Simple Message Queue (formerly MNS):Verifikasi signature pesan push HTTP

Praktik keamanan terbaik

Tinjau persyaratan berikut sebelum mengimplementasikan verifikasi signature:

• Validasi URL sertifikat. URL sertifikat penandatangan harus diawali dengan https://mnstest.oss-cn-hangzhou.aliyuncs.com/ atau https://mns-cert.oss-cn-{region}.aliyuncs.com/. Tolak sertifikat apa pun dari awalan yang berbeda. Untuk detailnya, lihat Bagaimana cara memeriksa apakah URL sertifikat kunci publik disediakan oleh Alibaba Cloud?

• Periksa stempel waktu. Header Date memiliki jendela validitas 15 menit. SMQ mengembalikan kode kesalahan 400 untuk permintaan yang kedaluwarsa. Tolak pesan dengan stempel waktu lebih dari 15 menit lalu untuk melindungi titik akhir Anda dari serangan replay. Untuk informasi selengkapnya, lihat Kode kesalahan.

Cara kerja verifikasi signature

Verifikasi signature terdiri dari empat langkah:

1. Ambil sertifikat penandatangan X.509 dan ekstrak kunci publiknya.

2. Buat string-to-sign dari permintaan HTTP.

3. Decode Base64 header Authorization dan dekripsi nilainya menggunakan kunci publik.

4. Bandingkan nilai hasil dekripsi dengan string-to-sign. Jika sesuai, permintaan tersebut autentik.

Contoh permintaan masuk

SMQ mengirim permintaan HTTP POST ke titik akhir Anda dengan header seperti berikut:

POST /notifications HTTP/1.1
Content-Type: text/xml;charset=utf-8
Content-MD5: ZDgxNjY5ZjFlMDQ5MGM0YWMwMWE5ODlmZDVlYmQxYjI=
Date: Wed, 25 May 2016 10:46:14 GMT
Authorization: Mko2Azg9fhCw8qR6G7AeAFMyzjO9qn7LDA5/t9E+6X5XURXTqBUuhpK+K55UNhrnlE2UdDkRrwDxsaDP5ajQ****
x-mns-request-id: 57458276F0E3D56D7C00****
x-mns-signing-cert-url: aHR0cDovL21uc3Rlc3Qub3NzLWNuLWhhbmd6aG91LmFsaXl1bmNzLmNvbS94NTA5X3B1YmxpY19jZXJ0aWZpY2F0ZS5w****
x-mns-version: 2015-06-06

Nilai x-mns-signing-cert-url dikodekan dalam Base64. Setelah didekodekan, nilai tersebut menghasilkan URL unduhan sertifikat.

Pengumuman perubahan

Langkah 1: Ambil sertifikat X.509

Ekstrak header x-mns-signing-cert-url dari permintaan masuk dan decode Base64 nilainya untuk mendapatkan URL sertifikat. Unduh sertifikat dari URL tersebut dan ekstrak kunci publiknya.

Langkah 2: Buat string-to-sign

Buat string-to-sign dengan menggabungkan komponen permintaan dalam format berikut:

StringToSign = HttpMethod + "\n"
             + CONTENT-MD5 + "\n"
             + CONTENT-TYPE + "\n"
             + DATE + "\n"
             + CanonicalizedMNSHeaders
             + CanonicalizedResource;

// Ambil header permintaan
Map<String, String> httpHeaders = request.getHeaders();
// Urutkan header dan ubah nama menjadi huruf kecil
sortHeadersKeyAndToLowerCase(httpHeaders);
// Gabungkan header x-mns-*
Set<String> keySet = httpHeaders.keySet();
for (String key : keySet) {
    if (key.startsWith("x-mns-")) {
        CanonicalizedMNSHeaders.append(key).append(":")
            .append(httpHeaders.get(key)).append("\n");
    }
}

POST
ZDgxNjY5ZjFlMDQ5MGM0YWMwMWE5ODlmZDVlYmQxYjI=
text/xml;charset=utf-8
Wed, 25 May 2016 10:46:14 GMT
x-mns-request-id:57458276F0E3D56D7C00****
x-mns-signing-cert-url:aHR0cDovL21uc3Rlc3Qub3NzLWNuLWhhbmd6aG91LmFsaXl1bmNzLmNvbS94NTA5X3B1YmxpY19jZXJ0aWZpY2F0ZS5w****
x-mns-version:2015-06-06
/notifications

Langkah 3: Dekripsi header Authorization

Decode Base64 nilai header Authorization, lalu dekripsi byte hasil decode menggunakan kunci publik RSA dari Langkah 1.

Langkah 4: Bandingkan dan verifikasi

Bandingkan string-to-sign dari Langkah 2 dengan nilai hasil dekripsi dari Langkah 3:

• Sesuai: Permintaan autentik. Proses pesannya.

• Tidak sesuai: Permintaan mungkin palsu. Tolak permintaan tersebut.

Kode contoh Java

Contoh berikut menggabungkan keempat langkah tersebut. Metode authenticate mengambil sertifikat penandatangan, membuat string-to-sign, dan memverifikasi signature RSA-SHA1.

import org.apache.commons.codec.binary.Base64;

import java.io.DataInputStream;
import java.net.HttpURLConnection;
import java.net.URL;
import java.security.PublicKey;
import java.security.cert.Certificate;
import java.security.cert.CertificateFactory;
import java.util.ArrayList;
import java.util.Collections;
import java.util.HashMap;
import java.util.List;
import java.util.Map;


public class SignDemo {
    private Boolean authenticate(String method, String uri, Map<String, String> headers) {
        try {
            // Langkah 1: Ambil URL sertifikat penandatangan dari header permintaan
            if (!headers.containsKey("x-mns-signing-cert-url")) {
                System.out.println("Header x-mns-signing-cert-url tidak ditemukan");
                return false;
            }
            String cert = headers.get("x-mns-signing-cert-url");
            if (cert.isEmpty()) {
                System.out.println("x-mns-signing-cert-url kosong");
                return false;
            }
            // Decode Base64 nilai header untuk mendapatkan URL sertifikat sebenarnya
            cert = new String(Base64.decodeBase64(cert));
            System.out.println("x-mns-signing-cert-url:\t" + cert);

            // Unduh sertifikat dan ekstrak kunci publik
            URL url = new URL(cert);
            HttpURLConnection conn = (HttpURLConnection) url.openConnection();
            DataInputStream in = new DataInputStream(conn.getInputStream());
            CertificateFactory cf = CertificateFactory.getInstance("X.509");
            Certificate c = cf.generateCertificate(in);
            PublicKey pk = c.getPublicKey();

            // Langkah 2: Buat string-to-sign
            String str2sign = getSignStr(method, uri, headers);
            System.out.println("String2Sign:\t" + str2sign);

            // Langkah 3: Decode Base64 header Authorization
            String signature = headers.get("Authorization");
            byte[] decodedSign = Base64.decodeBase64(signature);

            // Langkah 4: Verifikasi signature RSA-SHA1
            java.security.Signature signetcheck = java.security.Signature.getInstance("SHA1withRSA");
            signetcheck.initVerify(pk);
            signetcheck.update(str2sign.getBytes());
            Boolean res = signetcheck.verify(decodedSign);
            return res;
        } catch (Exception e) {
            e.printStackTrace();
            return false;
        }
    }

    private String getSignStr(String method, String uri, Map<String, String> headers) {
        StringBuilder sb = new StringBuilder();
        sb.append(method);
        sb.append("\n");
        sb.append(safeGetHeader(headers, "Content-md5"));
        sb.append("\n");
        sb.append(safeGetHeader(headers, "Content-Type"));
        sb.append("\n");
        sb.append(safeGetHeader(headers, "Date"));
        sb.append("\n");

        List<String> tmp = new ArrayList<String>();
        for (Map.Entry<String, String> entry : headers.entrySet()) {
            if (entry.getKey().startsWith("x-mns-")) {
                tmp.add(entry.getKey() + ":" + entry.getValue());
            }
        }
        Collections.sort(tmp);

        for (String kv : tmp) {
            sb.append(kv);
            sb.append("\n");
        }

        sb.append(uri);
        return sb.toString();
    }

    private String safeGetHeader(Map<String, String> headers, String name) {
        if (headers.containsKey(name)) {
            return headers.get(name);
        } else {
            return "";
        }
    }

    public static void main(String[] args) {
        SignDemo sd = new SignDemo();
        Map<String, String> headers = new HashMap<String, String>();
        headers.put("Authorization", "Mko2Azg9fhCw8qR6G7AeAFMyzjO9qn7LDA5/t9E+6X5XURXTqBUuhpK+K55UNhrnlE2UdDkRrwDxsaDP5ajQ****");
        headers.put("Content-md5", "M2ViOTE2ZDEyOTlkODBjMjVkNzM4YjNhNWI3ZWQ1****");
        headers.put("Content-Type", "text/xml;charset=utf-8");
        headers.put("Date", "Tue, 23 Feb 2016 09:41:06 GMT");
        headers.put("x-mns-request-id", "56CC2932F0E3D5BD5306****");
        headers.put("x-mns-signing-cert-url", "aHR0cDovL21uc3Rlc3Qub3NzLWNuLWhhbmd6aG91LmFsaXl1bmNzLmNvbS94NTA5X3B1YmxpY19jZXJ0aWZpY2F0ZS5w****");
        headers.put("x-mns-version", "2015-06-06");
        Boolean res = sd.authenticate("POST", "/notifications", headers);
        System.out.println("Hasil autentikasi:" + res);
    }
}