NOM¶

PKCS7_verify, PKCS7_get0_signers - Vérifier une structure PKCS#7 signedData

SYNOPSIS¶

#include <openssl/pkcs7.h>

int PKCS7_verify(PKCS7 *p7, STACK_OF(X509) *certs, X509_STORE *store, BIO *indata, BIO *out, int <drapeaux>);

STACK_OF(X509) *PKCS7_get0_signers(PKCS7 *p7, STACK_OF(X509) *certs, int drapeaux);

DESCRIPTION¶

PKCS7_verify() vérifie une structure PKCS#7 signedData. p7 est la structure PKCS7 à vérifier. certs est un ensemble de certificats dans lequel chercher le certificat du signataire. store est le répertoire des certificats de confiance (utilisé pour les vérifications en chaîne). indata contient les données signées si elles ne sont pas incluses dans p7 (c'est-à-dire si elles sont détachées). Le contenu est écrit dans out s'il n'est pas NULL.

drapeaux est un jeu d'attributs facultatifs, qui peut être utilisé pour modifier l'opération de vérification.

PKCS7_get0_signers() récupère les certificats du signataire à partir de p7, Il ne vérifie pas leur validité ni celle d'aucune signature. Les paramètres certs et drapeaux ont les mêmes significations que dans PKCS7_verify().

PROCESSUS DE VÉRIFICATION¶

Normalement, le processus de vérification procède comme suit.

Initialement quelques vérifications d'intégrité sont effectuées sur p7. Le type de p7 doit être signedData. Il doit y avoir au moins une signature sur les données et, si le contenu est détaché, indata ne peut pas être NULL.

Une tentative est faite pour localiser tous les certificats du signataire, premièrement en cherchant dans le paramètre certs (s'il n'est pas NULL) et ensuite en regardant dans tout certificat contenu dans la structure p7 elle même. Si aucun certificat du signataire ne peut être localisé, l'opération échoue.

Chaque certificat du signataire est vérifié en chaîne en utilisant smimesign et le répertoire de certificats de confiance. Tout certificat interne au message est utilisé comme une CA non fiable. Si une chaîne de vérification échoue, un code d'erreur est renvoyé.

Finalement, le contenu signé est lu (et écrit dans out s'il n'est pas NULL) et la signature est vérifiée.

Si toutes les vérifications de signature sont correctes, la fonction est un succès.

Chacun des drapeaux suivants (ou en combinaison) peut être passé dans le paramètre drapeaux pour changer le comportement par défaut des vérifications. Seul le drapeau PKCS7_NOINTERN a un sens pour PKCS7_get0_signers().

Si PKCS7_NOINTERN est défini, les certificats contenus dans le message lui-même ne seront pas recherchés lors de la localisation des certificats du signataire. Cela signifie que tous les certificats du signataire doivent être dans le paramètre certs.

Si l'attribut PKCS7_TEXT est défini, les en-têtes MIME pour le type text/plain sont supprimés du contenu. Si le contenu n'est pas de type text/plain, alors une erreur est renvoyée.

Si PKCS7_NOVERIFY est défini, les certificats du signataire ne sont pas vérifiés en chaîne.

Si PKCS7_NOCHAIN est défini, les certificats contenus dans le message ne sont pas utilisés comme autorités de certification non fiables. Cela veut dire que toute la chaîne de vérification (en dehors du certificat du signataire) doit être contenu dans le répertoire de confiance.

Si PKCS7_NOSIGS est défini, les signatures des données ne sont pas vérifiées.

NOTES¶

Une application de PKCS7_NOINTERN est d'accepter uniquement les messages signés par un petit nombre de certificats. Les certificats acceptés seront passés dans le paramètre certs. Dans ce cas, si le certificat du signataire n'est pas dans certs, la vérification échouera car le certificat du signataire ne sera pas trouvé.

Une attention particulière doit être prise lors de la modification du comportement par défaut de la vérification. Par exemple, définir PKCS7_NOVERIFY|PKCS7_NOSIGS désactivera totalement toute vérification et tout message signé sera considéré comme valide. Cette combinaison est cependant utile si l'on veut le contenu de out et que sa validité n'est pas considérée comme importante.

La vérification en chaîne doit probablement être effectuée en utilisant le moment de la signature plutôt que l’heure actuelle. Cependant, comme le moment de la signature est fourni par le signataire, il ne peut être fiable sans autres preuves (comme par exemple un horodatage de confiance).

VALEURS DE RETOUR¶

PKCS7_verify() renvoie 1 en cas de vérification réussie et 0 en cas d'erreur.

PKCS7_get0_signers() renvoie tous les signataires ou NULL en cas d'erreur.

L'erreur peut être obtenue à partir de ERR_get_error(3).

BOGUES¶

Le répertoire de certificats de confiance n'est pas inspecté pour trouver le certificat du signataire, cela est dû principalement à l'inadéquation de fonctionnalité de la structure X509_STORE courante.

L'absence de traitement en une seule passe et la nécessité de garder toutes les données en mémoire, comme c'est mentionné dans PKCS7_sign(), s'appliquent aussi à PKCS7_verify().

VOIR AUSSI¶

ERR_get_error(3), PKCS7_sign(3)

HISTORIQUE¶

PKCS7_verify() a été ajoutée dans la version 0.9.5 d'OpenSSL

TRADUCTION¶

La traduction de cette page de manuel est maintenue par les membres de la liste <debian-l10n-french AT lists DOT debian DOT org>. Veuillez signaler toute erreur de traduction par un rapport de bogue sur le paquet manpages-fr-extra.