¿Qué parte de la CSR es hash para crear su firma?

Descubrí la respuesta a mi pregunta y la publico aquí como referencia.

Generar par de claves nuevas y CSR

openssl req -out csr.der -new -newkey rsa:2048 -nodes -keyout privateKey.der -outform DER

Modificar csr.der a modified_csr.der

Extraiga la secuencia (que comienza en el desplazamiento 4) de la CSR que está codificada para la firma

openssl asn1parse -in modified_csr.der -inform der -strparse 4 -out part_of_CSR_thats_hashed

Crear nueva firma

openssl dgst -sha256 -sign privateKey.der -out new_signature part_of_CSR_thats_hashed

Combinar modified_csr.der y new_signature a new_csr.der

head -c $(( $(stat -c '%s' modified_csr.der) - 256 )) modified_csr.der > new_csr.der
cat new_signature >> new_csr.der

Verificar nueva CSR

openssl req -in new_csr.der -inform DER -noout -text -verify

Convertir CSR a PEM

openssl req -outform PEM -inform DER -in new_csr.der -out new_csr.pem

Aparte: no es necesario convertir manualmente a binario (DER), openssl req -in req.pem -out req.der -outform der lo hará por usted. O podrías hacer -outform der en la creación inicial. También su redacción sugiere que el tamaño de la firma de 256 bytes tiene alguna conexión con su uso de SHA256 en el algoritmo de firma, lo cual no es cierto. Y asumo que entiende que si cambia la longitud de cualquier cosa en el cuerpo, tendrá que cambiar todos los campos de longitud ASN.1 afectados, ya que el cuerpo debe ser DER.

Una CSR, como los objetos de macro SIGNED X.509 (cert y CRL) estrechamente relacionados, es una SECUENCIA ASN.1 de:

• el cuerpo (para CSR una SECUENCIA de varias cosas)
• un AlgorithmIdentifier que identifica el algoritmo de firma (y teóricamente puede incluir parámetros pero nunca lo hace; la misma estructura en otros lugares a veces sí lo hace); esta es una SECUENCIA de un OID (aquí el OID para sha256WithRSA) y NULL
• una cadena de bits que contiene la firma

openssl asn1parse -in req.der -inform der le muestra la decodificación, con el desplazamiento, la longitud del encabezado y la longitud del cuerpo de cada parte; agregar -i hace que la estructura sea más clara (indentación de los datos según el nivel). Tenga en cuenta que la clave pública no es lo último en el cuerpo de CSR. Y el formato CSR puede manejar otros tipos de claves diferentes a RSA, en cuyo caso no hay un "exponente".

Pero solo el hash y luego rsautl -sign no le darán una firma PKCS # 1 correcta; no codifica el extracto de AlgId como se requiere. Consulte rsa hash == rsa signature . Puede hacerlo a mano (como lo hace el módulo OpenSSL FIPS para ahorrar en el código sujeto a una verificación costosa) o puede usar

openssl dgst -sha256 -sign rsaprivatekey.pem -in actual_data_not_hash -out sigvalue

EDITAR: u otra opción que recordé; desde la 1.0.0:

openssl pkeyutl -sign -inkey rsapriv -pkeyopt digest:sha256 -in hashval -out sigval

le permite hacer el hash, pero hace la codificación ASN.1 (asegúrese de especificar el mismo hash que se codificará como usó para el hash real), el relleno y el modexp.

La parte total de la CSR se considera mientras se realiza el hash, por lo tanto, si cambias una parte, haremos que la verificación del pop falle. Es mejor volver a crear el CSR.