Intercambiar datos con herramientas JOSE estándar

Trabaja con una parte externa a la plataforma usando la clave pública de esa parte: verifica un JWS que firmó con herramientas JOSE estándar, o cifra un archivo para ella. La clave pública que proporcionas se usa en esa única solicitud y nunca se guarda como clave de tu tenant.

Quién puede hacerlo

Una aplicación autenticada como actor criptográfico de tu tenant, cuyo token lleva:

• interoperability.verifySignature para verificar una firma con una clave pública proporcionada;
• interoperability.encrypt para cifrar con una clave pública proporcionada.

No interviene ninguna concesión de capacidad, porque no se usa ninguna clave de tu tenant. Ningún rol de la consola realiza estas operaciones.

Antes de empezar

• Tienes la clave pública de la otra parte, codificada en Base64, con su tipo de clave y su algoritmo.
• Para verificar, tienes los datos firmados y el JWS separado en forma JSON aplanada ({"protected", "signature"}), con una sola firma.
• La aplicación puede obtener un token. Consulta Obtener un token de acceso para una aplicación.
• Son operaciones de streaming, y no se ejecutan con el transporte de sesión PQC.

Pasos

1. Verifica una firma hecha por la otra parte:
   • SDK de Java: sdk.verifySignatureUtilityStream(kty, alg, publicKeyBase64, signatureBase64, dataFile) devuelve un VerifySignatureResult; lee isValid().
   • CLI criptográfica: AnkaSecureCLI verify-signature-publickey-stream --kty <kty> --alg <alg> --public-key <file> --input-signature-file <file> --input-file <file>, donde --public-key nombra un archivo JSON con un campo publicKey en Base64.
   • API: POST /api/v3/interoperability/verify con un cuerpo multipart/form-data: metadata (el JWS separado y la clave pública) antes de file (los datos firmados).
2. El propio alg protegido del JWS selecciona el esquema y debe corresponder a la clave: RS256, RS384, RS512, PS256, PS384 o PS512 para una clave RSA; el único algoritmo ECDSA de la curva de una clave EC, como ES256 para P-256; EdDSA, Ed25519 o Ed448 para una clave Edwards; el nombre del conjunto de parámetros, como ML-DSA-65, para una clave de firma post-cuántica. Se ignora cualquier kid del encabezado.
3. Cifra un archivo para la otra parte:
   • SDK de Java: sdk.encryptFileUtilityStream(kty, alg, publicKeyBase64, input, output) devuelve un EncryptResult.
   • CLI criptográfica: AnkaSecureCLI encrypt-file-publickey-stream --kty <kty> --alg <alg> --public-key <file> --input-file <file> --output-file <file>.
   • API: POST /api/v3/interoperability/encrypt con metadata (kty, alg, publicKey) antes de file (el texto en claro); el texto cifrado se devuelve en streaming.

Qué ves cuando funcionó

Una verificación responde 200 con valid y una entrada de signatureResults que lleva el algoritmo que declaraste y ningún identificador de clave ni versión de material, porque la clave no es una clave de la plataforma. valid es false cuando la firma no se verifica con la clave proporcionada.

Un cifrado devuelve el texto cifrado en streaming; el SDK y la CLI lo escriben en el archivo de salida.

Si falla

Sin la consola

Estas operaciones no tienen pantalla en la consola.

Relacionado

• Firmar y verificar datos: firmas hechas con las claves de tu tenant.

Esta página está en inglés:

• Crypto CLI commands