Класс X509Certificate

protected X509Certificate()

Конструктор для сертификатов X.509.

public abstract void checkValidity() throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, является ли сертификат в настоящее время действительным. Он действителен, если текущая дата и время находятся в пределах периода действия, указанного в сертификате.

Период действия состоит из двух значений даты/времени: первой и последней дат (и времени), на которые сертификат действителен. Он определен в ASN.1 как:

 validity             Validity

 Validity ::= SEQUENCE {
     notBefore      CertificateValidityDate,
     notAfter       CertificateValidityDate }

 CertificateValidityDate ::= CHOICE {
     utcTime        UTCTime,
     generalTime    GeneralizedTime }
 

public abstract void checkValidity(Date date) throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, входит ли заданная дата в период действия сертификата. Другими словами, это определяет, будет ли сертификат действителен в заданную дату/время.

public abstract int getVersion()

Получает значение version (номер версии) из сертификата. Определение ASN.1 для этого:

 version  [0] EXPLICIT Version DEFAULT v1

 Version ::=  INTEGER  {  v1(0), v2(1), v3(2)  }
 

public abstract BigInteger getSerialNumber()

Получает значение serialNumber из сертификата. Номер сертификата — целое число, назначенное центром сертификации каждому сертификату. Он должен быть уникальным для каждого сертификата, выданного данным ЦС (т.е., имя издателя и номер сертификата идентифицируют уникальный сертификат). Определение ASN.1 для этого:

 serialNumber     CertificateSerialNumber

 CertificateSerialNumber  ::=  INTEGER
 

@Deprecated(since="16") public abstract Principal getIssuerDN()

Получает значение issuer (имя субъекта-выдающего органа) из сертификата. Имя издателя идентифицирует сущность, которая подписала (и выпустила) сертификат.

Поле имени издателя содержит расширенное имя X.500 (DN). Определение ASN.1 для этого:

 issuer    Name

 Name ::= CHOICE { RDNSequence }
 RDNSequence ::= SEQUENCE OF RelativeDistinguishedName
 RelativeDistinguishedName ::=
     SET OF AttributeValueAssertion

 AttributeValueAssertion ::= SEQUENCE {
                               AttributeType,
                               AttributeValue }
 AttributeType ::= OBJECT IDENTIFIER
 AttributeValue ::= ANY
 

Name описывает иерархическое имя, состоящее из атрибутов, таких как имя страны, и соответствующих значений, таких как США. Тип компонента AttributeValue определяется AttributeType; в общем случае это будет directoryString. directoryString обычно является одним из PrintableString, TeletexString или UniversalString.

public X500Principal getIssuerX500Principal()

Возвращает значение издателя (расширенное имя субъекта-выдающего органа) из сертификата в виде X500Principal.

Рекомендуется, чтобы подклассы переопределяли этот метод.

@Deprecated(since="16") public abstract Principal getSubjectDN()

Получает значение subject (расширенное имя субъекта) из сертификата. Если значение subject пустое, то метод getName() возвращаемого объекта Principal возвращает пустую строку ("").

Определение ASN.1 для этого:

 subject    Name
 

См. getIssuerDN для Name и других соответствующих определений.

public X500Principal getSubjectX500Principal()

Возвращает значение субъекта (расширенное имя субъекта) из сертификата как X500Principal. Если значение субъекта пустое, то метод getName() возвращаемого объекта X500Principal возвращает пустую строку ("").

Рекомендуется, чтобы подклассы переопределяли этот метод.

public abstract Date getNotBefore()

Получает notBefore дату из периода действия сертификата. Соответствующие определения ASN.1:

 validity             Validity

 Validity ::= SEQUENCE {
     notBefore      CertificateValidityDate,
     notAfter       CertificateValidityDate }

 CertificateValidityDate ::= CHOICE {
     utcTime        UTCTime,
     generalTime    GeneralizedTime }
 

public abstract Date getNotAfter()

Получает notAfter дату из периода действия сертификата. См. getNotBefore для соответствующих определений ASN.1.

public abstract byte[] getTBSCertificate() throws CertificateEncodingException

Получает закодированные в DER данные о сертификате, tbsCertificate из этого сертификата. Это можно использовать для независимой проверки подписи.

public abstract byte[] getSignature()

Получает значение signature (сырые биты подписи) из сертификата. Определение ASN.1 для этого:

 signature     BIT STRING
 

public abstract String getSigAlgName()

Получает имя алгоритма подписи для алгоритма подписи сертификата. Пример — строка "SHA256withRSA". Определение ASN.1 для этого:

 signatureAlgorithm   AlgorithmIdentifier

 AlgorithmIdentifier  ::=  SEQUENCE  {
     algorithm               OBJECT IDENTIFIER,
     parameters              ANY DEFINED BY algorithm OPTIONAL  }
                             -- contains a value of the type
                             -- registered for use with the
                             -- algorithm object identifier value
 

Имя алгоритма определяется из строки OID algorithm.

public abstract String getSigAlgOID()

Получает строку OID алгоритма подписи из сертификата. OID представлен набором неотрицательных целых чисел, разделенных точками. Например, строка "1.2.840.10040.4.3" идентифицирует алгоритм подписи SHA-1 с DSA, определенный в RFC 3279: Алгоритмы и идентификаторы для инфраструктуры открытых ключей Интернет X.509, сертификаты и профили CRL.

См. getSigAlgName для соответствующих определений ASN.1.

public abstract byte[] getSigAlgParams()

Получает закодированные в DER параметры алгоритма подписи из алгоритма подписи этого сертификата. В большинстве случаев параметры алгоритма подписи равны null; параметры обычно предоставляются с открытым ключом сертификата. Если нужен доступ к отдельным значениям параметров, используйте AlgorithmParameters и инициализируйте его именем, возвращенным getSigAlgName.

См. getSigAlgName для соответствующих определений ASN.1.

public abstract boolean[] getIssuerUniqueID()

Получает значение issuerUniqueID из сертификата. Уникальный идентификатор издателя присутствует в сертификате, чтобы учесть возможность повторного использования имен издателей со временем. RFC 5280 рекомендует не повторно использовать имена и не использовать уникальные идентификаторы в соответствующих сертификатах. Приложения, соответствующие этому профилю, должны уметь анализировать уникальные идентификаторы и сравнивать их.

Определение ASN.1 для этого:

 issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL

 UniqueIdentifier  ::=  BIT STRING
 

public abstract boolean[] getSubjectUniqueID()

Получает значение subjectUniqueID из сертификата.

Определение ASN.1 для этого:

 subjectUniqueID  [2]  IMPLICIT UniqueIdentifier OPTIONAL

 UniqueIdentifier  ::=  BIT STRING
 

public abstract boolean[] getKeyUsage()

Получает булевый массив, представляющий биты расширения KeyUsage, (OID = 2.5.29.15). Расширение key usage определяет назначение (например, шифрование, подпись, подписание сертификата) ключа, содержащегося в сертификате. Определение ASN.1 для этого:

 KeyUsage ::= BIT STRING {
     digitalSignature        (0),
     nonRepudiation          (1),
     keyEncipherment         (2),
     dataEncipherment        (3),
     keyAgreement            (4),
     keyCertSign             (5),
     cRLSign                 (6),
     encipherOnly            (7),
     decipherOnly            (8) }
 

RFC 5280 рекомендует помечать его как критическое расширение, если оно используется.

public List<String> getExtendedKeyUsage() throws CertificateParsingException

Получает неизменяемый список строк, представляющих идентификаторы OBJECT, поля ExtKeyUsageSyntax расширения extended key usage, (OID = 2.5.29.37). Оно указывает одно или несколько назначений, для которых сертифицированный открытый ключ может быть использован дополнительно или вместо основных назначений, указанных в поле расширения key usage. Определение ASN.1 для этого:

 ExtKeyUsageSyntax ::= SEQUENCE SIZE (1..MAX) OF KeyPurposeId

 KeyPurposeId ::= OBJECT IDENTIFIER
 

Цели ключей могут быть определены любой организацией, имеющей в этом необходимость. Идентификаторы объектов, используемые для идентификации целей ключей, должны быть назначены в соответствии с IANA или ITU-T Rec. X.660 | ISO/IEC/ITU 9834-1.

Этот метод был добавлен в версию 1.4 платформы Java 2 Standard Edition. Для сохранения обратной совместимости с существующими поставщиками услуг, этот метод не abstract и он предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с корректной реализацией.

public abstract int getBasicConstraints()

Получает длину пути ограничения сертификата из критического расширения BasicConstraints, (OID = 2.5.29.19).

Расширение базовых ограничений определяет, является ли субъект сертификата центром сертификации (CA) и как глубоко может существовать путь сертификации через этот CA. Поле pathLenConstraint (см. ниже) имеет смысл только если cA установлено в TRUE. В этом случае, оно задаёт максимальное количество сертификатов CA, которые могут следовать за этим сертификатом в пути сертификации. Значение ноль указывает, что за этим сертификатом в пути может следовать только сертификат конечного пользователя.

Определение ASN.1 для этого:

 BasicConstraints ::= SEQUENCE {
     cA                  BOOLEAN DEFAULT FALSE,
     pathLenConstraint   INTEGER (0..MAX) OPTIONAL }
 

public Collection<List<?>> getSubjectAlternativeNames() throws CertificateParsingException

Получает неизменяемую коллекцию альтернативных имён субъекта из расширения SubjectAltName, (OID = 2.5.29.17).

Определение ASN.1 расширения SubjectAltName такое:

 SubjectAltName ::= GeneralNames

 GeneralNames :: = SEQUENCE SIZE (1..MAX) OF GeneralName

 GeneralName ::= CHOICE {
      otherName                       [0]     OtherName,
      rfc822Name                      [1]     IA5String,
      dNSName                         [2]     IA5String,
      x400Address                     [3]     ORAddress,
      directoryName                   [4]     Name,
      ediPartyName                    [5]     EDIPartyName,
      uniformResourceIdentifier       [6]     IA5String,
      iPAddress                       [7]     OCTET STRING,
      registeredID                    [8]     OBJECT IDENTIFIER}
 

Если этот сертификат не содержит расширения SubjectAltName, возвращается null. В противном случае возвращается Collection, содержащий запись, представляющую каждое GeneralName включённое в расширение. Каждая запись представляет собой List, первая запись которой является Integer (тип имени, 0-8), а вторая запись — String или массив байтов (имя, в строковом или ASN.1 DER-закодированном виде соответственно).

Имена RFC 822, DNS и URI возвращаются как String с использованием устоявшихся строковых форматов для этих типов (в соответствии с ограничениями, указанными в RFC 5280). Имена адресов IPv4 возвращаются с использованием обозначения точки-тире. Имена адресов IPv6 возвращаются в формате "a1:a2:...:a8", где a1-a8 — шестнадцатеричные значения, представляющие восемь 16-битных частей адреса. Имена OID возвращаются как String в виде последовательности неотрицательных целых чисел, разделенных точками. Имена каталога (различительные имена) возвращаются в строковом формате RFC 2253. Для других имен, имён X.400, имён сторон EDI или любого другого типа имен не определён стандартный строковый формат. Они возвращаются как массивы байтов, содержащие ASN.1 DER-закодированную форму имени.

Обратите внимание, что возвращаемая коллекция Collection может содержать более одного имени одного типа. Также обратите внимание, что возвращаемая коллекция Collection неизменяемая, и любые записи, содержащие массивы байтов, клонируются для защиты от последующих изменений.

Этот метод был добавлен в версию 1.4 платформы Java 2 Platform Standard Edition. Для сохранения обратной совместимости с существующими поставщиками услуг этот метод не abstract и предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с корректной реализацией.

public Collection<List<?>> getIssuerAlternativeNames() throws CertificateParsingException

Получает неизменяемую коллекцию альтернативных имён издателя из расширения IssuerAltName, (OID = 2.5.29.18).

Определение ASN.1 расширения IssuerAltName такое:

 IssuerAltName ::= GeneralNames
 

Определение ASN.1 GeneralNames определено в getSubjectAlternativeNames.

Если этот сертификат не содержит расширение IssuerAltName, возвращается null. В противном случае возвращается Collection, содержащий запись, представляющую каждое GeneralName включённое в расширение. Каждая запись представляет собой List, первая запись которой является Integer (тип имени, 0-8), а вторая запись — String или массив байтов (имя, в строковом или ASN.1 DER-закодированном виде соответственно). Более подробную информацию о форматах, используемых для каждого типа имени, см. в методе getSubjectAlternativeNames.

Обратите внимание, что возвращаемая коллекция Collection может содержать более одного имени одного типа. Также обратите внимание, что возвращаемая коллекция Collection неизменяемая, и любые записи, содержащие массивы байтов, клонируются для защиты от последующих изменений.

Этот метод был добавлен в версию 1.4 платформы Java 2 Platform Standard Edition. Для сохранения обратной совместимости с существующими поставщиками услуг, этот метод не abstract и предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с корректной реализацией.

public void verify(PublicKey key, Provider sigProvider) throws CertificateException, NoSuchAlgorithmException, InvalidKeyException, SignatureException

Проверяет, был ли этот сертификат подписан с использованием закрытого ключа, соответствующего указанному открытому ключу. Этот метод использует движок проверки подписи, предоставленный указанным поставщиком. Обратите внимание, что указанный объект Provider не обязательно должен быть зарегистрирован в списке поставщиков. Этот метод был добавлен в версию 1.8 платформы Java Standard Edition. Для сохранения обратной совместимости с существующими поставщиками услуг, этот метод не abstract и предоставляет реализацию по умолчанию.