OpenSSL newbie qui.
Usiamo OpenSSL per analizzare e verificare il certificato e la firma che Alexa di Amazon invia ai servizi web esterni, seguendo il loro elenco di requisiti nelle istruzioni qui .
Stiamo estraendo con successo la chiave pubblica, controllando le date di inizio / fine del certificato, verificando che echo-api.amazon.com sia l'oggetto del certificato e verificando la catena di attendibilità (utilizzando la riga di comando di OpenSSL funzioni).
Ma siamo bloccati nel punto in cui la documentazione di Amazon dice "Usa la chiave pubblica estratta dal certificato di firma per decodificare la firma crittografata per produrre il valore hash asserito."
Questo è possibile con OpenSSL? Il comando openssl "rsautl -decrypt" è solo per le chiavi private (sia la documentazione che i nostri test lo confermano e le chiavi pubbliche vengono rifiutate, anche con l'opzione -pubin).
In alternativa, c'è un modo per ottenere che openssl dgst -verify funzioni per la verifica della firma di Alexa?
Stiamo testando questi comandi:
openssl base64 -d -in (signature_file) -out /tmp/sign.sha256
openssl dgst -sha256 -verify (pub-key_file) -signature /tmp/sign.sha256 (file)
Abbiamo utilizzato la funzione getHttpRequestData().headers["Signature"] di ColdFusion per ottenere la firma:
lOtMJdnw8fffdJHkiM2I6m+K0IqkMCeAWJrjoYGVtkGEBYXUOUazKh6/rpM6opxni7YMHJkA6x5/eGGmWg++VP
0+2I/TNQjR9TTu1LVKikGyi9Oskk/od/tKzEhyWJ2noyyrybqRG1bTSLjVqc1RxDLLRbDuOs12s5F6E0bL18pG
EAww6iMKr2m212wrVzJ2pehp8wVMcqlegOaXW2iFlAunWwte7E/br4vdsYiAXZRLg2uVBDvjmpeo4b9GJZbZkE
HhV+/x+KOwXCISl+Ao0BTr/pzfuF4m/oWpX1PC91hwYMSiVn9I+a+VDxKVxSVllCrffIAIc9mETVuc9U0XRA==
E la funzione% diGetHttpRequestData().content di Coldfusion restituisce la struttura JSON inviata al servizio web:
{
"version":"1.0",
"session":{
"new":true,
"sessionId":"SessionId.29d1522f-6ea6-4aba-b782-f41890388569",
"application":{
"applicationId":"amzn1.ask.skill.63fd6ac5-ed2b-4324-995c-681f96f428a6"
},
"attributes":{
},
"user":{
"userId":"amzn1.ask.account.AHURACZZDQ43ZMUVTOQBEGB5JMWOZCFJRFYXCO26O2IZ3JRS6HYKBOOXPEM6BNWLPUM2E6EWCDC4Q2DPFHXSE3EJT4BLL4CWDNDIFASIHIV2D4AJDH7MDICIFVMHK252EBVQOGFR2TH4HNGMMTPOHI5VGQD7O4UWPZOL2FQOGRCNMVUPUI3SC2R2EH5L5V6XD7B7IF544TYJJCA"
}
},
"request":{
"type":"IntentRequest",
"requestId":"EdwRequestId.d8e9d467-b311-4d9c-8273-9ba0b1e07613",
"timestamp":"2017-05-11T18:49:37Z",
"locale":"en-US",
"intent":{
"name":"GetRssFeedHeadlines",
"slots":{
"RSSFeedLabel":{
"name":"RSSFeedLabel",
"value":"top news"
}
}
}
}
}
Ecco la chiave pubblica:
-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAnK+zBruRA1TnbgQGxE+b
4XiTTZyDkGwJ6068AGsXQmgt9lVhC8CTTC4wdR5NXosboV6/63worQCNo412csBV
jUy3H1/VEs+5Kv+AiAOUuKoBfEU8zAvHCc7GmOKUgNidcDA0MSpx3ZTMSGGbkfaL
ikRzne6nFZ6jNOnkqTtGD6SrCIYgLNArScYoPzIcXEypHFrognzrR4Ee0YcefGZy
S81Yqev/lli01dAgRvpnAty68rYTmxkNhzUSG6IIbFHIxXJKAETAkGiKJcgZpfG2
1Ok5Dk3yGrESY/ID5OnxvMxiXSnXwht8JD6bd15ui0tPDa85B0jpZLloqQZe26oR
owIDAQAB
-----END PUBLIC KEY-----
Ma openssl dgst restituisce sempre un messaggio di "Verification Failed" quando usiamo openssl dgst -verify con i file contenenti la firma (cercando raw e Base64-decodificato) e il corpo della richiesta http (elencato sopra).
Qualsiasi guida sarebbe molto apprezzata!