XML的加密和解密及ASP.NET下的實現方法

xml加密（XML Encryption）是w3c加密xml的標准。這個加密過程包括加密xml文檔的元素及其子元素，通過加密，xml的初始內容將被替換，但其XML格式仍然被完好的保留。

介紹

我們有3個加密XML的方法

1、僅僅使用對稱加密的方法加密XML

這種加密方法只使用一個密鑰，也就是說無論是加密xml還是解密xml都使用一個相同的密鑰。因為這個密鑰不會在被加密的XML中保存，所以我們需要在加密和解密的過程中加載這個密鑰並保護它不被竊取。

2、使用對稱加密和非對稱加密相結合的方法來加密XML

這種方法需要一個用於加密數據的對稱密鑰和一個用於保護這個對稱密鑰的非對稱密鑰。被加密的對稱密鑰和被加密的數據一起保存在XML文檔中。當用私有非對稱密鑰解密密鑰的時候要用公開非對稱密鑰對密鑰進行加密。

本文就將使用這種方法。想學到其他更多的方法請參看MSDN等到更多的信息。

（譯者注：非對稱加密算法需要兩個密鑰：公開密鑰（publickey）和私有密鑰（privatekey）。公開密鑰與私有密鑰是一對，如果用公開密鑰對數據進行加密，只有用對應的私有密鑰才能解密；如果用私有密鑰對數據進行加密，那麼只有用對應的公開密鑰才能解密。因為加密和解密使用的是兩個不同的密鑰，所以這種算法叫作非對稱加密算法。）

3、使用X.509加密XML，這種方法是用X.509作為非對稱密鑰，它由諸如VeriSign之類的第三方提供。

方法

不管XML加密是如何完成的，保存加密數據總是用兩種方法之一。

1、加密後所有的元素都被命名為<EncryptedData>

2、加密後只有數據被替換，而元素名稱仍然是可讀的，不會發生變化。

這種微妙的變化是非常重要的。例如：

如果你的xml文檔中包括被稱為<employee>的根元素，該根元素有一個下存儲了一段詳細信息的被稱做<WrittenWarning>的子元素。如果你發送這個XML，並且想<WrittenWarning>這個元素被保護起來，那麼使用第1中方法的話<WrittenWarning>將被替換為<EncryptedData>，你不會從加密後的文檔中獲取到任何可讀的信息。

如果使用第2種方法，那麼<WrittenWarning>元素仍然被保留，只用數據會被加密。任何得到這個文檔的人雖然不能知道該元素下的詳細信息，但仍然知道有一些事情發生在這個雇員身上。另外，<WrittenWarning>元素的所有屬性也不會被加密。

所以，如果沒有特殊需求，我們一般都用第1種方法。在.Net 2.0中你可以通過修改一個Boolean值的屬性，便可以非常簡單的選擇使用哪種方法。

XML加密的例子

下面這個xml加密的例子使用的是非對稱加密法，把XML文檔的author元素下的內容加密並把author元素用<EncryptedData>給替換掉。

XML文檔：

<?XML version="1.0" standalone="no"?> 
<article> 
<articleinfo> 
<title>XPath QuerIEs on XMLDocument objects in .Net 1.1</title> 
<abstract> 
<para>This article covers the basics.</para> 
</abstract> 
<author> 
<honorific>Mr.</honorific> 
<firstname>George</firstname> 
<surname>James</surname> 
<email>[email protected]</email> 
</author> 
</articleinfo> 
</article>

XPath表達式為/article/articleinfo/author

被加密後的XML文檔：

<?XML version="1.0" standalone="no"?> 
<article> 
<articleinfo> 
<title>XPath QuerIEs on XMLDocument objects in .Net 1.1</title> 
<abstract> 
<para>This article covers the basics.</para> 
<para>This article does not cover.</para> 
</abstract> 
<EncryptedData Type="http://www.w3.org/2001/04/XMLenc#Element" 
xmlns="http://www.w3.org/2001/04/XMLenc#"> 
<EncryptionMethod Algorithm="http://www.w3.org/2001/04/XMLenc#aes256-cbc" /> 
<KeyInfo xmlns="http://www.w3.org/2000/09/XMLdsig#"> 
<EncryptedKey xmlns="http://www.w3.org/2001/04/XMLenc#"> 
<EncryptionMethod Algorithm="http://www.w3.org/2001/04/XMLenc#rsa-1_5" /> 
<KeyInfo xmlns="http://www.w3.org/2000/09/XMLdsig#"> 
<KeyName>session</KeyName> 
</KeyInfo> 
<CipherData> 
<CipherValue>r4f7SI1aZKSvibb…</CipherValue> 
</CipherData> 
</EncryptedKey> 
</KeyInfo> 
<CipherData> 
<CipherValue>sGNhKqcSovipJdOFCFKYEEMRFd…</CipherValue> 
</CipherData> 
</EncryptedData> 
</articleinfo> 
</article>

author元素及其子元素都將被<EncryptedData>給替換掉，另外還包括其他一些元素，如加密算法，密鑰等。

<EncryptedData>元素

仔細看看<EncryptedData>元素的樹形結構，你會發現<EncryptedData>元素下分解出了很多子元素。其中<KeyInfo>元素與XML數字簽名中的<KeyInfo>元素是相同的。

EncryptedData元素被包含在“http://www.w3.org/2001/04/XMLenc#”命名空間中。它是被加密數據的根元素。

EncryptionMethod元素指定加密數據的對稱方法。做這件事需要使用一個包含了w3 url的算法屬性 - “http://www.w3.org/2001/04/XMLenc#aes256-cbc”，它指出數據是用AES(Rijndael)以256k的密鑰加密的。

KeyInfo元素來自XML數字簽名，它保存著對稱密鑰的信息，除此之外該元素還能保存更多的信息。

KeyInfo元素下的EncryptedKey元素及其子元素包含著關於被保存的密鑰的信息。

KeyInfo下的EncryptionMethod元素包含的非對稱加密方法用來加密對稱密鑰。做這件事需要把一個算法屬性設置給w3 url。例如：“http://www.w3.org/2001/04/XMLenc#rsa-1_5”說明使用了RSA非對稱算法來加密對稱密鑰。

KeyName元素是一個標識符，用來發現密鑰。稍後在我們編程的時候你將會發現它的重要性。

CipherData元素和CipherValue元素出現在EncryptedKey元素和EncryptedData元素下，它們包含著密碼數據。事實上密碼數據保存在CipherValue元素下的。EncryptedKey元素下保存的是被加密的密鑰，EncryptedData元素下的CipherValue保存的是被加密的數據。

非對稱XML加密步驟

XML加密的過程可以概括為以下五步：

1、選擇XML文檔中的一個元素（選擇根元素的話將加密整個文檔）

2、使用一個對稱密鑰加密元素

3、使用非對稱加密來加密上面那個對稱密鑰（使用公開密鑰）

4、創建一個EncryptedData元素，該元素下將包含被加密的數據和被加密的密鑰

5、用加密後的元素替換掉初始元素。

這些步驟的大部分都可以使用.Net 2.0中的類自動完成。

非對稱XML解密步驟

XML解密的過程可以概括為以下四步：

1、在XML文檔中選擇一個EncryptedData元素

2、使用一個非對稱密鑰來解密密鑰（使用私有密鑰）

3、使用未加密的密鑰來解密數據

4、把EncryptedData元素替換成未加密的元素

這些步驟的大部分都可以使用.Net 2.0中的類自動完成。

命名空間

完成XML的加密，我們需要引入三個命名空間

System.Xml - 包含操作XML的類

System.Security.Cryptography - 包含生成加密密鑰的類

System.Security.Cryptography.XML - 包含完成加密任務的類

使用.Net加密XML

本文提供了一個簡單的加密、解密XML的應用程序，下面我們一起來看一看相關的代碼。這個示例只有一些基本功能，你可以再額外加一些如選擇節點之類的功能

首先加載非對稱公開密鑰來加密密鑰

// 創建一個用於加密密鑰的非對稱密鑰 
RSACryptoServiceProvider rsa = new RSACryptoServiceProvider(); 
// 加載一個公開密鑰 
XmlDocument pubKeys = new XMLDocument(); 
pubKeys.Load(Application.StartupPath + "\\XML.dev.keys.public"); 
// 使用公開密鑰加密密鑰 
rsa.FromXmlString(pubKeys.OuterXML);

接下來加載xml文檔並選擇一個需要加密的節點。下面的代碼示例了如何使用一個XPath表達式來選擇節點。如果不選擇節點，則整個XML文檔都將被加密。

// XML文檔 
this.xmlEncDoc = new XMLDocument(); 

// 給XML文檔加載一些節點和數據（省略） 

XMLElement encElement; 
// 如果沒有xpath則 
if (xpath == string.Empty) 
{ 
encElement = this.XMLEncDoc.DocumentElement; 
} 
else 
{ 
XmlNamespaceManager xmlns = this.xmlCntrlr.XMLnsManager; 
// 通過xpath選擇出需要加密的元素 
encElement = this.xmlEncDoc.SelectSingleNode(xpath, xmlns) as XMLElement; 
}

使用EncryptedXML類去加密數據和密鑰

// 完成加密XML的類 
EncryptedXml xmlEnc = new EncryptedXml(this.XMLEncDoc); 
// 增加一個“session”密鑰，使用rsa編碼 
XMLEnc.AddKeyNameMapping("session", rsa); 
// 使用“session”密鑰來加密數據 
// 這些信息被保存在KeyInfo元素下 
EncryptedData encData = XMLEnc.Encrypt(encElement, "session");

用加密後的元素替換初始元素

// 用加密後的元素替換初始元素 
EncryptedXML.ReplaceElement(encElement, encData, false);

使用.Net解密XML

首先加載私有非對稱密鑰來解密密鑰

// 創建一個用於解密密鑰的非對稱密鑰 
RSACryptoServiceProvider rsa = new RSACryptoServiceProvider(); 
// 加載私有密鑰 
XmlDocument privKeys = new XMLDocument(); 
privKeys.Load(Application.StartupPath + "\\XML.dev.keys.private"); 
// 使用私有密鑰來解密密鑰 
rsa.FromXmlString(privKeys.OuterXML); 
增加一個密鑰名稱並映射到被加密的文檔中 
// 增加一個密鑰名稱並映射到被加密的文檔中 
EncryptedXml encXml = new EncryptedXml(XMLEncDoc); 
encXML.AddKeyNameMapping("session", rsa); 
通過指定的密鑰來解密文檔的每一個EncryptedData元素 
// 解密所有<EncryptedData>元素 
encXML.DecryptDocument();

總結

xml加密（XML Encryption）是w3c加密xml的標准。加密後的文檔仍然是xml格式。我們使用非對稱和對稱算法來加密XML，對稱算法用於加密數據，非對稱算法用於加密對稱算法中的密鑰，加密後的數據被保存在EncryptedData元素下。EncryptedData元素包含著一些列用於描述算法的子元素，同時也包含著密鑰信息。