SAML 元数据条目的签名信任建立失败答案

【问题标题】：Signature trust establishment failed for SAML metadata entrySAML 元数据条目的签名信任建立失败
【发布时间】：2014-10-11 09:19:15
【问题描述】：

为了从远程源获取元数据，我定义了一个ExtendedMetadataDelegate bean，如下所示：

@Bean
@Qualifier("replyMeta")
public ExtendedMetadataDelegate replyMetadataProvider() throws MetadataProviderException {
    String metadataURL = "https://ststest.mydomain.it/FederationMetadata/2007-06/FederationMetadata.xml";
    final Timer backgroundTaskTimer = new Timer(true);
    HTTPMetadataProvider provider = new HTTPMetadataProvider(
            backgroundTaskTimer, httpClient(), metadataURL);
    provider.setParserPool(parserPool());
    ExtendedMetadataDelegate emd = new ExtendedMetadataDelegate(
            provider, new ExtendedMetadata());
    return emd;
}

为了保证签名信任的建立，我在 JDK keystore 和 application keystore 中都添加了相关的密钥（第二步可能不够）；尽管如此，运行 webapp 还是会发生错误。

[2014-08-18 14:36:47.200] boot - 6000 DEBUG [localhost-startStop-1] --- SignatureValidator: Attempting to validate signature using key from supplied credential
[2014-08-18 14:36:47.200] boot - 6000 DEBUG [localhost-startStop-1] --- SignatureValidator: Creating XMLSignature object
[2014-08-18 14:36:47.206] boot - 6000 DEBUG [localhost-startStop-1] --- SignatureValidator: Validating signature with signature algorithm URI: http://www.w3.org/2001/04/xmldsig-more#rsa-sha256
[2014-08-18 14:36:47.207] boot - 6000 DEBUG [localhost-startStop-1] --- SignatureValidator: Validation credential key algorithm 'RSA', key instance class 'sun.security.rsa.RSAPublicKeyImpl'
[2014-08-18 14:36:47.329] boot - 6000 DEBUG [localhost-startStop-1] --- SignatureValidator: Signature validated with key from supplied credential
[2014-08-18 14:36:47.329] boot - 6000 DEBUG [localhost-startStop-1] --- BaseSignatureTrustEngine: Signature validation using candidate credential was successful
[2014-08-18 14:36:47.330] boot - 6000 DEBUG [localhost-startStop-1] --- BaseSignatureTrustEngine: Successfully verified signature using KeyInfo-derived credential
[2014-08-18 14:36:47.330] boot - 6000 DEBUG [localhost-startStop-1] --- BaseSignatureTrustEngine: Attempting to establish trust of KeyInfo-derived credential
[2014-08-18 14:36:47.330] boot - 6000 DEBUG [localhost-startStop-1] --- BasicX509CredentialNameEvaluator: Supplied trusted names are null or empty, skipping name evaluation
[2014-08-18 14:36:47.331] boot - 6000 DEBUG [localhost-startStop-1] --- MetadataCredentialResolver: Attempting PKIX path validation on untrusted credential: [subjectName='CN=ADFS Signing - ststest-replynet.reply.it']
[2014-08-18 14:36:47.346] boot - 6000 ERROR [localhost-startStop-1] --- MetadataCredentialResolver: PKIX path construction failed for untrusted credential: [subjectName='CN=ADFS Signing - ststest-replynet.reply.it']: unable to find valid certification path to requested target
[2014-08-18 14:36:47.347] boot - 6000 DEBUG [localhost-startStop-1] --- PKIXSignatureTrustEngine: Signature trust could not be established via PKIX validation of signing credential
[2014-08-18 14:36:47.347] boot - 6000 DEBUG [localhost-startStop-1] --- BaseSignatureTrustEngine: Failed to establish trust of KeyInfo-derived credential
[2014-08-18 14:36:47.347] boot - 6000 DEBUG [localhost-startStop-1] --- BaseSignatureTrustEngine: Failed to verify signature and/or establish trust using any KeyInfo-derived credentials
[2014-08-18 14:36:47.347] boot - 6000 DEBUG [localhost-startStop-1] --- PKIXSignatureTrustEngine: PKIX validation of signature failed, unable to resolve valid and trusted signing key
[2014-08-18 14:36:47.347] boot - 6000 ERROR [localhost-startStop-1] --- SignatureValidationFilter: Signature trust establishment failed for metadata entry http://ststest-replynet.reply.it/adfs/services/trust
[2014-08-18 14:36:47.349] boot - 6000 ERROR [localhost-startStop-1] --- AbstractReloadingMetadataProvider: Error filtering metadata from https://ststest-replynet.reply.it/FederationMetadata/2007-06/FederationMetadata.xml
org.opensaml.saml2.metadata.provider.FilterException: Signature trust establishment failed for metadata entry

错误通过设置消失：

emd.setMetadataTrustCheck(false);

...但我想检查使用的元数据。

有没有办法解决这个错误？

更新：

我尝试如下设置ExtendedMetadata，但错误仍然存在。

em.setAlias("defaultAlias");
em.setSigningKey("*.mydomain.it (Go Daddy Secure Certification Authority)");

【问题讨论】：

看起来这是因为unable to find valid certification path to requested target - 您的信任库中是否拥有所有需要的证书？更多信息在这里stackoverflow.com/questions/24698914/…
我将证书添加到 JDK (jre/lib/security/cacerts) 和 samlKeystore.jks。
emd.setMetadataTrustCheck(false); 为我工作，谢谢！ ...我的信任无效且不受我控制

标签： java spring spring-security saml-2.0 spring-saml

【解决方案1】：

您很可能导入了 HTTPS 证书，但没有导入用于创建签名的证书 - 它们不同。你应该：

使用从元数据中获取的以下内容创建文件 signature.cer：

将证书导入到您的 samlKeystore.jks 中：

 keytool -importcert -alias adfssigning -keystore samlKeystore.jks -file signature.cer

这应该是您所需要的，只需重新启动 Tomcat，您的元数据加载现在应该可以通过了。

如果您包含以下配置 HTTP 客户端的 bean（在 Spring SAML 1.0.0.RELEASE 中可用），则无需在 JDK 的 cacerts 中包含 HTTPS 证书：

 <bean class="org.springframework.security.saml.trust.httpclient.TLSProtocolConfigurer"/>

【讨论】：

您是如何生成signature.cer 的？
@Purefan 您可以从身份提供者共享的元数据中获取证书。您可能可以从某个端点获取它，例如：idp.hostname/saml2/idp/metadata.php，询问您正在使用的 IPS 的管理员。只需将其放在 BEGIN / END CERTIFICATE 标签之间的空文件中
即使在我的密钥库中添加了signing.cer 之后，我也遇到了同样的错误。有什么想法吗？
在 spring 或 java 中是否有示例代码可以快速匹配已编辑的 .cer 和 .jks 并与元数据匹配，我正在重新启动服务器以重新测试，这需要我很长时间，然后删除额外的选项卡或换行符，然后再次重新启动服务器。

【解决方案2】：

我发布此内容以防万一即使您所做的一切都接受了此问题的答案并且仍然遇到相同的错误，它是否可能会有所帮助。

我也遇到了这个问题，我已经添加了 IDP 的元数据文件并将他们的证书导入到我的应用程序密钥库中。但仍然存在签名信任验证问题。我确实在 Intellij 中格式化了 IDP 中的 metadata.xml，这确实搞砸了。一旦我将他们的元数据文件原封不动地导入后，一切正常。

【讨论】：

非常感谢，这为我节省了很多时间。我仍然不明白格式化是如何弄乱签名的。首先，我认为这是因为在签名前后添加了空格，但不是因为这个。也许 XML 中的其他属性上还有其他空格会弄乱它
“首先通过将作为签名一部分包含的数字哈希与根据内容计算的值进行比较来检查签名的有效性。” -> 格式化文件意味着更改其内容，这就是签名验证失败的原因。参考docs.spring.io/spring-security-saml/docs/current/reference/html/…

【解决方案3】：

我遇到了同样的问题。我为解决同样问题而采取的步骤

从 IDP 元数据文件中提取
将证书复制到文本文件中并另存为.crt。例如 idp.crt
在key Store中导入crt文件 keytool -import -alias adfscert -file idp.crt -keystore samlKeystoreold.jks -storepass keystorepassword
它会询问你是否信任这个 crt.. 说是
在某些情况下，它会要求使用 pkcs12 格式添加警告消息，执行相同操作
尝试运行您的应用程序，它应该可以工作 :)

【讨论】：