C# と VB.NET の質問掲示板

JDK-11, apache-maven-3.9.1,
Windows 10 Pro
IntelliJ IDEA Community版 と Eclipse 2021 を併用


この度はお世話になります。

xades4jというオープンソースのライブラリがあります。xades4jはXML署名に関するライブラリで言語はJavaです。
https://github.com/luisgoncalves/xades4j

その一部の機能である「検証機能」を使用して自作のXML署名(XAdES-X-L)を検証したいと考えています。

wikiの中に検証機能(Verifier)に関する説明があります。
https://github.com/luisgoncalves/xades4j/wiki/SignatureVerification

[困っている事]
上記URLの中程にに
KeyStore trustAnchors = ...;
という記述があります。
この ... の所に具体的にどのような記述をしたら良いのかがわからなくて困っています。

自分の考えでは、「キーストア」というからには、署名に使用した証明書の信頼のルートに関する記述をするのだと思っていますが、合っているかどうかわかりません。
(署名時の証明書が信頼に値するかどうかの検証に使うという理解です)
(検証には秘密鍵は不要です)

実は私は普段はJavaを扱っていない者でして、Javaは非常に不慣れです。(C++/C#が専門です。)

XML署名をする自作アプリはC#で作成しました。
自作アプリで作った署名が世間様の署名の規格に合っている事を確認したいと思ってxades4jを見つけた次第です。


[作成中のソース]
----------------------
import java.io.File;
import java.io.FileInputStream;
import java.security.KeyStore;
import javax.xml.parsers.DocumentBuilder;
import javax.xml.parsers.DocumentBuilderFactory;
import org.apache.xml.security.utils.Constants;
import org.w3c.dom.Document;
import xades4j.providers.CertificateValidationProvider;
import xades4j.providers.impl.PKIXCertificateValidationProvider;
import xades4j.utils.FileSystemDirectoryCertStore;
import xades4j.verification.XAdESVerificationResult;
import xades4j.verification.XadesVerificationProfile;
import xades4j.verification.XadesVerifier;
import org.w3c.dom.Element;

public class XmlVerifier  {

    public static boolean
    verify(
	String filePath,		// 入力した署名ファイル名
	String certStorePath)	// ルート証明書を集めたフォルダ名
	throws Exception
    {
        // 署名XMLファイルを読込
        File file = new File(filePath);
        FileInputStream fis = new FileInputStream(file);
        DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
        dbf.setNamespaceAware(true);
        DocumentBuilder db = dbf.newDocumentBuilder();
        Document doc = db.parse(fis);
        Element signatureNode = getSigElement(doc);

        // certValidatorの作成
        FileSystemDirectoryCertStore certStore = new FileSystemDirectoryCertStore(certStorePath);
		// ↑ルート証明書を集めたフォルダを指定しているが、
		// 正しいのかどうか自信ありません

        KeyStore trustAnchors = (ここの記述がわかりません);

        CertificateValidationProvider certValidator = PKIXCertificateValidationProvider
                .builder(trustAnchors)
                .checkRevocation(false)
                .intermediateCertStores(certStore.getStore())
                .build();

        // XML署名を検証する
        XadesVerificationProfile p = new XadesVerificationProfile(certValidator);
        XadesVerifier v = p.newVerifier();
        XAdESVerificationResult valid = v.verify(signatureNode, null);

        return true;
    }

    static public Element
	getSigElement(
	Document doc) throws Exception
    {
        return (Element)doc.getElementsByTagNameNS(Constants.SignatureSpecNS, Constants._TAG_SIGNATURE).item(0);
    }

}

----------------------

KeyStoreの所について、見よう見真似で下記の様な記述をしましたが、理解していないので当然のように動作しません。
KeyStore trustAnchors = KeyStore.getInstance(KeyStore.getDefaultType());

何日も四苦八苦した末、当掲示板の皆様のお知恵をお借りする判断になりました。
どうか宜しくお願いします。

■No101783 (Angolmois さん) に返信

KeyStoreオブジェクトに証明書(検証キーとその所有者の識別情報のデータ)を読み込むんじゃないですかね

https://docs.oracle.com/javase/jp/8/docs/api/java/security/KeyStore.html

>    KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());
>
>    // get user password and file input stream
>    char[] password = getPassword();
>
>    try (FileInputStream fis = new FileInputStream("keyStoreName")) {
>        ks.load(fis, password);
>    }

こんな使用例が載ってます

■No101787 (Angolmois さん) に返信

> xades4j.providers.ConnotBuildCertificationPathException: Trust anchors KeyStore is not initialized

「KeyStoreが初期化されていません」なのでloadを行っていないからでしょうね
パスワードを設定していないなら空文字列かnullでいんじゃないですかね

            // JKS ファイルのパス
            String jksFilePath = "path/to/your/keystore_without_password.jks";

            // KeyStore に JKS ファイルをロードする（パスワードなし）
            try (FileInputStream fis = new FileInputStream(jksFilePath)) {
                trustAnchors.load(fis, null);
            }

こんな感じで

JKSはJava Key StoreでKeyStoreの形式の一つです
keytoolコマンドで作れます