Лучший способ подписать данные в веб-форме с помощью сертификата пользователя

Я предлагаю вам использовать java-апплет. Этот подход един для всех браузеров. Мы используем его в наших проектах. Чтобы подписать пользовательские данные, вам потребуется использовать JCA API (http://download.oracle.com/javase/1.4.2/docs/guide/security/CryptoSpec.html#Signature). Также вам нужно будет решить проблему с доступом к хранилищу сертификатов Windows из java.

Вы можете решить это следующим образом:

KeyStore keystore = KeyStore.getInstance("Windows-MY", "SunMSCAPI");

keystore.load(null, null);

HashMap<String,String> userPublicKeys = new HashMap<String,String>();

Enumeration<String> aliasesEnum = keystore.aliases();

if (!aliasesEnum.hasMoreElements())
    throw new Exception("No certificate!");

// list through windows personal store
while (aliasesEnum.hasMoreElements()) 
{
   String alias = aliasesEnum.nextElement();

   boolean isKey = keystore.isKeyEntry(alias);

   if (isKey)
   {
       BASE64Encoder encoder = new BASE64Encoder();
       encoder.encode(keystore.getCertificate(alias).getEncoded());

       userPublicKeys.put(alias, encoder.encode(keystore.getCertificate(alias).getEncoded()));
       System.out.println("Entry alias: " + alias); 
   }

   // sign
   PrivateKey privateKey = (PrivateKey) keystore.getKey(alias,null);           

   Provider provider = keystore.getProvider();
   // data to signed
   byte[] data ="test data".getBytes();
   // Signing the data
   Signature sig = Signature.getInstance("SHA1withRSA", provider);
   sig.initSign(privateKey);

   sig.update(data);
   byte[] signature = sig.sign();

   System.out.println(ByteArrayToFromHexDigits.bytesToHexString(signature).toUpperCase());
}

Вам нужно будет спросить свой юридический отдел, является ли это достаточно сильным «подписанием», но при каждой публикации полей сервер должен записывать значения полей и отпечаток сертификата из рукопожатия сертификата клиента. Да, это «подделка», поскольку любой, кто знает отпечаток пальца, может создать фальшивую запись в базе данных, но при надлежащей безопасности базы данных вы можете удалить этот вектор атаки и получить запись о том, кто что опубликовал (поскольку вы не можете подделать отпечаток пальца). сертификата клиента при двусторонней аутентификации SSL)

мы не можем получить доступ к закрытому ключу сертификата для подписи данных,

Если бы это было не так, то сервер мог бы запомнить сам сертификат и использовать его, чтобы казаться настоящим клиентом при использовании других служб.

т.е. полностью сделает недействительным использование клиентских сертификатов для аутентификации клиента.

и я не знаю, есть ли способ подписать поля в браузере,

Как насчет того, чтобы задать этот вопрос с подходящими тегами на стороне клиента (например, JavaScript, Browser), чтобы получить нужную аудиторию. (Я уверен, что это можно сделать с помощью расширения браузера или объекта ActiveX, но это создает свои проблемы.)

Существует метод JavaScript crypto.signText, который позволяет подписывать произвольный текст клиентским сертификатом. Вот некоторые документы и пример подписанной формы. Кажется, в настоящее время это поддерживает только Firefox.

Для IE есть объект CAPICOM ActiveX (доступен для загрузки с сайта MS). Вот пример его использования.

Я не уверен в поддержке этих функций в разных браузерах и версиях ОС, вам, вероятно, придется проверить это для вашей конфигурации.