PyDERASN: kuidas ma kirjutasin ASN.1 teegi slots'ide ja blob'idega

ASN.1 see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see, see

Selles artiklis käsitletakse (millest ma olen juba: Python ASN.1 teek, mis on aktiivselt kasutusel krüptograafia projektides Atlaas.

Tegelikult ei tasu ASN.1 soovitada krüptograafiliste ülesannete jaoks: ASN.1 ja selle koodekid on keerulised. See tähendab, et kood ei ole lihtne, mis alati tähendab lisariskide teket. Piisab, kui vaadata ASN.1 raamatukogude haavatavuste nimekirja. Bruce Schneier soovitab ka oma Krüptograafia inseneritehnika ei soovita seda standardit kasutada selle keerukuse tõttu: "Parima tuntud TLV kodeering on ASN.1, kuid see on äärmiselt keeruline ja me hoidume sellest." Kuid kahjuks on meil täna avatud võtmete infrastruktuurid kus kasutatakse aktiivselt X.509 sertifikaate, CRL, OCSP, TSP, CMP protokollid, CMC, sõnumid, CMS-ist, ja palju PKCS standardeid . Seetõttu on vajalik osata töötada ASN.1-ga, kui tegelete millegagi seoses krüptograafiaga.ASN.1 võib olla kodeeritud mitmel viisil/koodikonniga:

BER

• (Baasi kodeerimisreeglid) CER
• (Kanonilised kodeerimisreeglid) DER
• (Tunnustatud kodeerimisreeglid) GSER
• (Üldine stringi kodeerimise reeglid) JER
• (JSON kodeerimisreeglid) LWER (Kerge kaaluga kodeerimisreeglid)
• OER
• (Octeti kodeerimisreeglid) PER
• (Pakitud kodeerimisreeglid) SER (Signaalimise spetsiifilised kodeerimisreeglid)
• XER
• (XML kodeerimisreeglid) ja mitmete teiste. Kuid krüptograafilistes ülesannetes kasutatakse praktikas kahte: BER ja DER. Ieven kirjade eestkirjades (

XMLDSigXAdES, ) on ikkagi Base64-kodeeritud ASN.1 DER objektid, nagu ka JSON-põhises protokollisACME Let’s Encrypt-st. Paremini mõista neid koodekeid ja kodeerimise printsiipide BER/CER/DER üle, saab lugeda artikkelit ja raamatud: ASN.1 lihtsate sõnadega ASN.1 — Heterogeensete süsteemide vahelise suhtlemise poolt Olivier Dubuisson, ASN.1 Täielik prof John Larmouthilt, BER on binaarne bait-orienteeritud (nt PER, mis on populaarne mobiilsides — bit-orienteeritud) TLV formaat. Iga element kodeeritakse järgmiselt: tag (, mis identifitseerib kodeeritava elemendi tüübi (täisarv, string, kuupäev jne), pikkus (.

BER on binaarne baitide formaat (nt PER, populaarne mobiilside vallas — bitipõhine) TLV-formaat. Iga element kodeeritakse järgmiselt: sildiga (Tag), mis tuvastab kodeeritava elemendi tüübi (täisarv, string, kuupäev jne), pikkus (Lsisu ja sisu pikkus (Vväärtus). BER võimaldab volituseta pikuse väärtust mitte näidata, seades erilise määratlemata pikkuse väärtuse ja lõpetades sõnumi End-Of-Octets märgistusega. Lisaks pikkuse kodeerimisele on BERis palju varieeruvust andmetüüpide kodeerimise viisis, näiteks:

• INTEGER, OBJECT IDENTIFIER, BIT STRING ja elemendi pikkus võivad olla normaliseerimata (minimaalsetes vormides mitte kodeeritud);
• BOOLEAN on tõene, kui sisu ei ole null;
• BIT STRING võib sisaldada "ülejäänud" nullbitleid;
• BIT STRING, OCTET STRING ja kõik nende derivatiivsed stringi tüübid, sealhulgas kuupäev/aeg, võivad jagada muutuva pikkusega fragmentideks (chunk), mille pikkust ei teata (de)kodeerimise ajal;
• UTCTime/GeneralizedTime võivad omada erinevaid viise ajavööndi kompensatsiooni määramiseks ja "ülejäänud" nullilisi sekundeid;
• SEQUENCE'i vaikimisi väärtusi võib kodeerida, kuid seda ei ole kohustuslik;
• BIT STRINGi viimaste bittide nimetatud väärtusi võib soovi korral mitte kodeerida;
• SEQUENCE (OF)/SET (OF) võivad sisaldada elementide suvalist järjestust.

Kuna kõik eelnevalt mainitud, on andmete kodeerimine nii, et need oleksid originaalvormiga identsed, mitte alati võimalik. Seetõttu on välja töötatud alakomplekt reegleid: DER — rangelt reguleerib ainult ühte lubatud kodeerimisviisi, mis on kriitiline krüptograafilistes ülesannetes, kus näiteks ühe biti muutmine muudabAllkiri või kontrollsummat kehtetuks. DERil on oluline puudus: kõigi elementide pikkused peavad olema kodeerimise ajal eelnevalt teada, mis ei võimalda andmeid voogesitada. CER kodeeringul puudub see puudus, tagades andmete üheselt mõistetava esituse. Kahjuks (või õnneks, et meil pole veel keerulisemaid dekoodereid?) ei saanud see populaarseks. Seetõttu kohtame praktikas „segatud“ BER ja DER kodeeritud andmete kasutamist. Kuna nii CER kui ka DER on BER alakomplektid, suudab iga BER dekooder neid töödelda.

Probleemid pyasn1-ga

Tööl kirjutame palju Pythoniga seotud programme, mis on seotud krüptograafiaga. Ja paar aastat tagasi oli tasuta raamatukogude valik praktiliselt olematu: kas need olid väga madala taseme raamatukogud, mis võimaldasid lihtsalt kodeerida/dekodeerida näiteks täisarvu ja struktuuri päist, või oli see raamistik pyasn1. Meie kasutasime seda mitu aastat ja alguses olime sellega väga rahul, kuna see võimaldab töötada ASN.1 struktuuridega nagu kõrge taseme objektidega: näiteks dekodeeritud X.509 sertifikaadi objekt võimaldab juurdepääsu oma väljadele sõnastiku liidest kaudu: cert[«tbsCertificate»][«serialNumber»] näitab meile selle sertifikaadi seerianumbrit. Samamoodi on võimalik „kokku panna“ keerukaid objekte, töötades nendega nagu loendite ja sõnastikega, ja seejärel lihtsalt kutsuda funktsioon pyasn1.codec.der.encoder.encode, et saada dokumendi serialiseeritud esindus.

Kuid ilmnesid puudused, probleemid ja piirangud. Pyasn1-s olid ja paraku on veelgi vigu: artikli kirjutamise hetkel, pyasn1 üks põhitüüpidest — GeneralizedTime, on ebatäpselt dekodeeritud ja kodeeritud.

Meie projektides, ruumi säästmiseks, salvestame sageli ainult faili tee, nihke ja objekti pikkuse baitides, millele tahame viidata. Näiteks on juhuslikult allkirjastatud fail kindlasti CMS SignedData ASN.1 struktuuris:

  0     [1,3,1018]  ContentInfo SEQUENCE
  4     [1,1,   9]   . contentType: ContentType OBJECT IDENTIFIER 1.2.840.113549.1.7.2 (id_signedData)
 19-4   [0,0,1003]   . content: [0] EXPLICIT [UNIV 16] ANY
 19     [1,3, 999]   . . DEFINED BY id_signedData: SignedData SEQUENCE
 23     [1,1,   1]   . . . version: CMSVersion INTEGER v3 (03)
 26     [1,1,  19]   . . . digestAlgorithms: DigestAlgorithmIdentifiers SET OF
                           [...]
 47     [1,3, 769]   . . . encapContentInfo: EncapsulatedContentInfo SEQUENCE
 51     [1,1,   8]   . . . . eContentType: ContentType OBJECT IDENTIFIER 1.3.6.1.5.5.7.12.2 (id_cct_PKIData)
 65-4   [1,3, 751]   . . . . eContent: [0] EXPLICIT OCTET STRING 751 bytes OPTIONAL

                 SIIN ON ALLKIRJASTATUD FAILI SISU MÕÕT 751 BITE

820     [1,2, 199]   . . . signerInfos: SignerInfos SET OF
823     [1,2, 196]   . . . . 0: SignerInfo SEQUENCE
826     [1,1,   1]   . . . . . version: CMSVersion INTEGER v3 (03)
829     [0,0,  22]   . . . . . sid: SignerIdentifier CHOICE subjectKeyIdentifier
                               [...]
956     [1,1,  64]   . . . . . signature: SignatureValue OCTET STRING 64 bytes
                     . . . . . . C1:B3:88:BA:F8:92:1C:E6:3E:41:9B:E0:D3:E9:AF:D8
                     . . . . . . 47:4A:8A:9D:94:5D:56:6B:F0:C1:20:38:D2:72:22:12
                     . . . . . . 9F:76:46:F6:51:5F:9A:8D:BF:D7:A6:9B:FD:C5:DA:D2
                     . . . . . . F3:6B:00:14:A4:9D:D7:B5:E1:A6:86:44:86:A7:E8:C9

ja me saame originaalse allkirjastatud faili 65-baidise nihkega, mille pikkus on 751 bahti. pyasn1 ei hoia seda teavet oma dekodeeritud objektides. Kirjutati nii nimetatud TLVSeeker — väike teek, mis võimaldab dekodeerida siltide ja objektide pikkuseid, mille kasutajaliideses käskisime "mine järgmisele silti", "siseneda sildi sisse" (siseneme SEQUENCE objekti sisse), "mine järgmisele silti", "anna oma nihke ja objekti pikkus, kus me asume". See oli "käsi" liikumine ASN.1 DER-serialiseeritud andmete seas. Kuid BER-serialiseeritud andmetega ei saanud nii töötada, kuna näiteks OCTET STRINGi baitide jada võis olla kodeeritud mitmes chunkis.

Teine puudus pyasn1 jaoks meie ülesannete täitmisel on see, et dekodeeritud objektide põhjal ei saanud aru, kas antud väli oli SEQUENCE's või mitte. Näiteks, kui struktuur sisaldab väljandid Field SEQUENCE OF Smth OPTIONAL, siis see võis täielikult puududa saabunud andmetest (OPTIONAL), või see võis olla kohal, kuid nullpikkusega (tühi loend). Üldiselt ei suutnud seda välja selgitada. Ja see on vajalik saabunud andmete range valideerimise kontrollimiseks. Kujutage ette, et mõni sertifitseerimiskeskus oleks välja andnud sertifikaadi, millel on "mitte päris" kehtivad ASN.1 skeemi kohaselt andmed! Näiteks sertifitseerimiskeskus „TÜRKTRUST Elektronik Sertifika Hizmet Sağlayıcısı“ oma juures sertifikaadis ületas lubatud. RFC 5280 komponendi subject pikkuse piire — seda ei saa õiglaselt dekodeerida skeemi kohaselt. DER kodeerija nõuab, et välja, mille väärtus on DEFAULT, ei kodeeritaks edastamise ajal — reaalses elus on selliseid dokumente, ja PyDERASN esimene versioon tunnustas isegi teadlikult sellist mitte-kehtivat (DER'i seisukohast) käitumist tagasiteenuse ühilduvuse nimel.

Veel piire on see, et pole kerge teada, millises vormingus (BER\/DER) on teatud objekt struktuuris kodeeritud. Näiteks ütleb CMS standard, et sõnum kodeeritakse BER-is, kuid selle allkirjastatud atribuutide väli, millele on loodud krüptograafiline allkiri, peab olema DER-is. Kui dekrüpteerime DER-ina, kukume CMS-i töötlemisega kokku, kui aga BER-ina, jääme teadmata, millises vormingus olid allkirjastatud atribuudid. Lõppkokkuvõttes tuleb meil TLVSeeker-iga (mida pole pyasn1-s) otsida iga allkirjastatud atribuudi välja asukohta ja eraldi dekodeerida see DER-ina.

Meie jaoks oli väga soovitav võimalus automaatseks töötlemiseks DEFINED BY väljade jaoks, mida esineb väga sageli. Pärast ASN.1 struktuuri dekodeerimist võib meil jääda palju ANY välju, mis tuleb edasi töödelda skeemi alusel, mille valib objekti identifikaator, mis on määratud struktuuri väljas. Pythonis tähendab see, et peab kirjutama if-lause ja seejärel edastama dekoodri ANY väljale.

PyDERASN-i ilmumine

Atlasel, kui leiame mõningaid probleeme või täiustame kasutatavaid avatud programme, saadame pidevalt patše edasi. Pyasn1-s oleme korduvalt saatnud täiustusi, kuid pyasn1 kood ei ole kõige arusaadavam ja mõnikord on seal toimunud ühilduvuse muutusi API-s, mis on meile ka pipart andnud. Pluss, oleme harjunud kirjutama katsetusi genereeriva testimise abil, mida pyasn1-s polnud.

Ühel kaunil päeval otsustasin, et on aeg lõpetada see talumine ja proovida kirjutada oma teek __slot__-idega, offset-idega ja hästi esitatavate blob-idega! Lihtsalt ASN.1 kooderi loomine ei oleks piisav — kõik meie projektid tuleks selle peale üle viia, ja see tähendaks sadu tuhandeid koodiridasid, kus on palju ASN.1 struktuuride töötlemist. Seega oli üks nõue, et see oleks lihtne olemasoleva pyasn1 koodi üleviimiseks. Kulutasin kogu oma puhkuse selle teegi kirjutamisele ja viisin kõik projektid selle peale üle. Kuna neil on praktiliselt 100%-line katteaste testidega, tähendas see ka teegi täielikku toimimist.

PyDERASN-il on samuti praktiliselt 100%-line katteaste testidega. Kasutatakse genereerivat testimist, koos suurepärase teegiga hypothesis. Samuti viidi läbi fuzzing py-afl-ime 32-tuumasel masinatel. Kuigi meil on peaaegu täielikult kadunud Python2 kood, järgib PyDERASN ikkagi selle ühilduvust ja seetõttu on see ainus kuus sõltuvus. Lisaks on see katsetatud vastavalt ASN.1:2008 vastavuse testikomplekt.

Töö põhimõte on sarnane pyasn1-iga — töötamine kõrgelt tasemel Python objektidega. ASN.1 skeemide kirjeldus on sarnane.

class TBSCertificate(Sequence):
    schema = (
        ("version", Version(expl=tag_ctxc(0), default="v1")),
        ("serialNumber", CertificateSerialNumber()),
        ("signature", AlgorithmIdentifier()),
        ("issuer", Name()),
        ("validity", Validity()),
        ("subject", Name()),
        ("subjectPublicKeyInfo", SubjectPublicKeyInfo()),
        ("issuerUniqueID", UniqueIdentifier(impl=tag_ctxp(1), optional=True)),
        ("subjectUniqueID", UniqueIdentifier(impl=tag_ctxp(2), optional=True)),
        ("extensions", Extensions(expl=tag_ctxc(3), optional=True)),
    )

Kuid PyDERASN-l on nii-range tüübi range. Pyasn1-s, kui väljal oli tüüp CMSVersion(INTEGER), võis sellele määrata int või INTEGER. PyDERASN nõuab rangelt, et määratud objekt oleks täpselt CMSVersion. Lisaks sellele, et me kirjutame Python3 koodi, kasutame ka typing annotations, seega on meie funktsioonides mitte arusaamatud argumendid nagu def func(serial, contents), vaid def func(serial: CertificateSerialNumber, contents: EncapsulatedContentInfo), ja PyDERASN aitab säilitada sellist koodi.

Samuti on PyDERASN-l väga mugavad leebused selle sama tüübi osas. pyasn1 ei lubanud SubjectKeyIdentifier().subtype(implicitTag=Tag(…)) välja määrata SubjectKeyIdentifier() objekti (ilma vajaliku IMPLICIT TAG-ita) ning tuli tihti kopeerida ja uuesti luua objekte ainult muudetud IMPLICIT/EXPLICIT siltide tõttu. PyDERASN jälgib rangelt ainult põhitulne — sildid täiendatakse automaatselt juba olemasolevas ASN.1 struktuuri skeemis. See lihtsustab oluliselt rakenduste koodi.

Kui dekodeerimise ajal tekib viga, siis pyasn1-s ei ole lihtsalt aru saada, kus see täpselt juhtus. Näiteks juba varem mainitud Türgi sertifikaadi puhul saame sellise veateate: UTF8String (tbsCertificate:issuer:rdnSequence:3:0:value:DEFINED BY 2.5.4.10:utf8String) (at 138) unsatisfied bounds: 1 ⇐ 77 ⇐ 64 ASN.1 struktuuride kirjutamisel võivad inimesed eksida ja see aitab lihtsustada rakenduste tõrkeotsingut või tuvastada probleemid vastaspoole kodeeritud dokumentides.

Esimeses versioonis ei olnud PyDERASN-il BER-kodeerimise tuge. See ilmus palju hiljem ja kuni praeguseni ei toetata UTCTime/GeneralizedTime töötlemist ajavöönditega. See tuleb tulevikus, kuna projekt kirjutatakse peamiselt töö vaba aja jooksul.

Esimeses versioonis puudus ka DEFINED BY väljade toimetamine. Mõne kuu pärast sai see võimalus olemas ning hakati seda aktiivselt kasutama, mis vähendas oluliselt rakenduste koodi - ühe dekodeerimise operatsiooni käigus võis saada täielikult kogu struktureeritud teabe kõige sügavamalt. Selleks määratakse skeemi sees, millised väljad, mida 'määravad'. Näiteks CMS skeemi kirjeldus:

class ContentInfo(Sequence):
    schema = (
        ("contentType", ContentType(defines=((("content",), {
            id_authenticatedData: AuthenticatedData(),
            id_digestedData: DigestedData(),
            id_encryptedData: EncryptedData(),
            id_envelopedData: EnvelopedData(),
            id_signedData: SignedData(),
        }),))),
        ("content", Any(expl=tag_ctxc(0))),
    )

ütleb, et kui contentType sisaldab OID-i väärtusega id_signedData, siis tuleb välja content (mis asub samas SEQUENCE-is) dekodeerida skeemi järgi SignedData. Miks on nii palju sulge? Väli võib 'määrata' mitu välja korraga, nagu see on EnvelopedData struktuurides. Määratud väljad tuvastatakse nn dekodeerimistee järgi - see määrab täpse asukoha igas elemendis kõigis struktuurides.

Ei ole alati soovitav ega alati võimalik need defines kohe skeemi lisada. Võivad olla rakenduse spetsiifilised juhtumid, kus OID-id ja struktuurid on tuntud ainult välistes projektides. PyDERASN pakub võimalust säilitada neid defines otse struktuuri dekodeerimise hetkel:

ContentInfo().decode(data, ctx={"defines_by_path": ((
    (
        "content", DecodePathDefBy(id_signedData),
        "certificates", any, "certificate", "tbsCertificate",
        "extensions", any, "extnID",
    ),
    ((("extnValue",), {
        id_ce_authorityKeyIdentifier: AuthorityKeyIdentifier(),
        id_ce_basicConstraints: BasicConstraints(),
        [...]
        id_ru_subjectSignTool: SubjectSignTool(),
    }),),
),)})

Siin ütleme, et CMS SignedData puhul dekodeerida kõik rakendatud sertifikaatide laiendused (AuthorityKeyIdentifier, BasicConstraints, SubjectSignTool jne). Me määrame läbi dekodeerimistee, kuhu elemendile tuleb 'asetada' defines, nagu oleks see määratud skeemis.

Lõpuks on PyDERASN-il võimalik töötada käsklusridadelt ASN.1 failide dekodeerimiseks ja sellel on rikas ilusate printimise. Võimalik on dekodeerida mis tahes ASN.1 ja määrata kindel skeem ning näha midagi sarnast:

Kuvatav teave: objekti nihke, sildi pikkus, sisu pikkus, EOC (end-of-octets) olemasolu, BER-kodeerimise tunnus, määramatu pikkuse kodeerimise tunnus, EXPLICIT sildi pikkus ja nihke (kui on), objekti sisestamise sügavus struktuurides, IMPLICIT/EXPLICIT sildi väärtus, objekti nimetus skeemi järgi, selle põhine ASN.1 tüüp, järjestuse/seeria sisene number, CHOICE (kui on) väärtus, loetav INTEGER/ENUMERATED/BIT STRING nimetus skeemi järgi, mis tahes põhityübi väärtus, skeemi DEFAULT/OPTIONAL lipp, objekti automaatse dekodeerimise märk, DEFINED BY ja millise OID-i tõttu see toimus, loetav OID.

Pretty printing süsteem on loodud nii, et see genereerib PP-objektide järjestuse, mida visualiseeritakse juba eraldi vahendite abil. Screenshotil on näidatud renderer lihtsas värvilises tekstis. On olemas ka JSON/HTML formaadi renderer'id, et seda saaks esitleda ASN.1 nagu asn1js projektis.

Muud raamatukogud

See ei olnud eesmärk, kuid PyDERASN osutus oluliselt kiiremaks kui pyasn1. Näiteks CRL-failide dekodeerimine, mille suurus on megabaidid, võib võtta nii kaua aega, et tuleb mõelda kiirete vaheandmete salvestamisvormingute peale ja rakenduste arhitektuuri muutmisele. pyasn1 dekodeerib CRL CACert.org minu sülearvutis üle 20 minuti, samas kui PyDERASN ainult 28 sekundiga! On projekt asn1crypto, mis on suunatud krüptograafiliste struktuuride kiirele töötlemisele: see dekodeerib (täielikult, mitte laiskalt) sama CRL 29 sekundiga, kuid kasutab peaaegu kaks korda rohkem operatiivmälu Python3 alusel (983 MiB versus 498), ja 3.5 korda rohkem Python2 alla (1677 versus 488), samas kui pyasn1 kasutab isegi 4.3 korda rohkem (2093 versus 488).

asn1crypto, millest ma rääkisin, me ei vaadanud, sest projekt alles algas ja me ei kuulnud sellest. Praegu me tõenäoliselt ka ei vaataks sinna suunas, kuna märkasin kohe, et sama GeneralizedTime ei aktsepteeri juhuslikku vormi ning serialiseerimise ajal eemaldab see vaikselt sekundimurdude. See on X.509 sertifikaatide töötlemise jaoks vastuvõetav, kuid üldiselt ei sobi.

Praegu on PyDERASN kõige rangem avatud lähtekoodiga Python/Go DER-dekodeerija, keda ma tunnen. Minu armastatud Go encoding/asn1 raamatukogus pole range kontroll OBJEKTI TUHA ja UTCTime/GeneralizedTime stringid. Mõnikord võib rangus takistada (peamiselt tagurpidi ühilduvuse tõttu vanade rakendustega, mida keegi ei hakka parandama), seetõttu saab PyDERASN-is dekodeerimise ajal anda edasi erinevaid seadeid leevendavaid kontrollimisi.

Projekti kood püüab olla võimalikult lihtne. Kogu teek on üks fail. Kood on kirjutatud arusaadavuse rõhuasetusega, ilma liigsete jõudluse optimeerimisteta ja DRY-koodita. Sees ei ole, nagu juba öeldud, täielikku BER-dekoodimise toetust UTCTime/GeneralizedTime stringide jaoks ning samuti REAL, RELATIVE OID, EXTERNAL, INSTANCE OF, EMBEDDED PDV, CHARACTER STRING andmetüübid. Kõigil teistel juhtudel ei näe ma isiklikult mõtet kasutada Pythonis teisi teeke.

Nagu kõik minu projektid, tüüp PyGOST, GoGOST, NNCP, GoVPN, PyDERASN on täielikult avatud tarkvara, levitatakse järgmistel tingimustel LGPLv3+, ja on saadaval tasuta allalaadimiseks. Näidiseid kasutamisest on siit ja PyGOST testides.

Sergei Matveev, krüptopank, liige AVT Fond, Python/Go arendaja, peamine spetsialist Riigi Ühing "NKT Atlas".

Allikas: habr.com