如何让 WS-Security 证书被 Java 应用程序接受

Question

因此，我已经在 WS-Security 上苦苦挣扎了一段时间，慢慢取得了进展。 首先让我简要介绍一下我的设置。 我有 Java 应用程序在 tomcat 中运行，它提供了一个 Web 服务端点（使用 Spring）。 我希望对传入的消息进行签名。 我正在使用 SoapUI 进行测试。 因此，经过长时间的努力，我得到了服务器来检查传入消息的签名，我还得到了 SoapUI，用于对传出的消息进行签名。 但是，服务器一直拒绝证书，我不确定我在哪里做错了，即我是否在测试请求中发送了错误的证书信息，或者我没有正确维护信任库中的证书。 下面是一个请求示例：

<soapenv:Envelope xmlns="http://movilitas.com/movilizer/v7" xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
   <soapenv:Header>
      <wsse:Security xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
         <wsu:Timestamp wsu:Id="Timestamp-7" xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">
            <wsu:Created>2011-06-30T12:51:33.407Z</wsu:Created>
            <wsu:Expires>2011-06-30T12:53:13.407Z</wsu:Expires>
         </wsu:Timestamp>
         <ds:Signature Id="Signature-6" xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
            <ds:SignedInfo>
               <ds:CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n-20010315"/>
               <ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
               <ds:Reference URI="#id-2">
                  <ds:Transforms>
                     <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
                  </ds:Transforms>
                  <ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
                  <ds:DigestValue>OiRQ2oXbajnnrSGsbOALT2i6brs=</ds:DigestValue>
               </ds:Reference>
            </ds:SignedInfo>
            <ds:SignatureValue>
                fmtFMSccFcwEfL1M8qgQ...
            </ds:SignatureValue>
            <ds:KeyInfo Id="KeyId-C3B38A939F7D63D51F13094382933988">
               <wsse:SecurityTokenReference wsu:Id="STRId-C3B38A939F7D63D51F13094382933989" xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">
                  <wsse:KeyIdentifier EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary" 
                                      ValueType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509v3SubjectKeyIdentifier">
                        MIICbzCCAdgCAQEwDQ... 
                    </wsse:KeyIdentifier>
               </wsse:SecurityTokenReference>
            </ds:KeyInfo>
         </ds:Signature>
      </wsse:Security>
   </soapenv:Header>
   <soapenv:Body wsu:Id="id-2" xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd">
      [...]
   </soapenv:Body>
</soapenv:Envelope>

现在，当我从信任库（证书的 base64 编码版本）导出证书时，我拥有的内容与我得到的内容相同。 我发送请求时收到的错误如下：

Jul 5, 2011 4:42:23 PM com.sun.xml.wss.impl.dsig.KeySelectorImpl resolve
SEVERE: WSS1353: Error occurred while resolving key information
com.sun.xml.wss.XWSSecurityException: No Matching public key for MIICbzCCAdgCAQEwDQ... subject key identifier found
    at com.sun.xml.wss.impl.misc.DefaultSecurityEnvironmentImpl.getCertificate(DefaultSecurityEnvironmentImpl.java:617)
    at com.sun.xml.wss.impl.dsig.KeySelectorImpl.resolve(KeySelectorImpl.java:385)
    at com.sun.xml.wss.impl.dsig.KeySelectorImpl.select(KeySelectorImpl.java:232)
    ...

我错过了什么吗？ 有什么大不了的？ 还是小？ 这是我实际上应该作为 KeyIdentifier 发送的吗？ 任何帮助将不胜感激！

Answer 1

您不发送证书本身，只发送对证书的引用 - 主题密钥标识符。 您要么必须将合作伙伴的公共证书存储在信任库（密钥库）中，要么必须在消息中包含二进制安全令牌。 有关详细信息，请参阅http://www.oasis-open.org/committees/download.php/16785/wss-v1.1-spec-os-x509TokenProfile.pdf第 3.3.2 节。