MessageSecurityReceiver_jose.java

  1. /*
  2.  * GovWay - A customizable API Gateway 
  3.  * https://govway.org
  4.  * 
  5.  * Copyright (c) 2005-2025 Link.it srl (https://link.it). 
  6.  * 
  7.  * This program is free software: you can redistribute it and/or modify
  8.  * it under the terms of the GNU General Public License version 3, as published by
  9.  * the Free Software Foundation.
  10.  *
  11.  * This program is distributed in the hope that it will be useful,
  12.  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  13.  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  14.  * GNU General Public License for more details.
  15.  *
  16.  * You should have received a copy of the GNU General Public License
  17.  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
  18.  *
  19.  */


  22. package org.openspcoop2.security.message.jose;

  24. import java.security.PublicKey;
  25. import java.security.cert.X509Certificate;
  26. import java.util.Map;
  27. import java.util.Properties;

  29. import org.apache.commons.lang.StringUtils;
  30. import org.apache.cxf.rs.security.jose.jwk.JsonWebKeys;
  31. import org.openspcoop2.core.commons.DBUtils;
  32. import org.openspcoop2.core.constants.Costanti;
  33. import org.openspcoop2.generic_project.exception.NotFoundException;
  34. import org.openspcoop2.message.OpenSPCoop2Message;
  35. import org.openspcoop2.message.OpenSPCoop2RestJsonMessage;
  36. import org.openspcoop2.message.OpenSPCoop2RestMessage;
  37. import org.openspcoop2.message.constants.MessageType;
  38. import org.openspcoop2.message.constants.ServiceBinding;
  39. import org.openspcoop2.protocol.sdk.Busta;
  40. import org.openspcoop2.protocol.sdk.constants.CodiceErroreCooperazione;
  41. import org.openspcoop2.protocol.sdk.state.RequestInfo;
  42. import org.openspcoop2.security.SecurityException;
  43. import org.openspcoop2.security.keystore.CRLCertstore;
  44. import org.openspcoop2.security.keystore.cache.GestoreKeystoreCache;
  45. import org.openspcoop2.security.keystore.cache.GestoreOCSPResource;
  46. import org.openspcoop2.security.keystore.cache.GestoreOCSPValidator;
  47. import org.openspcoop2.security.message.AbstractRESTMessageSecurityReceiver;
  48. import org.openspcoop2.security.message.MessageSecurityContext;
  49. import org.openspcoop2.security.message.constants.SecurityConstants;
  50. import org.openspcoop2.security.message.utils.EncryptionBean;
  51. import org.openspcoop2.security.message.utils.KeystoreUtils;
  52. import org.openspcoop2.security.message.utils.PropertiesUtils;
  53. import org.openspcoop2.security.message.utils.SignatureBean;
  54. import org.openspcoop2.utils.LoggerBuffer;
  55. import org.openspcoop2.utils.Utilities;
  56. import org.openspcoop2.utils.certificate.JWKSet;
  57. import org.openspcoop2.utils.certificate.KeyStore;
  58. import org.openspcoop2.utils.certificate.KeystoreType;
  59. import org.openspcoop2.utils.certificate.remote.IRemoteStoreProvider;
  60. import org.openspcoop2.utils.certificate.remote.RemoteKeyType;
  61. import org.openspcoop2.utils.certificate.remote.RemoteStoreConfig;
  62. import org.openspcoop2.utils.security.CertificateValidityCheck;
  63. import org.openspcoop2.utils.security.JOSESerialization;
  64. import org.openspcoop2.utils.security.JWTOptions;
  65. import org.openspcoop2.utils.security.JsonDecrypt;
  66. import org.openspcoop2.utils.security.JsonVerifySignature;
  67. import org.openspcoop2.utils.transport.http.IOCSPValidator;



  71. /**
  72.  * Classe per la gestione della WS-Security (WSDoAllReceiver).
  73.  *
  74.  * @author Lorenzo Nardi (nardi@link.it)
  75.  * @author $Author$
  76.  * @version $Rev$, $Date$
  77.  * 
  78.  */
  79. public class MessageSecurityReceiver_jose extends AbstractRESTMessageSecurityReceiver {

  81.     private JOSESerialization joseSerialization = null;
  82.     private boolean detached = false;
  83.     private JsonVerifySignature jsonVerifierSignature = null;
  84.     private JsonDecrypt jsonDecrypt = null;

  86.     @Override
  87.     public void process(MessageSecurityContext messageSecurityContext,OpenSPCoop2Message messageParam,Busta busta,org.openspcoop2.utils.Map<Object> ctx) throws SecurityException{
  88.         process(messageSecurityContext, messageParam, busta,
  89.                 false, null, ctx);
  90.     }
  91.     public void process(MessageSecurityContext messageSecurityContext,OpenSPCoop2Message messageParam,Busta busta,
  92.             boolean bufferMessageReadOnly, String idTransazione,org.openspcoop2.utils.Map<Object> ctx) throws SecurityException{
  93.         
  94.         boolean signatureProcess = false;
  95.         boolean encryptProcess = false;
  96.         try{
  97.             
  98.             if(!ServiceBinding.REST.equals(messageParam.getServiceBinding())){
  99.                 throw new SecurityException(JOSECostanti.JOSE_ENGINE_DESCRIPTION+" usable only with REST Binding");
  100.             }
  101.             if(!MessageType.JSON.equals(messageParam.getMessageType())) {
  102.                 throw new SecurityException(JOSECostanti.JOSE_ENGINE_DESCRIPTION+" usable only with REST Binding and a json message, found: "+messageParam.getMessageType());
  103.             }
  104.             OpenSPCoop2RestJsonMessage restJsonMessage = messageParam.castAsRestJson();
  105.             
  106.             RequestInfo requestInfo = null;
  107.             if(ctx!=null && ctx.containsKey(Costanti.REQUEST_INFO)) {
  108.                 requestInfo = (RequestInfo) ctx.get(Costanti.REQUEST_INFO);
  109.             }
  110.             
  111.             
  112.             
  113.             // ********** Leggo operazioni ***************
  114.             boolean encrypt = false;
  115.             boolean signature = false;

  117.             String[]actions = ((String)messageSecurityContext.getIncomingProperties().get(SecurityConstants.ACTION)).split(" ");
  118.             for (int i = 0; i < actions.length; i++) {
  119.                 if(SecurityConstants.isActionEncryption(actions[i].trim()) || SecurityConstants.isActionDecryption(actions[i].trim())){
  120.                     encrypt = true;
  121.                 }
  122.                 else if(SecurityConstants.SIGNATURE_ACTION.equals(actions[i].trim())){
  123.                     signature = true;
  124.                 }
  125.                 else {
  126.                     throw new SecurityException(JOSECostanti.JOSE_ENGINE_DESCRIPTION+"; action '"+actions[i]+"' unsupported");
  127.                 }
  128.             }
  129.             
  130.             if(encrypt && signature) {
  131.                 throw new SecurityException(JOSECostanti.JOSE_ENGINE_DESCRIPTION+" usable only with one function beetwen encrypt or signature");
  132.             }
  133.             if(!encrypt && !signature) {
  134.                 throw new SecurityException(JOSECostanti.JOSE_ENGINE_DESCRIPTION+" require one function beetwen encrypt or signature");
  135.             }
  136.             
  137.             
  138.             
  139.             
  140.             if(signature) {
  141.                 
  142.                 
  143.                 // **************** Leggo parametri signature store **************************
  144.                             
  145.                 String mode = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.SIGNATURE_MODE);
  146.                 if(mode==null || "".equals(mode.trim())){
  147.                     throw new SecurityException(JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION+" require '"+SecurityConstants.SIGNATURE_MODE+"' property");
  148.                 }
  149.                 try {
  150.                     this.joseSerialization = JOSEUtils.toJOSESerialization(mode);
  151.                 }catch(Exception e) {
  152.                     throw new SecurityException(JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION+", '"+SecurityConstants.SIGNATURE_MODE+"' property error: "+e.getMessage(),e);
  153.                 }
  154.                 JWTOptions options = new JWTOptions(this.joseSerialization);
  155.                 boolean useHeaders = JOSEUtils.useJwtHeadersMap(messageSecurityContext.getIncomingProperties(), options);
  156.                 
  157.                 SignatureBean bean = null;
  158.                 NotFoundException notFound = null;
  159.                 try {
  160.                     bean = PropertiesUtils.getReceiverSignatureBean(messageSecurityContext);
  161.                 }catch(NotFoundException e) {
  162.                     notFound = e;
  163.                 }
  164.                 if(bean!=null) {
  165.                     Properties signatureProperties = bean.getProperties();
  166.                     boolean throwError = true;
  167.                     Map<String,Object> dynamicMap = Costanti.readDynamicMap(ctx);
  168.                     JOSEUtils.injectKeystore(requestInfo, dynamicMap, signatureProperties, messageSecurityContext.getLog(), throwError); // serve per leggere il keystore dalla cache
  169.                     this.jsonVerifierSignature = new JsonVerifySignature(signatureProperties, options); 
  170.                 }
  171.                 else if(useHeaders) {
  172.                     
  173.                     if(JOSEUtils.isRemoteStore(messageSecurityContext.getIncomingProperties())) {
  174.                         IRemoteStoreProvider provider = (IRemoteStoreProvider) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_REMOTE_STORE_PROVIDER);
  175.                         RemoteKeyType keyType = (RemoteKeyType) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_REMOTE_STORE_KEY_TYPE);
  176.                         RemoteStoreConfig config = (RemoteStoreConfig) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_REMOTE_STORE_CONFIG);
  177.                         this.jsonVerifierSignature = new JsonVerifySignature(provider, keyType, config, options);
  178.                     }
  179.                     else if(JOSEUtils.isJWKSetTrustStore(messageSecurityContext.getIncomingProperties())) {
  180.                         JsonWebKeys jsonWebKeys = null;
  181.                         JWKSet jkwSet = JOSEUtils.readTrustStoreJwtJsonWebKeysCert(requestInfo, messageSecurityContext.getIncomingProperties());
  182.                         if(jkwSet!=null) {
  183.                             jsonWebKeys = jkwSet.getJsonWebKeys();
  184.                         }
  185.                         this.jsonVerifierSignature = new JsonVerifySignature(jsonWebKeys, options);
  186.                     }
  187.                     else if(JOSEUtils.isPublicKeyTrustStore(messageSecurityContext.getIncomingProperties())) {
  188.                         JsonWebKeys jsonWebKeys = null;
  189.                         JWKSet jkwSet = JOSEUtils.readTrustStorePublicKey(requestInfo, messageSecurityContext.getIncomingProperties());
  190.                         if(jkwSet!=null) {
  191.                             jsonWebKeys = jkwSet.getJsonWebKeys();
  192.                         }
  193.                         this.jsonVerifierSignature = new JsonVerifySignature(jsonWebKeys, options);
  194.                     }
  195.                     else {
  196.                         KeyStore trustStore = JOSEUtils.readTrustStoreJwtX509Cert(requestInfo, messageSecurityContext.getIncomingProperties());
  197.                         KeyStore trustStoreSsl = JOSEUtils.readTrustStoreSsl(requestInfo, messageSecurityContext.getIncomingProperties());
  198.                         this.jsonVerifierSignature = new JsonVerifySignature(trustStoreSsl, trustStore, options);
  199.                     }
  200.                 }
  201.                 else {  
  202.                     KeyStore signatureKS = null;
  203.                     KeyStore signatureTrustStoreKS = null;
  204.                     JWKSet signatureJWKSet = null;
  205.                     String aliasSignatureUser = null;
  206.                     try {
  207.                         bean = KeystoreUtils.getReceiverSignatureBean(messageSecurityContext, ctx);
  208.                     }catch(Exception e) {
  209.                         // Lancio come messaggio eccezione precedente
  210.                         if(notFound!=null) {
  211.                             messageSecurityContext.getLog().error(e.getMessage(),e);
  212.                             throw notFound;
  213.                         }
  214.                         else {
  215.                             throw e;
  216.                         }
  217.                     }
  218.                     
  219.                     signatureKS = bean.getKeystore();
  220.                     signatureTrustStoreKS = bean.getTruststore();
  221.                     signatureJWKSet = bean.getJwkSet();
  222.                     aliasSignatureUser = bean.getUser();

  224.                     if(signatureKS==null && signatureTrustStoreKS==null && signatureJWKSet==null) {
  225.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION+" require truststore");
  226.                     }
  227.                     if(aliasSignatureUser==null) {
  228.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION+" require alias certificate");
  229.                     }
  230.                     
  231.                     String signatureAlgorithm = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.SIGNATURE_ALGORITHM);
  232.                     if(signatureAlgorithm==null || "".equals(signatureAlgorithm.trim())){
  233.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION+" require '"+SecurityConstants.SIGNATURE_ALGORITHM+"' property");
  234.                     }
  235.                     
  236.                     String symmetricKeyParam = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.SYMMETRIC_KEY);
  237.                     boolean symmetricKey = false;
  238.                     if(symmetricKeyParam!=null) {
  239.                         symmetricKey = SecurityConstants.SYMMETRIC_KEY_TRUE.equalsIgnoreCase(symmetricKeyParam);
  240.                     }
  241.                     
  242.                     if(signatureTrustStoreKS!=null) {
  243.                         this.jsonVerifierSignature = new JsonVerifySignature(signatureTrustStoreKS, aliasSignatureUser, signatureAlgorithm, options);   
  244.                     }
  245.                     else if(signatureKS!=null){
  246.                         this.jsonVerifierSignature = new JsonVerifySignature(signatureKS, aliasSignatureUser, signatureAlgorithm, options); 
  247.                     }
  248.                     else {
  249.                         this.jsonVerifierSignature = new JsonVerifySignature(signatureJWKSet.getJsonWebKeys(), symmetricKey, aliasSignatureUser, signatureAlgorithm, options);  
  250.                     }
  251.                 }
  252.                 
  253.                 String signatureDetachedParam = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.SIGNATURE_DETACHED);
  254.                 if(signatureDetachedParam!=null) {
  255.                     this.detached = SecurityConstants.SIGNATURE_DETACHED_TRUE.equalsIgnoreCase(signatureDetachedParam);
  256.                 }
  257.                 
  258.                 String detachedSignature = null;
  259.                 if(this.detached) {
  260.                     detachedSignature = this.readDetachedSignatureFromMessage(messageSecurityContext.getIncomingProperties(), 
  261.                             restJsonMessage, JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION);
  262.                 }
  263.                 
  264.                 String signatureValidityCheck = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.SIGNATURE_VALIDITY_CHECK);
  265.                 if(signatureValidityCheck!=null && StringUtils.isNotEmpty(signatureValidityCheck)) {
  266.                     CertificateValidityCheck c = CertificateValidityCheck.parseCertificateValidityCheck(signatureValidityCheck);
  267.                     if(c!=null) {
  268.                         this.jsonVerifierSignature.setValidityCheck(c);
  269.                     }
  270.                 }
  271.                 
  272.                 String signatureCRL = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.SIGNATURE_CRL);
  273.                 if(signatureCRL==null || "".equals(signatureCRL)) {
  274.                     signatureCRL = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_CRL);  
  275.                 }
  276.                 String signatureOCSP = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.SIGNATURE_OCSP);
  277.                 if(signatureOCSP==null || "".equals(signatureOCSP)) {
  278.                     signatureOCSP = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_OCSP);    
  279.                 }
  280.                 
  281.                 boolean crlByOcsp = false;
  282.                 if(this.jsonVerifierSignature.getTrustStoreCertificatiX509()!=null && signatureOCSP!=null && !"".equals(signatureOCSP)) {
  283.                     LoggerBuffer lb = new LoggerBuffer();
  284.                     lb.setLogDebug(messageSecurityContext.getLog());
  285.                     lb.setLogError(messageSecurityContext.getLog());
  286.                     GestoreOCSPResource ocspResourceReader = new GestoreOCSPResource(requestInfo);
  287.                     IOCSPValidator ocspValidator = null;
  288.                     try {
  289.                         ocspValidator = new GestoreOCSPValidator(requestInfo, lb, 
  290.                                 this.jsonVerifierSignature.getTrustStoreCertificatiX509(),
  291.                                 signatureCRL, 
  292.                                 signatureOCSP, 
  293.                                 ocspResourceReader);
  294.                     }catch(Exception e){
  295.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION+"; ocsp initialization (policy:'"+signatureOCSP+"') failed: "+e.getMessage(),e);
  296.                     }
  297.                     if(ocspValidator!=null) {
  298.                         this.jsonVerifierSignature.setOcspValidatorX509(ocspValidator);
  299.                         GestoreOCSPValidator gOcspValidator = (GestoreOCSPValidator) ocspValidator;
  300.                         if(gOcspValidator.getOcspConfig()!=null) {
  301.                             crlByOcsp = gOcspValidator.getOcspConfig().isCrl();
  302.                         }
  303.                     }
  304.                 }
  305.                 
  306.                 if(signatureCRL!=null && !"".equals(signatureCRL) && !crlByOcsp) {
  307.                     CRLCertstore crlCertstore = GestoreKeystoreCache.getCRLCertstore(requestInfo, signatureCRL);
  308.                     if(crlCertstore==null) {
  309.                         throw new SecurityException("Process CRL '"+signatureCRL+"' failed");
  310.                     }
  311.                     this.jsonVerifierSignature.setCrlX509(crlCertstore.getCertStore());
  312.                 }
  313.                 
  314.                 String httpsCRL = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_SSL_CRL);
  315.                 String httpsOCSP = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_SSL_OCSP);
  316.                 
  317.                 boolean httpsCrlByOcsp = false;
  318.                 if(this.jsonVerifierSignature.getTrustStoreHttps()!=null && httpsOCSP!=null && !"".equals(httpsOCSP)) {
  319.                     LoggerBuffer lb = new LoggerBuffer();
  320.                     lb.setLogDebug(messageSecurityContext.getLog());
  321.                     lb.setLogError(messageSecurityContext.getLog());
  322.                     GestoreOCSPResource ocspResourceReader = new GestoreOCSPResource(requestInfo);
  323.                     IOCSPValidator ocspValidator = null;
  324.                     try {
  325.                         ocspValidator = new GestoreOCSPValidator(requestInfo, lb, 
  326.                                 this.jsonVerifierSignature.getTrustStoreHttps(),
  327.                                 httpsCRL, 
  328.                                 httpsOCSP, 
  329.                                 ocspResourceReader);
  330.                     }catch(Exception e){
  331.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION+"; ocsp initialization for https (policy:'"+signatureOCSP+"') failed: "+e.getMessage(),e);
  332.                     }
  333.                     if(ocspValidator!=null) {
  334.                         this.jsonVerifierSignature.setOcspValidatorHttps(ocspValidator);
  335.                         GestoreOCSPValidator gOcspValidator = (GestoreOCSPValidator) ocspValidator;
  336.                         if(gOcspValidator.getOcspConfig()!=null) {
  337.                             httpsCrlByOcsp = gOcspValidator.getOcspConfig().isCrl();
  338.                         }
  339.                     }
  340.                 }
  341.                 
  342.                 if(httpsCRL!=null && !"".equals(httpsCRL) && !httpsCrlByOcsp) {
  343.                     CRLCertstore crlCertstore = GestoreKeystoreCache.getCRLCertstore(requestInfo, httpsCRL);
  344.                     if(crlCertstore==null) {
  345.                         throw new SecurityException("Process CRL '"+httpsCRL+"' failed");
  346.                     }
  347.                     this.jsonVerifierSignature.setCrlHttps(crlCertstore.getCertStore());
  348.                 }
  349.                 
  350.                 // **************** Process **************************

  352.                 signatureProcess = true; // le eccezioni lanciate da adesso sono registrato con codice relative alla verifica
  353.                 boolean verify = false;
  354.                 try {
  355.                     if(this.detached) {
  356.                         verify = this.jsonVerifierSignature.verifyDetached(detachedSignature, restJsonMessage.getContent(bufferMessageReadOnly, idTransazione));
  357.                     }else {
  358.                         verify = this.jsonVerifierSignature.verify(restJsonMessage.getContent(bufferMessageReadOnly, idTransazione));
  359.                     }
  360.                 }catch(Exception e) {
  361.                     throw new SecurityException("Signature verification failed: "+e.getMessage(),e);
  362.                 }
  363.                 if(!verify) {
  364.                     throw new SecurityException("Signature verification failed");
  365.                 }
  366.                 
  367.             } // fine signature
  368.             
  369.             
  370.             
  371.             else if(encrypt) {
  372.                 
  373.                 
  374.                 // **************** Leggo parametri encryption store **************************
  375.                             
  376.                 String mode = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.DECRYPTION_MODE);
  377.                 if(mode==null || "".equals(mode.trim())){
  378.                     throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+" require '"+SecurityConstants.DECRYPTION_MODE+"' property");
  379.                 }
  380.                 try {
  381.                     this.joseSerialization = JOSEUtils.toJOSESerialization(mode);
  382.                 }catch(Exception e) {
  383.                     throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+", '"+SecurityConstants.DECRYPTION_MODE+"' property error: "+e.getMessage(),e);
  384.                 }
  385.                 JWTOptions options = new JWTOptions(this.joseSerialization);
  386.                 boolean useHeaders = JOSEUtils.useJwtHeadersMap(messageSecurityContext.getIncomingProperties(), options);
  387.                 
  388.                 EncryptionBean bean = null;
  389.                 NotFoundException notFound = null;
  390.                 try {
  391.                     bean = PropertiesUtils.getReceiverEncryptionBean(messageSecurityContext);
  392.                 }catch(NotFoundException e) {
  393.                     notFound = e;
  394.                 }
  395.                 if(bean!=null) {
  396.                     Properties encryptionProperties = bean.getProperties();
  397.                     boolean throwError = true;
  398.                     Map<String,Object> dynamicMap = Costanti.readDynamicMap(ctx);
  399.                     JOSEUtils.injectKeystore(requestInfo, dynamicMap, encryptionProperties, messageSecurityContext.getLog(), throwError); // serve per leggere il keystore dalla cache
  400.                     this.jsonDecrypt = new JsonDecrypt(encryptionProperties, options);  
  401.                 }
  402.                 else if(useHeaders) {
  403.                     KeyStore trustStoreSsl = JOSEUtils.readTrustStoreSsl(requestInfo, messageSecurityContext.getIncomingProperties());
  404.                     if(JOSEUtils.isJWKSetKeyStore(messageSecurityContext.getIncomingProperties())) {
  405.                         JsonWebKeys jsonWebKeys = null;
  406.                         JWKSet jkwSet = JOSEUtils.readKeyStoreJwtJsonWebKeysCert(requestInfo, messageSecurityContext.getIncomingProperties());
  407.                         if(jkwSet!=null) {
  408.                             jsonWebKeys = jkwSet.getJsonWebKeys();
  409.                         }
  410.                         this.jsonDecrypt = new JsonDecrypt(trustStoreSsl, jsonWebKeys, options);
  411.                     }
  412.                     else {
  413.                         KeyStore trustStore = JOSEUtils.readTrustStoreJwtX509Cert(requestInfo, messageSecurityContext.getIncomingProperties());
  414.                         KeyStore keyStore = JOSEUtils.readKeyStoreJwtX509Cert(requestInfo, messageSecurityContext.getIncomingProperties());
  415.                         Map<String, String> keystoreMapAliasPassword = JOSEUtils.covertToJwtX509CertMapAliasPassword(messageSecurityContext.getIncomingProperties());                       
  416.                         this.jsonDecrypt = new JsonDecrypt(trustStoreSsl, trustStore, keyStore, keystoreMapAliasPassword, options);
  417.                     }
  418.                 }
  419.                 else {  
  420.                     KeyStore encryptionKS = null;
  421.                     boolean encryptionSymmetric = false;
  422.                     JWKSet encryptionJWKSet = null;
  423.                     String aliasEncryptUser = null;
  424.                     String aliasEncryptPassword = null;
  425.                     try {
  426.                         bean = KeystoreUtils.getReceiverEncryptionBean(messageSecurityContext, ctx);
  427.                     }catch(Exception e) {
  428.                         // Lancio come messaggio eccezione precedente
  429.                         if(notFound!=null) {
  430.                             messageSecurityContext.getLog().error(e.getMessage(),e);
  431.                             throw notFound;
  432.                         }
  433.                         else {
  434.                             throw e;
  435.                         }
  436.                     }
  437.                     
  438.                     encryptionKS = bean.getKeystore();
  439.                     encryptionSymmetric = bean.isEncryptionSimmetric();
  440.                     encryptionJWKSet = bean.getJwkSet();
  441.                     aliasEncryptUser = bean.getUser();
  442.                     aliasEncryptPassword = bean.getPassword();

  444.                     if(encryptionKS==null && encryptionJWKSet==null) {
  445.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+" require keystore");
  446.                     }
  447.                     if(aliasEncryptUser==null) {
  448.                         if(encryptionSymmetric) {
  449.                             throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+" require alias secret key");
  450.                         }
  451.                         else {
  452.                             throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+" require alias private key");
  453.                         }
  454.                     }
  455.                     if(encryptionKS!=null && aliasEncryptPassword==null) {
  456.                         if(encryptionSymmetric) {
  457.                             throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+" require password secret key");
  458.                         }
  459.                         else {
  460.                             boolean required = true;
  461.                             if(KeystoreType.JKS.isType(encryptionKS.getKeystoreType())) {
  462.                                 required = DBUtils.isKeystoreJksKeyPasswordRequired();
  463.                             }
  464.                             else if(KeystoreType.PKCS12.isType(encryptionKS.getKeystoreType())) {
  465.                                 required = DBUtils.isKeystorePkcs12KeyPasswordRequired();
  466.                             }
  467.                             if(required) {
  468.                                 throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+" require password private key");
  469.                             }
  470.                         }
  471.                     }

  473.                     String encryptionKeyAlgorithm = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.ENCRYPTION_KEY_ALGORITHM);
  474.                     if(encryptionKeyAlgorithm==null || "".equals(encryptionKeyAlgorithm.trim())){
  475.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+" require '"+SecurityConstants.ENCRYPTION_KEY_ALGORITHM+"' property");
  476.                     }
  477.                     
  478.                     String encryptionContentAlgorithm = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.ENCRYPTION_CONTENT_ALGORITHM);
  479.                     if(encryptionContentAlgorithm==null || "".equals(encryptionContentAlgorithm.trim())){
  480.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+" require '"+SecurityConstants.ENCRYPTION_CONTENT_ALGORITHM+"' property");
  481.                     }
  482.                     
  483.                     if(encryptionKS!=null) {
  484.                         this.jsonDecrypt = new JsonDecrypt(encryptionKS, encryptionSymmetric, aliasEncryptUser, aliasEncryptPassword,
  485.                                 encryptionKeyAlgorithm, encryptionContentAlgorithm, options);   
  486.                     }
  487.                     else {
  488.                         this.jsonDecrypt = new JsonDecrypt(encryptionJWKSet.getJsonWebKeys(), encryptionSymmetric, aliasEncryptUser,
  489.                                 encryptionKeyAlgorithm, encryptionContentAlgorithm, options);   
  490.                     }

  492.                 }
  493.                 
  494.                 String encryptionValidityCheck = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_VALIDITY_CHECK);
  495.                 if(encryptionValidityCheck!=null && StringUtils.isNotEmpty(encryptionValidityCheck)) {
  496.                     CertificateValidityCheck c = CertificateValidityCheck.parseCertificateValidityCheck(encryptionValidityCheck);
  497.                     if(c!=null) {
  498.                         this.jsonDecrypt.setValidityCheck(c);
  499.                     }
  500.                 }
  501.                 
  502.                 String encryptionCRL = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_CRL);
  503.                 String encryptionOCSP = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_OCSP);
  504.                 
  505.                 boolean crlByOcsp = false;
  506.                 if(this.jsonDecrypt.getTrustStoreVerificaCertificatiX509()!=null && encryptionOCSP!=null && !"".equals(encryptionOCSP)) {
  507.                     LoggerBuffer lb = new LoggerBuffer();
  508.                     lb.setLogDebug(messageSecurityContext.getLog());
  509.                     lb.setLogError(messageSecurityContext.getLog());
  510.                     GestoreOCSPResource ocspResourceReader = new GestoreOCSPResource(requestInfo);
  511.                     IOCSPValidator ocspValidator = null;
  512.                     try {
  513.                         ocspValidator = new GestoreOCSPValidator(requestInfo, lb, 
  514.                                 this.jsonDecrypt.getTrustStoreVerificaCertificatiX509(),
  515.                                 encryptionCRL, 
  516.                                 encryptionOCSP, 
  517.                                 ocspResourceReader);
  518.                     }catch(Exception e){
  519.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+"; ocsp initialization (policy:'"+encryptionOCSP+"') failed: "+e.getMessage(),e);
  520.                     }
  521.                     if(ocspValidator!=null) {
  522.                         this.jsonDecrypt.setOcspValidatorX509(ocspValidator);
  523.                         GestoreOCSPValidator gOcspValidator = (GestoreOCSPValidator) ocspValidator;
  524.                         if(gOcspValidator.getOcspConfig()!=null) {
  525.                             crlByOcsp = gOcspValidator.getOcspConfig().isCrl();
  526.                         }
  527.                     }
  528.                 }
  529.                 
  530.                 if(encryptionCRL!=null && !"".equals(encryptionCRL) && !crlByOcsp) {
  531.                     CRLCertstore crlCertstore = GestoreKeystoreCache.getCRLCertstore(requestInfo, encryptionCRL);
  532.                     if(crlCertstore==null) {
  533.                         throw new SecurityException("Process CRL '"+encryptionCRL+"' failed");
  534.                     }
  535.                     this.jsonDecrypt.setCrlX509(crlCertstore.getCertStore());
  536.                 }
  537.                 
  538.                 String httpsCRL = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_SSL_CRL);
  539.                 String httpsOCSP = (String) messageSecurityContext.getIncomingProperties().get(SecurityConstants.JOSE_USE_HEADERS_TRUSTSTORE_SSL_OCSP);
  540.                 
  541.                 boolean httpsCrlByOcsp = false;
  542.                 if(this.jsonDecrypt.getTrustStoreHttps()!=null && httpsOCSP!=null && !"".equals(httpsOCSP)) {
  543.                     LoggerBuffer lb = new LoggerBuffer();
  544.                     lb.setLogDebug(messageSecurityContext.getLog());
  545.                     lb.setLogError(messageSecurityContext.getLog());
  546.                     GestoreOCSPResource ocspResourceReader = new GestoreOCSPResource(requestInfo);
  547.                     IOCSPValidator ocspValidator = null;
  548.                     try {
  549.                         ocspValidator = new GestoreOCSPValidator(requestInfo, lb, 
  550.                                 this.jsonDecrypt.getTrustStoreHttps(),
  551.                                 httpsCRL, 
  552.                                 httpsOCSP, 
  553.                                 ocspResourceReader);
  554.                     }catch(Exception e){
  555.                         throw new SecurityException(JOSECostanti.JOSE_ENGINE_DECRYPT_DESCRIPTION+"; ocsp initialization for https (policy:'"+httpsOCSP+"') failed: "+e.getMessage(),e);
  556.                     }
  557.                     if(ocspValidator!=null) {
  558.                         this.jsonDecrypt.setOcspValidatorHttps(ocspValidator);
  559.                         GestoreOCSPValidator gOcspValidator = (GestoreOCSPValidator) ocspValidator;
  560.                         if(gOcspValidator.getOcspConfig()!=null) {
  561.                             httpsCrlByOcsp = gOcspValidator.getOcspConfig().isCrl();
  562.                         }
  563.                     }
  564.                 }
  565.                 
  566.                 if(httpsCRL!=null && !"".equals(httpsCRL) && !httpsCrlByOcsp) {
  567.                     CRLCertstore crlCertstore = GestoreKeystoreCache.getCRLCertstore(requestInfo, httpsCRL);
  568.                     if(crlCertstore==null) {
  569.                         throw new SecurityException("Process CRL '"+httpsCRL+"' failed");
  570.                     }
  571.                     this.jsonDecrypt.setCrlHttps(crlCertstore.getCertStore());
  572.                 }
  573.     
  574.                 
  575.                 // **************** Process **************************
  576.                             
  577.                 encryptProcess = true; // le eccezioni lanciate da adesso sono registrato con codice relative alla verifica
  578.                 try {
  579.                     this.jsonDecrypt.decrypt(restJsonMessage.getContent(bufferMessageReadOnly, idTransazione));
  580.                 }catch(Exception e) {
  581.                     throw new SecurityException("Decrypt failed: "+e.getMessage(),e);
  582.                 }
  583.         
  584.             
  585.             } // fine encrypt
  586.             
  587.             
  588.             
  589.                         
  590.         } catch (Exception e) {
  591.             
  592.             SecurityException secException = new SecurityException(e.getMessage(), e);
  593.             
  594.             
  595.             /* **** MESSAGGIO ***** */
  596.             String msg = Utilities.getInnerNotEmptyMessageException(e).getMessage();
  597.             
  598.             Throwable innerExc = Utilities.getLastInnerException(e);
  599.             String innerMsg = null;
  600.             if(innerExc!=null){
  601.                 innerMsg = innerExc.getMessage();
  602.             }
  603.             
  604.             String messaggio = null;
  605.             if(msg!=null){
  606.                 messaggio = msg + "";
  607.                 if(innerMsg!=null && !innerMsg.equals(msg)){
  608.                     messaggio = messaggio + " ; " + innerMsg;
  609.                 }
  610.             }
  611.             else{
  612.                 if(innerMsg!=null){
  613.                     messaggio = innerMsg;
  614.                 }
  615.             }
  616.             
  617.             secException.setMsgErrore(messaggio);
  618.             
  619.             
  620.             /* ***** CODICE **** */
  621.             
  622.             if(signatureProcess){
  623.                 secException.setCodiceErrore(CodiceErroreCooperazione.SICUREZZA_FIRMA_NON_VALIDA);
  624.             }
  625.             else if(encryptProcess){
  626.                 secException.setCodiceErrore(CodiceErroreCooperazione.SICUREZZA_CIFRATURA_NON_VALIDA);
  627.             }
  628.             else {
  629.                 secException.setCodiceErrore(CodiceErroreCooperazione.SICUREZZA);
  630.             }
  631.             
  632.             
  633.             throw secException;
  634.         }

  636.     }

  638.     @Override
  639.     public void detachSecurity(MessageSecurityContext messageSecurityContext, OpenSPCoop2RestMessage<?> messageParam)
  640.             throws SecurityException {
  641.         
  642.         try {
  643.         
  644.             if(!ServiceBinding.REST.equals(messageParam.getServiceBinding())){
  645.                 throw new SecurityException(JOSECostanti.JOSE_ENGINE_DESCRIPTION+" usable only with REST Binding");
  646.             }
  647.             if(!MessageType.JSON.equals(messageParam.getMessageType())) {
  648.                 throw new SecurityException(JOSECostanti.JOSE_ENGINE_DESCRIPTION+" usable only with REST Binding and a json message, found: "+messageParam.getMessageType());
  649.             }
  650.             OpenSPCoop2RestJsonMessage restJsonMessage = messageParam.castAsRestJson();
  651.                     
  652.             if(this.jsonVerifierSignature!=null) {
  653.                 if(this.detached) {
  654.                     this.deleteDetachedSignatureFromMessage(restJsonMessage, JOSECostanti.JOSE_ENGINE_VERIFIER_SIGNATURE_DESCRIPTION);
  655.                 }   
  656.                 else {
  657.                     restJsonMessage.updateContent(this.jsonVerifierSignature.getDecodedPayload());
  658.                 }
  659.             }
  660.             else if(this.jsonDecrypt!=null) {
  661.                 restJsonMessage.updateContent(this.jsonDecrypt.getDecodedPayload());
  662.             }
  663.             else {
  664.                 throw new SecurityException(JOSECostanti.JOSE_ENGINE_DESCRIPTION+" (detach method) usable only after one function beetwen encrypt or signature");
  665.             }
  666.             
  667.         }catch(Exception e) {
  668.             throw new SecurityException(e.getMessage(), e);
  669.         }
  670.     }

  672.     public JOSESerialization getJoseSerialization() {
  673.         return this.joseSerialization;
  674.     }
  675.     
  676.     @Override
  677.     public String getCertificate() throws SecurityException {
  678.         if(this.jsonVerifierSignature!=null && this.jsonVerifierSignature.getX509Certificate()!=null) {
  679.             return this.jsonVerifierSignature.getX509Certificate().getSubjectX500Principal().toString();
  680.         }
  681.         else if(this.jsonDecrypt!=null && this.jsonDecrypt.getX509Certificate()!=null) {
  682.             return this.jsonDecrypt.getX509Certificate().getSubjectX500Principal().toString();
  683.         }
  684.         return null;
  685.     }

  687.     @Override
  688.     public X509Certificate getX509Certificate() throws SecurityException {
  689.         if(this.jsonVerifierSignature!=null) {
  690.             return this.jsonVerifierSignature.getX509Certificate();
  691.         }
  692.         else if(this.jsonDecrypt!=null) {
  693.             return this.jsonDecrypt.getX509Certificate();
  694.         }
  695.         return null;
  696.     }

  698.     @Override
  699.     public PublicKey getPublicKey() {
  700.         if(this.jsonVerifierSignature!=null) {
  701.             return this.jsonVerifierSignature.getRsaPublicKey();
  702.         }
  703.         else if(this.jsonDecrypt!=null) {
  704.             return this.jsonDecrypt.getRsaPublicKey();
  705.         }
  706.         return null;
  707.     }

  709.     @Override
  710.     public String getCertificateId() {
  711.         if(this.jsonVerifierSignature!=null) {
  712.             return this.jsonVerifierSignature.getKid();
  713.         }
  714.         else if(this.jsonDecrypt!=null) {
  715.             return this.jsonDecrypt.getKid();
  716.         }
  717.         return null;
  718.     }
  719.     
  720. }
Created with JaCoCo 0.8.8.202204050719