openecomp-be/backend/openecomp-sdc-vendor-software-product-manager/src/main/java/org/openecomp/sdc/vendorsoftwareproduct/impl/orchestration/csar/validation/CsarSecurityValidator.java

   1 /*
   2  * ============LICENSE_START=======================================================
   3  *  Copyright (C) 2019 Nordix Foundation
   4  *  ================================================================================
   5  *  Licensed under the Apache License, Version 2.0 (the "License");
   6  *  you may not use this file except in compliance with the License.
   7  *  You may obtain a copy of the License at
   8  *
   9  *        http://www.apache.org/licenses/LICENSE-2.0
  10  *  Unless required by applicable law or agreed to in writing, software
  11  *  distributed under the License is distributed on an "AS IS" BASIS,
  12  *  WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  *  See the License for the specific language governing permissions and
  14  *  limitations under the License.
  15  *
  16  *  SPDX-License-Identifier: Apache-2.0
  17  *  ============LICENSE_END=========================================================
  18  */
  19 package org.openecomp.sdc.vendorsoftwareproduct.impl.orchestration.csar.validation;
  20
  21 import java.util.Optional;
  22 import lombok.NoArgsConstructor;
  23 import org.openecomp.sdc.be.csar.storage.ArtifactInfo;
  24 import org.openecomp.sdc.vendorsoftwareproduct.security.SecurityManager;
  25 import org.openecomp.sdc.vendorsoftwareproduct.security.SecurityManagerException;
  26 import org.openecomp.sdc.vendorsoftwareproduct.types.OnboardSignedPackage;
  27
  28 /**
  29  * Validates the package security
  30  */
  31 @NoArgsConstructor
  32 public class CsarSecurityValidator {
  33
  34     private SecurityManager securityManager = SecurityManager.getInstance();
  35
  36     //for tests purpose
  37     CsarSecurityValidator(final SecurityManager securityManager) {
  38         this.securityManager = securityManager;
  39     }
  40
  41     /**
  42      * Validates package signature against trusted certificates
  43      *
  44      * @return true if signature verified
  45      * @throws SecurityManagerException when a certificate error occurs.
  46      */
  47     public boolean verifyPackageSignature(final OnboardSignedPackage signedPackage, final ArtifactInfo artifactInfo) throws SecurityManagerException {
  48         if (isArtifactInfoPresent(artifactInfo)) {
  49             return securityManager.verifyPackageSignedData(signedPackage, artifactInfo);
  50         } else {
  51             final var fileContentHandler = signedPackage.getFileContentHandler();
  52             final byte[] signatureBytes = fileContentHandler.getFileContent(signedPackage.getSignatureFilePath());
  53             final byte[] archiveBytes = fileContentHandler.getFileContent(signedPackage.getInternalPackageFilePath());
  54             byte[] certificateBytes = null;
  55             final Optional<String> certificateFilePath = signedPackage.getCertificateFilePath();
  56             if (certificateFilePath.isPresent()) {
  57                 certificateBytes = fileContentHandler.getFileContent(certificateFilePath.get());
  58             }
  59             return securityManager.verifySignedData(signatureBytes, certificateBytes, archiveBytes);
  60         }
  61     }
  62
  63     private boolean isArtifactInfoPresent(final ArtifactInfo artifactInfo) {
  64         return artifactInfo != null && artifactInfo.getPath() != null;
  65     }
  66
  67 }