Подпишите JWT с сертификатом SHA, используя jose4j

Question

Новое в использовании jose4j. Я нашел примеры, как это установить секретный ключ от CERT:

JsonWebSignature jws = new JsonWebSignature(); 
PKCS8EncodedKeySpec spec = 
new PKCS8EncodedKeySpec(keyBytes); 
KeyFactory kf = KeyFactory.getInstance("RSA"); 
PrivateKey pk = kf.generatePrivate(spec); 
jws.setKey(kf.generatePrivate(spec)); 

Но я получаю сообщение об ошибке

java.security.spec.InvalidKeySpecException: java.security.InvalidKeyException: invalid key format  

Я думаю, что это происходит потому, что сертификат был создан как SHA256 вместо RSA. Вот как мне сказали, что сертификат был создан:

openssl req -x509 -sha256 -nodes -days 730 -newkey rsa:2048 -keyout private.key -out certificate_pub.crt 

Кто-нибудь есть примеры того, как я мог бы подписать JWT с SHA256 серт?

Answer 1

С дополнительной информацией, что секретный ключ файл PEM, но НЕ PKCS # 8, как современная версия OpenSSL должны быть созданы для req -newkey. И разница между PEM и «DER» (двоичным), который требуется стандартным Java, - это не просто удаление (и добавление) линий BEGIN и END.

Ваше простое решение, если OpenSSL доступен для преобразования как из них, без шифрования:

openssl pkcs8 -topk8 -nocrypt -outform der -in private.pem -out good.der 

Тогда читайте good.der (лучше использовать имя, если вы хотите) в виде байтов, и положить, что в PKCS8EncodedKeySpec и используйте его, как вы разместили. Кроме того, вам не нужно возиться с DataInputStream, который на самом деле не предназначен для «простых старых» байтов; java.nio.file.Files.readAllBytes может открывать, выделять и читать для вас.

Следующая сложная альтернатива - преобразовать в PKCS # 8, но все же PEM: то же самое, что и о -outform der (и использовать имя файла, которое указывает PEM, чтобы избежать путаницы). Тогда в Java чтения что файл в качестве символов (с Reader, обычно BufferedReader, не Stream), выбросьте BEGIN и END линии, сцепить все линии между ними, и преобразовывают их из base64 в byte[]: в Java8 у вас есть java.util.Base64, перед тем вы можете использовать javax.xml.bind.DatatypeConverter.

Для чтения файла, который у вас есть в стандартной Java, сложнее. Вы можете прочитать PKCS # 1 с PEM-бронированием и преобразовать в двоичный PKCS # 1, а затем «обернуть» PKCS # 1 в PKCS # 8, создав кодировку DER, но это немного сложнее, чем то, что вы продемонстрировали знакомство с. Или вы могли бы проанализировать PKCS № 1 и использовать компоненты для создания собственной реализации RSAPrivateCrtKey и использовать это напрямую (без фабрики), то же самое.

Другой альтернативой является использование сторонней библиотеки от http://www.BouncyCastle.org, которая имеет более гибкие функции для обработки файлов PEM, чем стандартная Java. Но вам нужно изучить их API, а также стандартный, и если ваша программа будет работать в другом месте, вам необходимо обеспечить, чтобы BC был развернут с или как часть вашей программы.