Siéntete libre de divulgar nuestro espacio y códigos en tus redes sociales, necesitamos tu ayuda para ampliar esta comunidad.
Solución:
La forma más sencilla de crear un certificado X.509 con una firma no válida es crear uno con una firma válida y luego modificar la firma. Un simple editor de texto hará el truco si usa la codificación PEM de certificados (el que tiene el encabezado “—–BEGIN CERTIFICATE—–” y la codificación Base64).
Los certificados X.509 usan ASN.1 y el valor de la firma viene en último lugar, como se especifica en el estándar:
Certificate ::= SEQUENCE
tbsCertificate TBSCertificate,
signatureAlgorithm AlgorithmIdentifier,
signature BIT STRING
Entonces, por ejemplo, tome este certificado con una firma válida:
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
(Este es uno de los certificados de Google, espero que no les importe).
Para convertir ese certificado en uno con firma inválida, solo tienes que modificar una letra al final. No toque los signos ‘=’ (si están presentes, son relleno para Base64 cuando la longitud de los datos binarios no es un múltiplo de 3); para evitar un problema potencial extremadamente raro con la codificación BER, tampoco modifique una de las cuatro letras que preceden inmediatamente a estos signos igual (o al final de los datos). Para hacer lo que está tratando de lograr, puede cambiar la última ‘Z’ por otra letra (por ejemplo, una ‘Y’), de modo que la última línea de datos ahora diga:
E+FdDynG49hiV4MhWpmLdY5xzOWqb7+xmPdo3947SoHe9YO2Mg==
¡y voilá! un certificado que se decodifica correctamente pero tiene una firma no válida.
Una firma generalmente es solo un hash encriptado del contenido del mensaje. Cualquier cambio en el contenido o en la firma en sí misma la invalidará.
Hay dos formas diferentes en que una firma podría no ser válida. La firma en sí podría fallar al decodificarse (cuando intenta el público key asociado con el firmante, no se descifra correctamente) o no pudo coincidir con el hash generado a partir de la entrada, pero se descifró de forma válida.
Para el primero, simplemente realice cualquier alteración aleatoria en los datos de la firma, ya que no se decodificará en el hash original si se decodifica en algo remotamente válido.
Para lo último, simplemente cambie cualquier valor o carácter dentro del cuerpo del certificado. Algo tan simple como agregar un espacio o cambiar las mayúsculas debería ser suficiente para que la firma no coincida.
Si está probando comportamientos de certificados, también debe probar cómo se comporta un certificado autofirmado con una firma válida pero una cadena de confianza no válida firmando su propio certificado con un certificado raíz en el que no confíe el cliente que está probando.
Comentarios y valoraciones del post
Eres capaz de corroborar nuestra función exponiendo un comentario o valorándolo te damos las gracias.