Класс X509CRL

public abstract class X509CRL
extends CRL
implements X509Extension

Абстрактный класс для списка аннулирования сертификатов X.509 (CRL). CRL — это отметенный временем список, идентифицирующий аннулированные сертификаты. Он подписан центром сертификации (CA) и свободно доступен в общедоступном хранилище.

Каждый аннулированный сертификат в CRL идентифицируется по своему серийному номеру сертификата. При использовании сертификата в системе (например, для проверки цифровой подписи удаленного пользователя) система не только проверяет подпись и действительность сертификата, но также получает соответствующий CRL и проверяет, что серийный номер сертификата не указан в этом CRL. Значение «соответствующей свежести» может варьироваться в зависимости от локальной политики, но обычно означает самый последний выпущенный CRL. CA выпускает новый CRL регулярно (например, каждый час, день или неделю). В CRL добавляются записи при аннулировании, а запись может быть удалена, когда истекает срок действия сертификата.

Формат CRL X.509 v2 описан ниже в ASN.1:

CertificateList  ::=  SEQUENCE  {
     tbsCertList          TBSCertList,
     signatureAlgorithm   AlgorithmIdentifier,
     signature            BIT STRING  }

Дополнительную информацию можно найти в RFC 5280: Профиль сертификатов и списков аннулирования сертификатов для общедоступной инфраструктуры открытых ключей Internet X.509.

Определение ASN.1 для tbsCertList выглядит так:

TBSCertList  ::=  SEQUENCE  {
     version                 Version OPTIONAL,
                             -- if present, must be v2
     signature               AlgorithmIdentifier,
     issuer                  Name,
     thisUpdate              ChoiceOfTime,
     nextUpdate              ChoiceOfTime OPTIONAL,
     revokedCertificates     SEQUENCE OF SEQUENCE  {
         userCertificate         CertificateSerialNumber,
         revocationDate          ChoiceOfTime,
         crlEntryExtensions      Extensions OPTIONAL
                                 -- if present, must be v2
         }  OPTIONAL,
     crlExtensions           [0]  EXPLICIT Extensions OPTIONAL
                                  -- if present, must be v2
     }

CRL создаются с помощью фабрики сертификатов. Ниже приведен пример создания CRL X.509:

try (InputStream inStream = new FileInputStream("fileName-of-crl")) {
     CertificateFactory cf = CertificateFactory.getInstance("X.509");
     X509CRL crl = (X509CRL)cf.generateCRL(inStream);
 }