由 PKCS#7 加密消息保护的 API

我当前正在尝试调用一个 API，该 API 要求我将 XML 数据放入 PKCS#7 格式。
该数据被发布到 API 端点。
响应还采用 PKCS#7 加密消息的形式（MIME 类型为 application/pkcs7-mime）。
他们提供的一些注释： 加密消息不包含任何认证链。不使用数据压缩。不使用数据加密。加密消息采用 OpenSSL PEM 格式。

我已获得两张证书。一个是我创建了请求并拥有私钥，另一个是由服务提供商提供给我的。
我已成功安装这些证书，并且可以与该服务进行通信。

我似乎已成功将数据发送到此 API 服务。
现在我正在尝试理解从该 API 收到的响应。
这个响应看起来像这样

-----BEGIN PKCS7-----
WISGCSqGSIb3DQEHSqCSWISCSQExCzSJBgUrDgWCGgUSWISGCSqGSIb3DQEHSSCS
AfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsd
WISGCSqGSIb3DQEHSqCSWISCSQExCzSJBgUrDgWCGgUSWISGCSqGSIb3DQEHSSCS
AfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsd
WISGCSqGSIb3DQEHSqCSWISCSQExCzSJBgUrDgWCGgUSWISGCSqGSIb3DQEHSSCS
AfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsd
WISGCSqGSIb3DQEHSqCSWISCSQExCzSJBgUrDgWCGgUSWISGCSqGSIb3DQEHSSCS
AfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsd
WISGCSqGSIb3DQEHSqCSWISCSQExCzSJBgUrDgWCGgUSWISGCSqGSIb3DQEHSSCS
AfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsd
WISGCSqGSIb3DQEHSqCSWISCSQExCzSJBgUrDgWCGgUSWISGCSqGSIb3DQEHSSCS
AfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsd
WISGCSqGSIb3DQEHSqCSWISCSQExCzSJBgUrDgWCGgUSWISGCSqGSIb3DQEHSSCS
AfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsd
WISGCSqGSIb3DQEHSqCSWISCSQExCzSJBgUrDgWCGgUSWISGCSqGSIb3DQEHSSCS
AfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsdfdAfsdFAD3433423ASfdsd
-----END PKCS7-----

（我把内容搞乱了，以防里面有敏感的东西）

有了这个回应，我需要

1. 验证数字签名以确保响应是由提供商发送的
2. 从此响应中获取 Xml 格式的消息

我主要使用的是充气城堡 http://www.bouncycastle.org/csharp/图书馆和 MSSignedCms 类 http://msdn.microsoft.com/en-us/library/system.security.cryptography.pkcs.signedcms%28v=vs.85%29.aspx
总而言之，我绝对一事无成。

请有人指导我在这里做什么，因为我已经在这里呆了大约 5 天，但进展缓慢。

以下是我到目前为止正在做的一些事情：

提出请求

使用 HttpWebRequest 和 HttpWebResponse 我使用我提供的证书将数据发布到服务

var store = new X509Store(StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly | OpenFlags.OpenExistingOnly);
X509Certificate2 cert = store.Certificates.Find(X509FindType.FindByThumbprint, "ACLKJCLKJCLKJCLKJCLKJCLKJCLKJCLKJCLKJCLK", false)[0];

HttpWebRequest request = null;
var uri = new Uri(endPointUri);
request = (HttpWebRequest) WebRequest.Create(uri);
request.Method = "POST";
request.ContentType = "application/pkcs7-mime";
request.ContentLength = requestString.Length;
request.ClientCertificates.Add(cert);

using (Stream writeStream = request.GetRequestStream())
{
    var encoding = new UTF8Encoding();
    byte[] bytes = encoding.GetBytes(requestString);
    writeStream.Write(bytes, 0, bytes.Length);
}
string result = null;
using (var response = (HttpWebResponse) request.GetResponse())
{
    using (Stream responseStream = response.GetResponseStream())
    {
        if (responseStream != null)
        {
            using (var readStream = new StreamReader(responseStream, Encoding.UTF8))
            {
                result = readStream.ReadToEnd();
            }
        }
    }
}

return result;

在这里我收到了上面的“BEGIN PKCS7”消息。
现在我想弄清楚该怎么办

MS 签名 CMS 类方法

SignedCms signedCms = new SignedCms();
signedCms.Decode(Encoding.Default.GetBytes(resultString));
try
{
    signedCms.CheckSignature(new X509Certificate2Collection(cert1), true);
}
catch (System.Security.Cryptography.CryptographicException e)
{
    _Log.Error(e.Message)
}

这会引发“ASN1 bad tag value met”的“signedCms.Decode”异常。

BouncyCastle ISigner

这里的文档是不存在的。
因此，首先我将响应保存到文件并使用 TextReader 对象尝试使用 BouncyCastle 进行测试

using (TextReader reader = File.OpenText(@"c:\temp\resultString.txt"))
{
    PemReader pemRd = new PemReader(reader);
    ContentInfo d = (ContentInfo)pemRd.ReadObject();
    Console.WriteLine(d.ContentType.ToString());
}

这将返回结果：“1.2.840.113549.1.7.2”
据我所知，这意味着它的“Pkcs7 签名数据”
哇哦，有些东西看起来起作用了。
但是从这里开始，我如何验证，以及如何从中提取任何信息

我的验证尝试

using (TextReader reader = File.OpenText(@"c:\temp\resultString.txt"))
{
    PemReader pemRd = new PemReader(reader);
    var signature = new CmsSignedData(pemRd.ReadObject());
}

失败 - 签名为空

var store = new X509Store(StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly | OpenFlags.OpenExistingOnly);
X509Certificate2 cert = store.Certificates.Find(X509FindType.FindByThumbprint, "ACLKJCLKJCLKJCLKJCLKJCLKJCLKJCLKJCLKJCLK", false)[0]; //tried with both certs
ISigner signer = SignerUtilities.GetSigner("RSA");
var bouncyx509 = DotNetUtilities.FromX509Certificate(cert1);
signer.Init(true, DotNetUtilities.FromX509Certificate(cert1).GetPublicKey());

失败 - 需要私钥来创建签名者

结束语

我希望我已经提供了足够的信息来获得一些帮助。
也许我正朝着完全错误的方向前进。

我的问题是：

1. 如何验证数字签名？
2. 如何从此响应中获取 Xml 格式的消息？

解决方案

感谢gtrig，我终于找到了解决方案。
使用 MS SignedCms 对象，我必须首先删除消息中的页眉和页脚，然后删除 Convert.FromBase64String

工作方案

SignedCms signedCms = new SignedCms();
resultString = resultString.Replace("\n", "").Replace("-----BEGIN PKCS7-----", "").Replace("-----END PKCS7-----", "");
signedCms.Decode(Convert.FromBase64String(resultString));

现在signedCms.ContentInfo.Content包含我期望的响应Xml消息

这是一个不完整的答案，但它可能会让你更进一步。

如果您有权访问 openssl，请尝试此操作command http://www.openssl.org/docs/apps/pkcs7.html查看是否可以读取数据：

openssl pkcs7 -in resultString.txt -text

之后在您的代码中尝试此操作（与您的代码唯一的区别是“Content”而不是“ContentType”：

Console.WriteLine(d.Content.ToString());

signedCms.Decode() 采用字节数组，这可能是 DER 格式的消息，而不是您在响应中收到的 PEM 格式的消息。为了将其放入字节数组中，您必须删除页眉和页脚（开始/结束）行并将其余部分传递给此方法：

Convert.FromBase64String()

或者，您可以使用 openssl 将文件转换为 DER 格式，然后直接从文件中读取字节。

openssl pkcs7 -in resultString.txt -outform DER -out result.der