Hola Hugo.
Acá dan algunos ejemplos de cómo leer la clave privada desde el archivo .key: How To Read .Key file on C#?.
¡Suerte!

Hola José.
¿Puede ser que tu certificado no tenga la clave privada?
Saludos.

Hola Gustavo

No se, si todavia revises esto, ya que veo que es de hace 10 años, pero bueno si corro con suerte. Tengo el mismo problema que Fredys, devuelve esto «No puede encontrar el objeto o la propiedad\r\n»
Podrías orientarme a la solución. Esto es debido al certificado?

Hola Raúl.
Acabo de enviarte un mail.
Saludos.

Muy Agradecido Gustavo, gracias por responder.

Hola Adolfo.
Deberías llamar al método WinVerifyTrust de Wintrust.dll, que está presente desde Windows XP.
En esta página (pinvoke.net: winverifytrust (wintrust)) tenés un ejemplo de cómo utilizarla desde C#, aunque en VB.NET es lo mismo, sólo cambia un poco la sintaxis.
Suerte!

Buenas tardes José.
No tenemos los ejemplos en VB.NET, pero son los mismos objetos en los mismos namespaces, sólo cambia un poco la sintaxis.
Saludos.

Hola Felix.
Seguramente el problema esa que el crt no tenga la clave privada. ¿Puede ser?
Saludos.

listo, igual creo que si lees desde el cliente lo que puedes consultar son los certificados ssl, mas no los certificados digitales del cliente que tiene en el navegador, hay un proyecto de la w3c para esta necesidad pero aun se esta a la espera de este.

Si encuentras algun modo de hacer que funcione, no dudes en compartirlo

Ya lo he leído, pero yo no quiero leer la clave privada, solo quiero acceder al certificado para autentificarse.
Desde mi equipo accedo a los certificados de Windows sin problema, pero cuando lo ejecuta el servidor no puedo acceder.

Gracias y perdón si me repito

yo intentaba hacer lo mismo, y no se puede esta fue la respuesta por si te interesa, y arriba esta toda la conversacion, como recomendacion lee los comentarios antes de preguntar para que no se repitan las preguntas.
«El problema es que no vas a poder hacerlo como estás pensando, porque con el navegador podés hacer que el usuario elija un certificado para autenticarse contra el IIS, pero no vas a poder leer la clave privada de éste para firmar un documento.
La única manera de hacerlo es utilizando algo externo, como un applet, plugin del browser, ejecutable o algo parecido. Hace unos años habíamos hecho un componente en Silverlight que leía el certificado y firmaba un PDF del lado del cliente, deberías crear algo así (obviamente no con Silverlight, que ya es obsoleto).
Suerte!»

Gracias

Buenas tardes!
La contraseña utilizada para abrir un certificado se puede especificar en el constructor de la clase X509Certificate2, por lo cual, podrías crear un diálogo para consultarle al usuario la contraseña, y guardarla en una variable para usarla en cada firma que debas hacer.
Espero te sirva.
Saludos.

Gracias

bueno bueno.. Leyendo «https://stackoverflow.com/questions/22407897/pdf-digital-signature-in-java-and-signature-verification-in-c-sharp-itext» en uno de los comentarios recomienda actualizar la librería de itextSharp. Yo tenía la 4.1.2, así que actualicé a la versión 5.5.11 (https://www.nuget.org/packages/iTextSharp/5.5.11).

Y la verificación funcionó tanto para documentos firmados con itextsharp como el firmado por acrobat reader DC.
tuve que modificar la línea de código: «ArrayList names = af.GetSignatureNames();» por «List names = af.GetSignatureNames();» y «PdfPKCS7.GetSubjectFields(pk.SigningCertificate).GetField(«C»)» aun tengo que ver como funciona en la nueva versión.

Pero es un paso enorme!

Gracias Chicos por la colaboración.

Gracias por la ayuda!..

            StringBuilder sb = new StringBuilder();  
            PdfReader reader = new PdfReader(fullPathArchivoFirmado);
            AcroFields af = reader.AcroFields;    ArrayList names = af.GetSignatureNames();
            for (int i = 0; i < names.Count; ++i)    { String name = (string)names[i]; PdfPKCS7 pk = af.VerifySignature(name); sb.AppendFormat("Signature field name: {0}\n", name);
                sb.AppendFormat("Signature signer name: {0}\n", pk.SignName); sb.AppendFormat("Signature date: {0}\n", pk.SignDate);
                sb.AppendFormat("Signature country: {0}\n", PdfPKCS7.GetSubjectFields(pk.SigningCertificate).GetField("C"));
                sb.AppendFormat("Signature organization: {0}\n",PdfPKCS7.GetSubjectFields(pk.SigningCertificate).GetField("O"));
                sb.AppendFormat("Signature unit: {0}\n", PdfPKCS7.GetSubjectFields(pk.SigningCertificate).GetField("OU")); }

Te cuento las pruebas con el código que me pasaste que hice:
1ero) traté de verificar un pdf firmado con Acrobat Reader DC: Da la excepción Org.BouncyCastle.SecurityUtilityException: {"Signer 2.16.840.1.101.3.4.2.1WITH1.2.840.113549.1.1.11 not recognised."}
2do) traté de verificar un pdf firmado con itextsharp: y ya no dio la excepción. Este caso si anduvo.
Me preocupa un poco, se supone que puedo recibir documentos firmados con cualquier herramienta. Alguna idea de la excepción que describí?

si te sigue dando problemas aqui esta esta libreria que es muy buena la verdad y tiene cositas interesantes, ademas la licencia es libre si la compañia factura menos de $1’000.000 de dolares al año…. podrias probar a ver que tal
https://help.syncfusion.com/file-formats/pdf/working-with-digitalsignature

Hola Luis,

Para generar la firma estoy utilizando itextSharp: https://www.codeproject.com/articles/14488/e-signing-pdf-documents-with-itextsharp

por las dudas probé verificar un pdf firmado con acrobat reader DC y se produce el mismo error (descarto que sea itextsharp…)

debes tener en cuenta que para leer debes usar la misma libreria que usaste para escribir, ese puede ser el motivo del error.

Por lo que veo es un documento PDF. Para validar la firma en PDFs yo uso itextsharp. Puedes ver un ejemplo de verificar firmar aquí: https://stackoverflow.com/questions/9823240/how-to-retrieve-digital-signature-information-name-date-with-itextsharp

Un saludo

Hola Gema!
Gracias por responder.

hice la prueba de utilizar el método «File.ReadAllBytes(fullPathArchivoFirmado);» y se produce la misma excepción.

hice la prueba de luego de obtener el arreglo de bytes, guardarlo con: File.WriteAllBytes(fullPathArchivoFirmado+»prueba»,bytDocFirmado);

y el documento de prueba es exactamente el mismo, incluso lo abro con acrobat reader y sigue verificado. La lectura de los bytes no es el problema.

=/

Hola majo, para pasar un documento a array de bytes puedes usar:

byte[] bytDocFirmado = File.ReadAllBytes(fullPathArchivoFirmado);

A mí no me da el error de etiqueta ASN1 incorrecto…

Un saludo

Hola! Gracias por el artículo! me sirvió muchísimo para enteder cómo funciona firma digital.
Estoy implementando una aplicación en el cliente para firmar y varios años después me encuentro con el mismo problema que Hernan

byte[] bytDocFirmado = GetDocument(fullPathArchivoFirmado); //obtener el archivo firmado en bytes
SignedCms objDatos = new SignedCms();
//Deserializo los bytes PKCS#7
objDatos.Decode(bytDocFirmado); // –>>> “Se ha encontrado un valor de etiqueta ASN1 incorrecto”
El mismo documento lo abro con Acrobat, y el documento verifica.
Para obtener el archivo en bytes utilizo la siguiente información:
private Byte[] GetDocument(string strDocPath)
{
FileStream objfilestream = new FileStream(strDocPath, FileMode.Open, FileAccess.Read);
int len = (int)objfilestream.Length;
Byte[] documentcontents = new Byte[len];
objfilestream.Read(documentcontents, 0, len);
objfilestream.Close();
return documentcontents;
}

Hola! Gracias por el artículo! me sirvió muchísimo para enteder cómo funciona firma digital.
Estoy implementando una aplicación en el cliente para firmar y varios años después me encuentro con el mismo problema que Hernan

            byte[] bytDocFirmado = GetDocument(fullPathArchivoFirmado); //obtener el archivo firmado en bytes
            SignedCms objDatos = new SignedCms();

            //Deserializo los bytes PKCS#7
            objDatos.Decode(bytDocFirmado);   // -->>> "Se ha encontrado un valor de etiqueta ASN1 incorrecto"

El mismo documento lo abro con Acrobat, y el documento verifica.

Para obtener el archivo en bytes utilizo la siguiente información:

        private Byte[] GetDocument(string strDocPath)
        {
            FileStream objfilestream = new FileStream(strDocPath, FileMode.Open, FileAccess.Read);
            int len = (int)objfilestream.Length;
            Byte[] documentcontents = new Byte[len];
            objfilestream.Read(documentcontents, 0, len);
            objfilestream.Close();

            return documentcontents;
        }

Encontraron alguna solución?

Gracias!

Hola José.
Para mostrar el diálogo del sistema operativo que te permite seleccionar uno o varios certificados podés utilizar la clase X509Certificate2UI.
Sería reemplazar la linea

X509Certificate2 objCert = new X509Certificate2(“archivo”, “contraseña”);

por esto:

X509Store objStore = new X509Store("MY", StoreLocation.CurrentUser);
objStore.Open(OpenFlags.ReadOnly | OpenFlags.OpenExistingOnly);

var objColection = (X509Certificate2Collection)objStore.Certificates;
var objFColection = (X509Certificate2Collection)objColection.Find(X509FindType.FindByTimeValid, DateTime.Now, false);
var objSelected = X509Certificate2UI.SelectFromCollection(objFColection, "Selección de certificados", "Por favor seleccione un certificado de la lista", X509SelectionFlag.SingleSelection);
X509Certificate2 objCert = null;
if (objSelected.Count > 0)
    objCert = objSelected[0];

Si necesitás que el usuario seleccione más de un certificado, reemplazá la definición de objSelected por esto:

var objSelected = X509Certificate2UI.SelectFromCollection(objFColection, "Selección de certificados", "Por favor seleccione los certificados de la lista", X509SelectionFlag.MultiSelection);

Espero te sirva.
¡Suerte!

Estimado Gustavo. una pregunta : ¿como puedo hacer para que en lugar de X509Certificate2 objCert = new X509Certificate2(«archivo», «contraseña»);
pueda escojer un certificado instalado previamente en el almacen de certificados

Muchas gracias por el link, parece bueno, lástima que recién hace un mes que está esta «recomendación» 🙁
Saludos.

gracias gustavo, mira te dejo este documento que me pareci muy bueno y me parece que es el futuro del manejo de firmas, ademas es de la w3c 🙂
https://www.w3.org/TR/WebCryptoAPI/
GRACIAS!

El problema es que no vas a poder hacerlo como estás pensando, porque con el navegador podés hacer que el usuario elija un certificado para autenticarse contra el IIS, pero no vas a poder leer la clave privada de éste para firmar un documento.
La única manera de hacerlo es utilizando algo externo, como un applet, plugin del browser, ejecutable o algo parecido. Hace unos años habíamos hecho un componente en Silverlight que leía el certificado y firmaba un PDF del lado del cliente, deberías crear algo así (obviamente no con Silverlight, que ya es obsoleto).
Suerte!

ya eso lo probe pero llega vacio, mira te explico la necesidad para que tengas una idea, lo que quiero hacer es que el usuario elija de las firmas que tiene agregadas al navegador con cual desea firmar el documento.

con el archivo fisico ya lo esta haciendo pero ahora en este punto estoy estancado he estado leyendo mucho pero nada no encuentro solucion

Hola Luis.
Podrías consultar el certificado utilizado en el navegador utilizando esta linea:

var cert = System.Web.HttpContext.Current.Request.ClientCertificate

Suerte!

y otra vez muchas gracias por el post.

Hola Buenos dias, me pasa exactamente lo mismo. Pero no se cómo darle permisos al usuario ASP.NET.
Me podrian dar una mano con esto? por favor?
Muchas gracias y felicitaciones por el blog. Lo sigo siempre.

Saludos

Buenos días Felipe.
Disculpame pero no entiendo la consulta. ¿Podrás pasarnos el código que estás usando para que lo podamos ver?
Saludos.

Hola.
Hace unos años escribí otro artículo donde explico lo de firmar PDFs desde .NET: Cómo firmar un documento PDF desde C# con iTextSharp, y ahí podés ver que creo la variable objStamper que es un objeto PdfSignatureAppearance, el cual representa la firma «visible» del documento. Probá haciendo modificaciones sobre ese objeto, por ejemplo, el método SetVisibleSignature se utiliza para especificar el tamaño de la firma.
Espero te sirva.
Saludos.

Hola Olga.
Deberías obtener el objeto X509Certificate2 con la información de tu certificado, por ejemplo, leerlo desde un archivo utilizando la sobrecarga del construtor creada para eso.
Luego, con el objeto del certificado, deberías utilizar la clave privada del mismo (la podés obtener con la propiedad PrivateKey) en lugar de crear una nueva clave en la siguiente linea:

RSACryptoServiceProvider rsaKey = new RSACryptoServiceProvider(cspParams);

¡Suerte!

Si lo vi, pero no veo donde debo pasar la info del certificado,

Hola Olga.
En esta página del MSDN tenés un ejemplo: Cómo: Firmar documentos XML con firmas digitales.
Suerte!

Hola Verónica.
Depende de dónde tengas tu certificado. Por ejemplo, si lo tenés como parte de otro archivo deberías ver cómo tomarlo de ahí, o si lo en un archivo lo podés leer de la siguiente manera:

X509Certificate2 objCert = new X509Certificate2("archivo");

Y si lo tenés con contraseña podés abrirlo así:

X509Certificate2 objCert = new X509Certificate2("archivo", "contraseña");

Saludos.

X509Certificate2 objCert = … //Acá tenemos que poner el certificado

desde visual???? Gracias de antemano

Buenos días, Teresa.
La pregunta obvia, pero necesaria, es: ¿Estás segura que estás utilizando la contraseña que utilizaste al crear el certificado?
Saludos.

Magnifico post!!
He creado los certificados con makecert en lugar de con xml y solo tengo un problemilla cuando intento desencriptar me aparece el siguiente error:

«Excepción no controlada del tipo ‘System.Security.Cryptography.CryptographicException’ en System.Security.dll
Información adicional: Clave incorrecta.»

¿sabes que puedo hacer para solucionarlo?
Gracias.
Saludos.

Hola, Karla.
La verdad que desconozco lo que es la FIEL. ¿Es una entidad? Si es así habría que ver qué tipo de certificado te brindan.
Saludos.

Pregunta: La validación de firma, el encriptado y desencriptado funciona para un documento firmado con la FIEL?

Saludos

Gracias por el dato!

Solucionado en la parte de proyecto, elije añadir referencia–>Framework–>System Security

estoy utilizando visual studio community 2013 y me aparece que en la linea donde uso

using System.Security.Cryptography.Pkcs;

que el tipo o nombre del espacio de nombre «Pkcs» no existe en el espacio de nombres actual System.Security.Cryptography, sera por el tipo de visual studio que utilizo?

Gracias por su ayuda

En este artículo no utilicés librerías externas, sólo las clases que están incluidas en el .NET Framework.
Saludos.

De nada, me alegra que haya sido de utilidad.

Disculpas por la demora en responder.
¿Pudiste resolver el problema? Si no es así: ¿probaste de hacer que el application pool de tu aplicación web corra con un usuario que tenga permisos para ver los certificados en el servidor? (tal vez podrías usar el mismo usuario con el que instalaste los certificados) Asi podemos ver si es un tema de permisos.
Suerte!

Estoy terminando un proyecto de firma Electronica en docs PDF (aplicación web) donde los certificados están instalados en el servidor (no pudimos hacer que funcionara con los certificados instalados en el cliente).

Pero cuando la quisimos poner en el servidor de explotación, no firmaba y enviaba el siguiente error: «No se encuentra el certificado y la clave privada para el descifrado».

Por lo que he leído podría ser problemas de privilegios sobre los certificados. Trate de darle permisos en el servidor con winhttpcertcfg -g -c LOCAL_MACHINE\TrustedPeople -s «certificado» -a IIS_IUSRS, pero ni siquiera esta la carpeta del winhttpcertcfg.

Mis preguntas son: será efectivamente problemas de privilegio y si es asi como puedo darle permisos en el servidor.

Muchas Gracias.

Hola, Carlos.
Te cuento que nosotros tuvimos el mismo problema para firmar un PDF con el certificado del usuario en una aplicación web.
Para resolverlo, creo yo, tenés dos posibilidades:
1- Pedirle al usuario que «seleccione» un archivo con su certificado, enviarlo al servidor y firmar el documento ahí. Obviamente esta opción no es viable debido a que estás llevando el certificado al servidor y podrías firmar 1000 cosas más, el usuario no creo que quiera correr el riesgo.
2- Hacer una aplicación o applet que corra en el cliente y firmar ahí el documento (esta es la que hicimos nosotros). En nuestro caso desarrollamos una aplicación con Silverlight que obtenía el header del PDF a firmar, lo recibía en el cliente, lo firmaba con el certificado de éste, lo enviaba al servidor, y ahí lo ensamblábamos con el resto del documento. Esto no fue una tarea sencilla, pero pudimos hacer que funcione.
Espero te sirvan las ideas.
Suerte!

Hola, Juan.
La verdad que no tengo idea del problema.
¿Podrás copiar el código completo para verlo y tratar de ayudarte?
Suerte!

//Desencriptamos los datos
objEncryptedData1.Decrypt();

Ahí se genera un error:
Source: System.Security
Message: «Bad Length.\r\n»

La asignación de los datos ecriptados la tengo así:
byte[] bytDatos = bytResult; //Datos encriptados

El certificado está en un eToken PRO72k.

Alguna idea o guía del origen de este error?

El código que se ve en la página puede ejecutarse en cualquier contexto (asp.net, consola, etc.).
Los fuentes que están al final del artículo para descargarse tienen un ejemplo completo en WinForm.
Saludos.

Muchas gracias por el aporte!
Saludos.

Concretamente esta linea.
objSignedData.ComputeSignature(objSigner,false);

En otro caso no conseguirar liberar el certificado y no pedirá el PIN de acceso a la tarjeta.

Saludos.

Todo funciona de manera correcta en ambiente de desarrollo, pero al mover el certificado al servidor de produccion veo el siguiente error.

El conjunto de claves no existe

Descripción: Excepción no controlada al ejecutar la solicitud Web actual. Revise el seguimiento de la pila para obtener más información acerca del error y dónde se originó en el código.

«Detalles de la excepción: System.Security.Cryptography.CryptographicException: El conjunto de claves no existe»

En el servidor he puesto el certificado en el almacen de la computadora pero aun asi no funciona.

Al momento de exportar el certificado he exportado tanto clave publica como clave privada.

Desde el IIS podés solicitar que el usuario ingrese a tu aplicación con un certificado digital, pero no podés leer la clave privada, sólo la pública, sino podrías hacer una suplantación de identidad.
Seguro estos links te pueden ayudar:
Cómo: Instalar certificados de cliente
IIS 7 Walkthrough: One to One Client Certificate Mapping Configuration.
Suerte!

ok te entiendo! y de nuevo disculpa que siga con las pregs pero es que tengo esa duda!!

Hay alguna forma, con X509Store, que desde mi aplicación web (asp.net) que se encuentra sobre mi servidor, leer los certificados del usuario (que él tiene instalados en su pc)???

Esa es la base de lo que ocupo!
De nuevo perdona la molestia y gracias por las respuestas!!

José, en realidad el usuario ya ingresó una contraseña al logearse, ya que sino no podría usar los certificados de su repositorio.
De todas formas, la clave privada no es un texto que pueda usar, es un array de bytes.
Tal vez lo que podrías hacer es que el usuario ingrese un «password», lo firmes con su certificado y luego verifiqués, a través de la aplicación, si su contraseña es la correcta y si la firma digital corresponde al certificado que tenés guardado con suyo.
Suerte!

Gustavo antes que nada gracias por responder.

No se, si tenes idea si esto se puede usar para leer los certificados instalados en la computadora de cada usuario.
Te explico rápido lo que estoy haciendo.
Un usuario entra al sistema(ya teniendo su firma instalada en su propia pc), yo quiero leer su firma y entonces una vez que la leo proceso que digite su llave privada para poder validarla y ya con eso avanzo en mi proceso.

No se si tenes algún tipo de información o ayuda que me podas brindar, de antemano muchas gracias!!

Hola, Andrés.
La verdad nunca tuve que hacer esto, pero seguro que estas páginas pueden serte de utilidad: WCF – 2 Way SSL Security using Certificates y Use Mutual SSL Authentication in WCF.
Suerte!

José, creo que el problema es que, cuando ejecutás tu aplicación en el IIS, el usuario que utiliza es el IUSR_XXX (XXX es el nombre de la máquina), por eso es que no encuentra el certificado.
Te recomiendo instalar el certificado a nivel de máquina, si es que esto no te trae ningún problema de seguridad (como que otro usuario en ese servidor pueda leer el certificado).
Suerte!

Gracias de antemano.

Hola, Silvia.
La verdad que no conozco una forma de «invertir» las claves, pero igual no entiendo para que podrías necesitar algo así, ya que en ese caso lo que cifres de forma «privada» lo podría ver todo el mundo, pudiéndolo descifrar con la clave pública.
Saludos.

La verdad que nunca lo hice.
Saludos.

Es raro, disculpá pero no sé que puede hacer.
Por favor, cuando lo resuelvas, comentame cómo hcisite.
Suerte!

La verdad que nunca necesité hacer eso.
¿Probaste de crear la firma utilizando Bouncy Castle?
Fijate que hay muchísimos ejemplos de esta librería en la red.
Suerte!

muchas gracias.
Te felicito por tu Blog…

En efecto Gustavo, el contenedor esta en otro servidor y ambos estan en el mismo segmento de red y el usuario que quiero utilizar para el impersonate es un usuario de dominio

Pero hay algo que no entiendo: si el contenedor no pertenece a ese servidor, o sea que está en otro servidor, el usuario con el que hacés la impersonalización es de un dominio?

Hola Gustavo,
De hecho si le di los permisos y con esos trabaja de maravilla, la cuestion es que necesito guardar los documentos en un contenedor que no pertenece a ese servidor y cuando utilizo el impersonate para poner el usuario y que pueda guardar, es cuando me da los problemas y ya agregue mediante la consola del mmc el usuario de IIS, el Network Service y hasta el uduario que utilizo en el impersonate, pero me sigue dando el error, vi en algunos blog algo que se realiza mediante la clase cacls.exe, segun para al usuario darle permisos de escritura y ejecucion, pero hasta el momento sigo intentando

Hola, Ubaldo.
¿Es raro lo que te pasa, probaste dándole permisos también al usuario del IIS?

An unhandled exception occurred and the process was terminated.
Application ID: /LM/W3SVC/2/ROOT
Process ID: 6292
Exception: System.Security.Cryptography.CryptographicException

Message: Keyset does not exist

StackTrace: at System.Security.Cryptography.CryptographicException.ThrowCryptogaphicException(Int32 hr)
at System.Security.Cryptography.SafeKeyHandle._FreeHKey(IntPtr pKeyCtx)
at System.Security.Cryptography.SafeKeyHandle.ReleaseHandle()
at System.Runtime.InteropServices.SafeHandle.InternalFinalize()
at System.Runtime.InteropServices.SafeHandle.Dispose(Boolean disposing)

No hay problema, te acabo de enviar un mail a tu cuenta.
Saludos!

MUCHAS GRACIAS DE ANTEMANO POR TU TIEMPO

muchas gracias por tu artículo.

En estos momentos estamos valorando un proyecto en el que el cliente desea que los usuarios puedan firmar algunos documentos digitalmente.

Esta aplicación será web y estará alojada en un servidor en que el se accederá desde algunos terminales, y desde estos, se debe poder firmar digitalmente.

El problema es que no acabo de entender aún como funciona esto, te explico:

En estos terminales habrá un usuario que atenderá a clientes, realizará las acciones oportunas en la aplicación web, y llegará el momento que se abrirá un documento PDF que necesita ser firmado digitalmente por el cliente. Esto lo hará el usuario en el terminal pero a través del DNI del cliente.

Ahora las preguntas:

Cada vez que se lea un DNI, se generará un certificado en ese terminal ? Si es así y debido a que existirán el de todos los clientes que hayan pasado, se deberá siempre seleccionar en la aplicación el que sea en ese momento no ?

Espero que hayas entendido el planteamiento para que me puedas ayudar un poco en como funciona esto según las necesidades de este proyecto.

Muchisimas gracias por tu artículo y tu ayuda.