1

Rehago la pregunta entera porque parece que a todo el mundo le sale aunque nadie dice como. Una firma XAdEX-EPES tiene al menos tres campos que deben resumirse calculando hash que se deben poner en el DigestValue. El primero, el del documento en sí, lo conseguí como digo en ¿Cómo canonizar con C14N con sangría y retorno de carro en PHP sin NameSpace? . Pero el resumen del KeyInfo y del SignedPolicy se sigue resistiendo, quizá porque tienen espacios de nombre, NS o namespace. Para cerciorarme de que era el NS he dejado el KeyInfo en esto:

<ds:KeyInfo Id="Signature-v-10-KeyInfo">certificado</ds:KeyInfo>

Según he visto aquí y confirmado aquí aunque no sea enveloped sino enveloping, no se debe encriptar y codificar en base 64 el XML anterior, sino uno donde se le indique el xmlns porque la canonización lo añade. Por lo tanto lo que yo le paso a los algoritmos es lo siguiente:

<ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#" Id="Signature-v-10-KeyInfo">certificado</ds:KeyInfo>

<ds:KeyInfo Id="Signature-v-10-KeyInfo" xmlns:ds="http://www.w3.org/2000/09/xmldsig#">certificado</ds:KeyInfo>

<ds:KeyInfo Id="Signature-v-10-KeyInfo">certificado</ds:KeyInfo>

He probado una por una las tres así $resumen = base64_encode(hash('sha512', $KInfo, true)); Donde $KInfo contiene el primer objeto de datos, en el segundo intento el segundo y por último el tercero en el tercer intento

La plataforma de la Comisión Europea (https://ec.europa.eu/digital-building-blocks/DSS/webapp-demo/validation) y otras que he probado responden todo el rato que no está intacto, es decir, que no coincide el resumen que yo logro con el resultado que obtiene la plataforma.

Por supuesto, indico que utilizo el sha512 como se puede ver en el código, se han puesto los retornos de carro y sangrías para hacerlo más legible, pero el origina no los lleva para evitar problemas de canonización como dice aquí:

  <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#" Id="Signature-v-10-Signature">
    <ds:SignedInfo>
      <ds:CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
      <ds:SignatureMethod Algorithm="http://www.w3.org/2001/04/xmldsig-more#rsa-sha256"/>
      <ds:Reference Id="Reference-v-10" Type="" URI="">
        <ds:Transforms>
          <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/>
          <ds:Transform Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
        </ds:Transforms>
        <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha512"/>
        <ds:DigestValue>vLbgKoNreEwZwPlORpRoPhtpY5eQxVi3KX3DdWHRUGJA6w5rZpwdDyB4GYZeBJhqF/wu/g7cJUf+Fo5uiWddeA==</ds:DigestValue>
      </ds:Reference>
      <ds:Reference URI="#Signature-v-10-KeyInfo">
        <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha512"/>
        <ds:DigestValue>6pRr4pRNMZ9kkN5ngy2AqC+6BdwVpYJAfDK+TwhapDZBzJ3hLdh82+kSI7WoPKVf438BVB2Mqo+uvewgXPJxZw==</ds:DigestValue>
      </ds:Reference>
      <ds:Reference Type="http://uri.etsi.org/01903#SignedProperties" URI="#Signature-v-10-SignedProperties">
        <ds:Transforms>
          <ds:Transform Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
        </ds:Transforms>
        <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha512"/>
        <ds:DigestValue>GugqF56M6VcrcCqRhPPWEKH6+WFV8JTrSqextL9lG1q2P7u8aBQ7PuUf7H0s6sNNZjYXKw1coBe5OqEf7tCVDA==</ds:DigestValue>
      </ds:Reference>
    </ds:SignedInfo>

He probado a no crear los nodos con CreateElement sino con CreateElemntNS como dice aquí https://stackoverflow.com/questions/27171847/xml-signature-reference-digest-uses-parent-namespace Así:

$Signature = $xml->createElementNS('http://www.w3.org/2000/09/xmldsig#', 'ds:Signature');
$TicketBai->appendChild($Signature);
$SignatureAtributo = $xml->createAttribute('Id');
$SignatureAtributo -> value = 'Signature-'.$Identificador.'-Signature';
$Signature->appendChild($SignatureAtributo);

$SignedInfo = $xml->createElement("ds:SignedInfo");
$Signature->appendChild($SignedInfo);

$Canonico = $xml->createElement("ds:CanonicalizationMethod");
$SignedInfo->appendChild($Canonico);
$CanonicoAtributo = $xml->createAttribute('Algorithm');
$CanonicoAtributo -> value = 'http://www.w3.org/TR/2001/REC-xml-c14n-20010315';
$Canonico->appendChild($CanonicoAtributo);

$Signa = $xml->createElement("ds:SignatureMethod");
$SignedInfo->appendChild($Signa);
$SignaAtributo = $xml->createAttribute('Algorithm');
$SignaAtributo -> value = 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha256';
$Signa->appendChild($SignaAtributo);

$Ref = $xml->createElement("ds:Reference");
$SignedInfo->appendChild($Ref);
$RefAtributo = $xml->createAttribute('Id');
$RefAtributo -> value = "Reference-".$Identificador;
$Ref->appendChild($RefAtributo);
$RefAtributo = $xml->createAttribute('Type');
$RefAtributo -> value = '';
$Ref->appendChild($RefAtributo);
$RefAtributo = $xml->createAttribute('URI');
$RefAtributo -> value = '';
$Ref->appendChild($RefAtributo);
$Etiqueta = $xml->createElement("ds:Transforms");
$Ref->appendChild($Etiqueta);
$Etiqueta2 = $xml->createElement("ds:Transform");
$Etiqueta->appendChild($Etiqueta2);
$EtiquetaAtributo = $xml->createAttribute('Algorithm');
$EtiquetaAtributo -> value = 'http://www.w3.org/2000/09/xmldsig#enveloped-signature';
$Etiqueta2->appendChild($EtiquetaAtributo);
$Etiqueta2 = $xml->createElement("ds:Transform");
$Etiqueta->appendChild($Etiqueta2);
$EtiquetaAtributo = $xml->createAttribute('Algorithm');
$EtiquetaAtributo -> value = 'http://www.w3.org/TR/2001/REC-xml-c14n-20010315';
$Etiqueta2->appendChild($EtiquetaAtributo);
$Etiqueta = $xml->createElement("ds:DigestMethod");
$Ref->appendChild($Etiqueta);
$EtiquetaAtributo = $xml->createAttribute('Algorithm');
$EtiquetaAtributo -> value = 'http://www.w3.org/2001/04/xmlenc#sha512';
$Etiqueta->appendChild($EtiquetaAtributo);
$Una = $xml->createElement("ds:DigestValue", $base64);
$Ref->appendChild($Una);


$Ref = $xml->createElement("ds:Reference");
$SignedInfo->appendChild($Ref);
$RefAtributo = $xml->createAttribute('URI');
$RefAtributo -> value = '#'.$IdKI;
$Ref->appendChild($RefAtributo);
$Etiqueta = $xml->createElement("ds:DigestMethod");
$Ref->appendChild($Etiqueta);
$EtiquetaAtributo = $xml->createAttribute('Algorithm');
$EtiquetaAtributo -> value = 'http://www.w3.org/2001/04/xmlenc#sha512';
$Etiqueta->appendChild($EtiquetaAtributo);
$Una = $xml->createElement("ds:DigestValue", "");
$Ref->appendChild($Una);

¿Alguien puede decirme qué hago mal? ¿Qué no estoy teniendo en cuenta? El W3C afirma que se debe utilizar el sha1, pero eso hace veinte años ¿es por el SHA512? ¿debo utilizar el sha1?

No me parece que haya funcionado con ninguna y mira que a veces el hash canonizado coincide con el que yo obtengo cortando por aquí y por allá. ¿Qué más debo añadir? ¿Hay algún tutorial?. El W3C dice que solo se debe aislar el objeto por el método que sea y aplicarle la función hash que has indicado en la etiqueta Transform.

Llevo casi un mes luchando con esto de todas las formas imaginables ¿Alguien puede ayudarme?

9
  • en esta otra pregunta que publicaste; te pedi que hicieras pruebas: es.stackoverflow.com/questions/560891/…
    – user46896
    Commented el 6 oct. 2022 a las 20:22
  • si ignoras lo que te pedimos tu crees que vas a recibir mas atencion???
    – user46896
    Commented el 6 oct. 2022 a las 20:22
  • Voto por cerrar esta pregunta porque ya existe otra, similar del mismo usuario ...
    – user46896
    Commented el 6 oct. 2022 a las 20:23
  • Pero si te contesté que la primera no me había funcionado. Lo que pasa es que aún estoy trabajando en la segunda. No he terminado de aplicarla del todo. Por cierto. Muchísimas gracias otra vez
    – Zósimo
    Commented el 6 oct. 2022 a las 20:24
  • No hay problema en cerrarla. Yo mismo lo hago. Supongo que será en "Eliminar"
    – Zósimo
    Commented el 6 oct. 2022 a las 20:26

1 respuesta 1

1

He conseguido que coincidan. Los pasos han sido los siguientes.

Cambiar el algoritmo de canonización el inclusivo

<ds:CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>

Por el exclusivo o excluyente:

<ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>

Pese a ello, incluir en el nodo que se pasará por el algoritmo todos los xmlns, aunque estén al principio del documento. Deben hacerse por orden de entrada, no por alfabético.

¿Cual fue el error? La comprobación con PHP. Si sacamos el nodo del que deseamos calcular el resumen, lo canonizamos, para después aplicarle el algoritmo de compresión y la codificado en base 64, sale por ejemplo esto en el caso de SignedProperties:

<xades:SignedProperties xmlns:ds="http://www.w3.org/2000/09/xmldsig#" xmlns:xades="http://uri.etsi.org/01903/v1.3.2#" Id="Signature-v-10-SignedProperties">xades:SignedSignaturePropertiesxades:SigningTime2022 ...

Cuando es necesario que el texto canonizado sea este:

<xades:SignedProperties xmlns:T="urn:ticketbai:emision" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" xmlns:xades="http://uri.etsi.org/01903/v1.3.2#" Id="Signature-v-10-SignedProperties">xades:SignedSignaturePropertiesxades:SigningTime2022

es decir, con las xmls puesto al principio del documento o donde se tercie, no solo al principio del nodo de firma. Por alguna razón el método de canonización, sea el que sea, no los incluye, pero sí lo hacen los métodos de canonización de los verificadores. Esto cuando se ha optado por el método de canonización http://www.w3.org/2001/10/xml-exc-c14n# es decir, es exclusivo que teóricamente no debería tener en cuenta estos xmlns como me ha precido entender en sitios como este.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.