"
                             xmlns:ds="http://www.w3.org/2000/09/xmldsig#"
                             />
        </xenc:EncryptionMethod>
        <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
            <ds:X509Data>
                <ds:X509Certificate>MIIDLDCCApWgAwIBAgIBADANBgkqhkiG9w0BAQ0FADCBsjELMAkGA1UEBhMCZXMxETAPBgNVBA.......
                </ds:X509Certificate>
            </ds:X509Data>
        </ds:KeyInfo>
        <xenc:CipherData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#">
            <xenc:CipherValue>G4EAS......</xenc:CipherValue>
        </xenc:CipherData>
        <xenc:ReferenceList>
            <xenc:DataReference URI="#_d94b006db4db53071df05233193f954b" />
        </xenc:ReferenceList>
    </xenc:EncryptedKey>
</saml2:EncryptedAssertion>

</saml2p:Response>

4
  • el xml lo tenemos plis?
    – Srsole
    Commented el 25 jun. 2021 a las 12:01
  • Acabo de editar la pregunta, para añadir el XML que recibo Commented el 25 jun. 2021 a las 13:00
  • es una chorada, y seguro que no es, pero yo en otros temas que tengo muy parecidos no uso var en vez de byte en la conversion del string a byte
    – Srsole
    Commented el 25 jun. 2021 a las 16:10
  • te fijaste en la doc de microsoft? ahi esta todo como hacerlo y veo que te faltan lineas. me queda poco tiempo para responder y no lo tengo en este momento a esta hora. mañana mas descansado lo miro de nuevo y te paso la respuesta aunque no puedo probarla. Commented el 2 jul. 2021 a las 3:53

1 respuesta 1

1

Lo siento, no tengo reputación para comentar, así que comparto como respuesta mi reflexión.

Si no me equivoco, tienes que usar la clave pública del certificado que te han enviado para desencriptar el XML, ya que lo normal es que el servidor lo encripte con su clave privada y tu lo desencriptes con su clave pública para validar la autoría de lo que te llega, así que lo que haces parece correcto.

Sin embargo, estás cargando el archivo del certificado con un password, lo que es necesario sólo para cargar la clave privada. La prueba más fácil que puedes hacer es quitar el "ss" del "new X509..."

Otro posible problema es que estés cargando el certificado del store equivocado o que el usuario de la aplicación no tenga permiso para acceder a éste, pero mencionas que tienes los archivos en una carpeta así que no creo que ese sea el problema.

Tu código quedaría así:

X509Certificate2 cerDecrypt = new X509Certificate2(certificateFile);

    RSACryptoServiceProvider rsa = (RSACryptoServiceProvider)cerDecrypt.PublicKey.Key;
    
    var fooByte = rsa.Decrypt(data,false);

Si puedes compartir la manera de cargar el certificado igual vemos algo más.

5
  • gracias por contribuir, no soy experto en C# pero entendí por que se produce el error, te invito a que complementes tu respuesta con un ejemplo :D
    – Christian
    Commented el 16 jun. 2021 a las 14:49
  • Gracias por el aporte, pero lamentablemente sigue saliendo el mismo error. He añadido la parte completa del código, desde que leo el dato del XML, hasta que lo intento descifrar Commented el 16 jun. 2021 a las 15:52
  • ¿Podrías probar con var fooByte = rsa.Decrypt(data,**true**); a ver si es tema de padding? (docs.microsoft.com/es-es/dotnet/api/…) Commented el 20 jun. 2021 a las 5:23
  • Nada eso me da error de que no puede con los espacios en blanco Commented el 21 jun. 2021 a las 10:09
  • Lo siento mucho, se me acabaron las ideas :( Commented el 22 jun. 2021 a las 11:20

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.