X.509支持

    安全方面的难题之一是信任。在网络中安全地分发和存储受信任的公钥并不容易，但是，Windows提供了大量基础结构来解决该问题。加密API(Cryptographic API，CAPI)提供了对分发、操纵和存储X.509证书的支持。CAPI提供的支持也称为公钥基础结构(Public Key Infrastructure，PKI)。

    X.509证书提供有关密钥的其他信息。证书指定了密钥的颁发者、密钥的接收者、证书何时有效以及实际的密钥信息。证书是由证书颁发机构(Certificate Authorities，CA)颁发的，CA是您给予信任以担保证书持有者身份的实体（例如，某个外部公司或您所在公司的IT部门）。如果您具有一个有效证书，它包含由您信任的CA颁发的属于您的计帐部门的公钥，则您可以确保该公钥确实是计帐部门的。

    通过Windows PKI支持，您可以安全地在计算机上的证书存储器中存储证书，在网络计算机上的证书存储器中添加和移除证书，在网络计算机上添加和移除受信任的CA，获得和验证有关单个证书的信息等等。例如，这使您可以将证书（包含您所在公司计帐部门的公钥）分发到公司网络中的所有计算机。在.NET Framework 1.x中，必须调用非托管API才能利用该支持的大部分功能。在.NET Framework 2.0中，可以在托管代码中通过X509CertificateEx类和相关的类使用这些API中的大多数API。XML签名类直接支持X509CertificateEx类。要用证书创建XML签名，只需从该证书的PrivateKey属性中获得私钥，然后将其用作SignedXml对象的签名密钥。

// Use the private key from the certificate. Assumes a SignedXml
// object in sig and an X509CertificateEx object in cert.
sig.SigningKey = cert.PrivateKey;

    当然，该证书必须具有相关联的私钥，否则PrivateKey属性返回null。您还可以通过使用KeyInfoX509Data类将X.509证书信息添加到已签名的KeyInfo元素中，如以下代码所示：

// Add X.509 certificate info to the KeyInfo element. Assumes a
// SignedXml object in sig and an X509CertificateEx in cert.
KeyInfoX509Data keyInfoX509 =
    new KeyInfoX509Data(cert, X509IncludeOption.EndCertOnly);
sig.KeyInfo.AddClause(keyInfoX509);

    要验证用证书的私钥签名的XML签名，可以调用SignedXml类的CheckSignature方法的新重载，该新重载采用一个X509CertificateEx对象和一个布尔值。如果该布尔值被设置为true，则该方法将针对证书中的公钥验证签名，并且通过检查密钥使用率以及生成到受信任的根颁发者的链条来验证该证书。

// Check the signature against the cert and verify the cert. Assumes a
// SignedXml object in sig and an X509CertificateEx object in cert.
bool verified = sig.CheckSignature(cert, true);

    还可以使用不带任何参数的CheckSignature方法来验证签名，但是它不会同时验证X.509证书（如果使用了一个这样的证书对XML进行签名）。作为一个单独的步骤，您必须根据KeyInfo重新创建X509CertificateEx对象并对其进行验证。有关出于测试目地创建X.509证书的更多信息，请参阅.NET Framework SDK文档中的证书创建工具(Makecert.exe)主题。

    .NET Framework 2.0向签名引擎中添加了几个新的转换和规范化算法。这些算法包括Exclusive C14N规范化算法、XML解密转换和LTA转换。图14包含.NET Framework 2.0签名引擎中提供的转换和规范化算法的完整表格。

图14 转换和规范化算法库

小结

    我们在这里讨论了XML签名标准的基础知识以及它在.NET Framework 1.x中是如何实现的。我们还讨论了.NET Framework 2.0中的一些新功能，包括对XML加密标准的支持以及对XML签名的X.509证书集成。通过这些积木技术，可以使用标准与其他应用程序互操作，并且将标准支持内置到您自己的应用程序中。

上一页  [1] [2] [3] [4] [5] 

【责编:Kittoy】