PGP，验证证书上的签名

Question

我正在开发一个简单的Java代码，该代码使用BouncyCastle v1.51打开PGP公钥并验证其中包含的签名。 目前，我可以加载公钥并遍历所有签名。 但是，即使我使用与产生签名的私钥相对应的公钥测试签名，验证也始终返回“ false”。

这是我的代码：

    try {
        PGPPublicKey pkey = PGPEncryptionUtils.readPublicKey(new FileInputStream(new File(HOME_DIR + "to_verify")));
        Iterator it = pkey.getSignatures();

        PGPPublicKey signing_key = PGPEncryptionUtils.readPublicKey(
                new FileInputStream(new File(HOME_DIR + "my_public_key")));

        while (it.hasNext()) {
            PGPSignature sig = (PGPSignature) it.next();
            sig.init(new JcaPGPContentVerifierBuilderProvider().setProvider("BC"), signing_key);
            // Here I'd expect to see at least a "true".
            println(sig.verify());
        }

    } catch (FileNotFoundException e) {
        // TODO Auto-generated catch block
        e.printStackTrace();
    } catch (IOException e) {
        // TODO Auto-generated catch block
        e.printStackTrace();
    } catch (PGPException e) {
        // TODO Auto-generated catch block
        e.printStackTrace();
    }

readPublicKey的代码从此处获取： https : //github.com/damico/OpenPgp-BounceCastle-Example/blob/master/src/org/jdamico/bc/openpgp/utils/PgpHelper.java 。

我究竟做错了什么？ 谢谢！

Answer 1

我没有PGPSignatures经验，但是要验证公钥密码学中的签名，您需要三件事：

1. 签名。
2. publicKey。
3. 应该签名的原始消息。

在您的示例中， original message丢失了，您需要提供通过PGPSignature.update(byte[])方法签名的original message ，因此您的代码必须类似于：

while (it.hasNext()) {
        PGPSignature sig = (PGPSignature) it.next();
        sig.init(new >JcaPGPContentVerifierBuilderProvider().setProvider("BC"), signing_key);

       // here you need the original message
        sig.update("signature original message".getBytes());

        // now you can try to verify!
        println(sig.verify());
}

希望这可以帮助，