JavaのXMLデジタル署名APIを利用してXML署名を検証する。

XML署名検証プロセスのイメージ

XML署名付与は、こちらを参照する。

署名検証の手順

１．署名要素と署名対象要素の特定

// 署名要素（Signature）の特定
Element sigNode = (Element) doc.getElementsByTagNameNS(XMLSignature.XMLNS, "Signature").item(0);
// 署名検証対象要素（Product）の取得
Element targetNode = (Element)doc.getElementsByTagName("Product").item(0);

２．KeySelectorクラスの実装
KeySelector は、XMLSignature の検証に必要な鍵をKeyInfo要素から取得するために使用される。
※検証対象XMLにKeyInfo要素がない場合に、別途で鍵を用意する必要がある。
※下記の例には、KeyInfoから取得した鍵が信頼できるかどうかの判定は実施していない。

/**
 * KeySelectorの実装
 */
public class KeySelectorImp extends KeySelector {

	/**
	 * 鍵の取得
	 */
	@Override
	public KeySelectorResult select(KeyInfo keyInfo, Purpose purpose,
			AlgorithmMethod method, XMLCryptoContext context)
			throws KeySelectorException {
		
		if (keyInfo == null) {
			throw new KeySelectorException("KeyInfo is null");
		}
		
		// KeyInfo配下に検索し、X509サーバ証明書を取得する
		// サーバ証明書から公開鍵を取得し、KeySelectorResultを返却する
		for (Object keyInfoContent : keyInfo.getContent()) {
			if (keyInfoContent instanceof X509Data) {
				for (Object x509Content : ((X509Data)keyInfoContent).getContent()) {
					X509Certificate cert = (X509Certificate)x509Content;
					return new KeySelectorResultImp(cert.getPublicKey());
				}
			}
		}
		
		throw new KeySelectorException("Can't get KeySelectorResult from keyInfo");
	}
	
	/**
	 * KeySelectorResultの実装（インナークラス）
	 */
	private class KeySelectorResultImp implements KeySelectorResult {
		
		private Key key;
		
		public KeySelectorResultImp(Key key) {
			this.key = key;
		}

		@Override
		public Key getKey() {
			return this.key;
		}
	}
}

３．検証コンテキストの作成
署名を検証するためのXMLValidateContextインスタンスを作成する。

DOMValidateContext validateContext = new DOMValidateContext(new KeySelectorImp(), sigNode);
validateContext.setIdAttributeNS(targetNode, null, "id");

４．XML 署名の非整列化（XML文書⇒オブジェクト）
XMLSignatureFactory オブジェクトのunmarshalXMLSignatureメソッドを利用して署名要素をXMLSignatureオブジェクトに変換する。

XMLSignatureFactory signatureFactory = XMLSignatureFactory.getInstance("DOM");
XMLSignature signature = signatureFactory.unmarshalXMLSignature(validateContext);

５．署名検証
XMLSignature オブジェクトで validate メソッドを呼び出して署名検証する。

boolean result = signature.validate(validateContext);

上記手順のまとめ

/**
 * XML署名検証
 * 
 * @param doc
 * @return
 * @throws MarshalException
 * @throws XMLSignatureException
 */
public boolean validate(Document doc) throws MarshalException, XMLSignatureException {
	
	// 署名要素（Signature）の取得
	Element sigNode = (Element) doc.getElementsByTagNameNS(XMLSignature.XMLNS, "Signature").item(0);
	// 署名検証対象要素（Product）の取得
	Element targetNode = (Element)doc.getElementsByTagName("Product").item(0);

	// 検証コンテキストの作成
	DOMValidateContext validateContext = new DOMValidateContext(new KeySelectorImp(), sigNode);
	validateContext.setIdAttributeNS(targetNode, null, "id");
	
	// 署名要素の非整列化 
	XMLSignatureFactory signatureFactory = XMLSignatureFactory.getInstance("DOM");
	XMLSignature signature = signatureFactory.unmarshalXMLSignature(validateContext);

	// 署名検証
	boolean result = signature.validate(validateContext);
		
	return result;
}

/**
 * KeySelectorの実装（インナークラス）
 */
private class KeySelectorImp extends KeySelector {

	/**
	 * 鍵の取得
	 */
	@Override
	public KeySelectorResult select(KeyInfo keyInfo, Purpose purpose,
			AlgorithmMethod method, XMLCryptoContext context)
			throws KeySelectorException {
		
		if (keyInfo == null) {
			throw new KeySelectorException("KeyInfo is null");
		}
		
		// KeyInfo配下に検索し、X509サーバ証明書を取得する
		// サーバ証明書から公開鍵を取得し、KeySelectorResultを返却する
		for (Object keyInfoContent : keyInfo.getContent()) {
			if (keyInfoContent instanceof X509Data) {
				for (Object x509Content : ((X509Data)keyInfoContent).getContent()) {
					X509Certificate cert = (X509Certificate)x509Content;
					return new KeySelectorResultImp(cert.getPublicKey());
				}
			}
		}
		
		throw new KeySelectorException("Can't get key from keyInfo");
	}
	
	/**
	 * KeySelectorResultの実装（インナークラス）
	 */
	private class KeySelectorResultImp implements KeySelectorResult {
		
		private Key key;
		
		public KeySelectorResultImp(Key key) {
			this.key = key;
		}

		@Override
		public Key getKey() {
			return this.key;
		}
	}
}