Вычисление подписи ECDSA в Java в соответствии с тестовым вектором RFC

Я предполагаю, что каждый раз, когда вы запускаете свою программу, вы получаете другое значение подписи для одного и того же открытого текста (подлежащего подписи).

ECDSA указывает, что для каждой подписи генерируется случайный эфемерный закрытый ключ ECDSA. С этой целью Signature.getInstance("SHA256withECDSA") не позволяет вам указать эфемерный ключ (это хорошо, чтобы предотвратить множество выстрелов себе в ногу!). Вместо этого он получает собственный экземпляр SecureRandom, который сделает ваши выходные данные недетерминированными.

Вероятно, это означает, что вы не можете использовать JCE (Signature.getInstance()) для проверки тестового вектора.

Что вы могли бы сделать, так это расширить SecureRandom таким образом, чтобы он возвращал детерминированные данные. Очевидно, вы не должны использовать это в реальном развертывании:

public class FixedSecureRandom extends SecureRandom {
    private static boolean debug = false;
    private static final long serialVersionUID = 1L;
    public FixedSecureRandom() { }
    private int nextBytesIndex = 0;

    private byte[] nextBytesValues = null;

    public void setBytes(byte[] values) {
        this.nextBytesValues = values; 
    }

    public void nextBytes(byte[] b) {
        if (nextBytesValues==null) { 
            super.nextBytes(b);
        } else if (nextBytesValues.length==0) { 
            super.nextBytes(b);
        } else {
            for (int i=0; i<b.length; i++) {
                b[i] = nextBytesValues[nextBytesIndex];
                nextBytesIndex = (nextBytesIndex + 1) % nextBytesValues.length;
            }
        }
    }
}

Фу. Хорошо, теперь у вас есть класс SecureRandom, который возвращает вам некоторое количество известных байтов, а затем возвращается к настоящему SecureRandom после этого. Еще раз скажу (извините за крик) - НЕ ИСПОЛЬЗУЙТЕ ЭТО В ПРОДАКШН!

Далее вам нужно будет использовать реализацию ECDSA, которая позволяет указать собственный SecureRandom. Для этой цели вы можете использовать ECDSASigner BouncyCastle. За исключением того, что здесь вы собираетесь дать ему свой собственный пиратский FixedSecureRandom, так что, когда он вызывает secureRandom.getBytes(), он получает нужные вам байты. Это позволяет вам управлять эфемерным ключом, чтобы он соответствовал указанному в тестовых векторах. Возможно, вам придется изменить фактические байты (например, добавить нулевое предварительное заполнение), чтобы они соответствовали тому, что ECDSASigner собирается запросить.

ECPrivateKeyParameters ecPriv = ...; // this is the user's EC private key (not ephemeral)

FixedSecureRandom fsr_k = new FixedSecureRandom();
fsr_k.setBytes(tempKeyK);

ECDSASigner signer = new ECDSASigner();
ParametersWithRandom ecdsaprivrand = new ParametersWithRandom(ecPriv, fsr_k);
signer.init(true, ecdsaprivrand);

Обратите внимание, что BC ECDSASigner реализует только часть подписи EC, а не хеширование. Вам все равно нужно будет сделать собственное хеширование (при условии, что ваши входные данные находятся в data):

Digest md = new SHA256Digest()
md.reset();
md.update(data, 0, data.length);
byte[] hash = new byte[md.getDigestSize()];
md.doFinal(hash, 0);

перед созданием подписи ECDSA:

BigInteger[] sig = signer.generateSignature(hash);

Наконец, эти BigInteger[] (должна быть длина==2) являются значениями (r,s). Вам потребуется ASN.1 DER-кодировать его, что должно дать вам байты droids, которые вы ищете.

вот мой полный тест, следующий за решением tsechin с использованием BouncyCastle, но придерживающийся старого доброго JCA API:

    byte[] input = { 0x61, 0x62, 0x63 };

    //Create the static private key W from the Test Vector
    ECNamedCurveParameterSpec parameterSpec = ECNamedCurveTable.getParameterSpec("secp256r1");
    org.bouncycastle.jce.spec.ECPrivateKeySpec privateKeySpec = new org.bouncycastle.jce.spec.ECPrivateKeySpec(new BigInteger("DC51D3866A15BACDE33D96F992FCA99DA7E6EF0934E7097559C27F1614C88A7F", 16), parameterSpec);
    KeyFactory kf = KeyFactory.getInstance("EC");
    ECPrivateKey spriv = (ECPrivateKey) kf.generatePrivate(privateKeySpec);

    //Perfrom ECDSA signature of the data with SHA-256 as the hash algorithm
    Signature dsa = Signature.getInstance("SHA256withECDSA", "BC");
    FixedSecureRandom random = new FixedSecureRandom();
    random.setBytes(Hex.decode("9E56F509196784D963D1C0A401510EE7ADA3DCC5DEE04B154BF61AF1D5A6DECE"));
    dsa.initSign(spriv, random);
    dsa.update(input);
    byte[] output = dsa.sign();

    // compare the signature with the expected reference values
    ASN1Sequence sequence = ASN1Sequence.getInstance(output);
    DERInteger r = (DERInteger) sequence.getObjectAt(0);
    DERInteger s = (DERInteger) sequence.getObjectAt(1);
    Assert.assertEquals(r.getValue(), new BigInteger("CB28E0999B9C7715FD0A80D8E47A77079716CBBF917DD72E97566EA1C066957C", 16));
    Assert.assertEquals(s.getValue(), new BigInteger("86FA3BB4E26CAD5BF90B7F81899256CE7594BB1EA0C89212748BFF3B3D5B0315", 16));