Добрый день. Подскажите пожалуйста, реализуема ли следующая задача средствами КриптоПро CSP 3.6:

Имеем массив байт и электронную подпись этого массива байт в формате CMS.
Необходимо написать сервис проверки этой электронной подписи. Но на вход сервису подаётся подпись в формате CMS и гостовый хеш от данных (т.е. не сами данные, а именно хеш).

Задача связана с тем что сервис проверки централизованный, но не все его клиенты готовы отдавать наружу свои документы.

Не нашёл в WinCryptoApi функции, позволяющей это сделать.
Есть ли способы?
Как мне видится если CMS не содержит подписываемых атрибутов, это может быть реализуемо.
А если подписываемые атрибуты есть, тут могут быть трудности.. Есть ли варианты в этом случае?

Пролейте свет пожалуйста.

Максим, спасибо за ответ. Но поясните пожалуйста ещё.
Я не понял, почему если есть подписываемые атрибуты, будет проще.

Да, в случае когда есть подписываемые атрибуты, то хеш содержится в одном их них, и проверить соответствие этого хеша значению хеша, которое прислали, просто.
Но остаётся же ещё операция проверки значения подписи. И она требуется в обоих случаях - и когда есть подписываемые атрибуты и когда нет.

Я внимательно прочитал rfc3852 (много узнал :-)), и насколько я понимаю, в моём случае (когда при проверке нет данных, а есть только хеш данных), алгоритм должен быть следующий:
1. Расшифровать значение подписи открытым ключом
2. Если подписываемых атрибутов нет, сравнить имеющийся хеш с результатом пункта 1, конец проверки.
3. Если подписываемые атрибуты есть, сравнить имеющийся хеш с хешом из подписываемых атрибутов, посчитать хеш от подписываемых атрибутов, сравнить с результатом пункта 1

Т.е. схема вроде как понятна, но в случае когда есть подписываемые атрибуты, она немного сложней.

Насколько правильный на ваш взгляд приведённый алгоритм проверки подписи?

Максим, для подписей, содержащих подписываемые атрибуты всё получилось, спасибо.

Прошу вас подсказать, как быть с подписями, не содержащими подписываемые атрибуты.
Проблема в следующем:
Для проверки подписи по хешу используется функция CryptVerifySignature.
Первым параметром в неё передаётся объект функции хеширования HCRYPTHASH. Этот параметр создаётся (функцией CryptCreateHash) для вычисления хеша исходных подписанных данных. Я не нашёл в описании CryptoAPI способа создать HCRYPTHASH, имея не исходные данные, а готовый хеш. Таким образом мне неоткуда взять HCRYPTHASH, чтобы передать его в CryptVerifySignature, и не могу проверить подпись по хешу.
Посоветуйте, что можно сделать, в какую сторону копать?

Спасибо!

По документации не смог найти такую функциональность в Cryptopro JCP...

Как я понял - нет, но хотел бы услышать мнение более опытных участников форума

Или лучше задам вопрос по другому - Какими средствами можно проверить отделенную подпись по хешу?
Один вариант есть: тут приведен пример на C++ под Windows.

Последние 2 дня этим и занимался. Это утверждение что в JCP это возможно? или предположение что там это есть?

Отредактировано пользователем 24 октября 2013 г. 8:36:01(UTC)  | Причина: Не указана

Вы только про подпись? Вопрос был про проверку.

А что там портировать?
Функции "CryptSignHash" и "CryptVerifySignature" в CAPILite есть - значит всё будет работать как в примерах с MSDN.

Вы пробуйте, а если будут проблемы - спрашивайте.