Интерфейс X509Extension

Все известные реализующие классы:: X509Certificate, X509CRL, X509CRLEntry

public interface X509Extension

Интерфейс для расширения X.509.

Расширения, определённые для X.509 v3 Certificates и v2 CRLs (списки отозванных сертификатов) предоставляют методы для ассоциации дополнительных атрибутов с пользователями или открытыми ключами, для управления иерархией сертификации и для управления распространением списков отозванных сертификатов. Формат расширений X.509 также позволяет сообществам определять частные расширения для переноса информации, уникальной для этих сообществ.

Каждое расширение в сертификате/списке отозванных сертификатов может быть обозначено как критически важное или некритически важное. Система, использующая сертификат/список отозванных сертификатов (приложение, валидирующее сертификат/список отозванных сертификатов), должна отклонить сертификат/список отозванных сертификатов, если она столкнется с критическим расширением, которое она не распознаёт. Некритическое расширение может быть проигнорировано, если оно не распознаётся.

Определение ASN.1 для этого:

 Extensions  ::=  SEQUENCE SIZE (1..MAX) OF Extension

 Extension  ::=  SEQUENCE  {
     extnId        OBJECT IDENTIFIER,
     critical      BOOLEAN DEFAULT FALSE,
     extnValue     OCTET STRING
                   -- contains a DER encoding of a value
                   -- of the type registered for use with
                   -- the extnId object identifier value
 }

Поскольку не все расширения известны, метод getExtensionValue возвращает закодированную в DER строку OCTET значения расширения (т.е., extnValue). Это затем может быть обработано классом, понимающим это расширение.

С:: 1.2

Краткое описание методов

Модификатор и тип	Метод	Описание
`Set<String>`	`getCriticalExtensionOIDs()`	Получает набор строк OID для расширений, помеченных как КРИТИЧЕСКИЕ в сертификате/списке отозванных сертификатов, управляемом объектом, реализующим этот интерфейс.
`byte[]`	`getExtensionValue(String oid)`	Получает строку OCTET, закодированную в DER, для значения расширения (extnValue), идентифицированного переданной строкой `oid`.
`Set<String>`	`getNonCriticalExtensionOIDs()`	Получает набор строк OID для расширений, помеченных как НЕКРИТИЧЕСКИЕ в сертификате/списке отозванных сертификатов, управляемом объектом, реализующим этот интерфейс.
`boolean`	`hasUnsupportedCriticalExtension()`	Проверка наличия критического расширения, которое не поддерживается.

Подробное описание методов

hasUnsupportedCriticalExtension

boolean hasUnsupportedCriticalExtension()

Проверка наличия критического расширения, которое не поддерживается.

Возвращает:: true если найдено критическое расширение, которое не поддерживается, иначе false.

getCriticalExtensionOIDs

Set<String> getCriticalExtensionOIDs()

Получает набор строк OID для расширений, помеченных как КРИТИЧЕСКИЕ в сертификате/списке отозванных сертификатов, управляемом объектом, реализующим этот интерфейс. Вот пример кода для получения набора критических расширений из X509Certificate и вывода OID:


 X509Certificate cert = null;
 try (InputStream inStrm = new FileInputStream("DER-encoded-Cert")) {
     CertificateFactory cf = CertificateFactory.getInstance("X.509");
     cert = (X509Certificate)cf.generateCertificate(inStrm);
 }

 Set<String> critSet = cert.getCriticalExtensionOIDs();
 if (critSet != null && !critSet.isEmpty()) {
     System.out.println("Set of critical extensions:");
     for (String oid : critSet) {
         System.out.println(oid);
     }
 }

Возвращает:: набор (или пустой набор, если таковых нет) строк OID расширений для расширений, помеченных как критические. Если расширений вообще нет, то этот метод возвращает null.

getNonCriticalExtensionOIDs

Set<String> getNonCriticalExtensionOIDs()

Получает набор строк OID для расширений, помеченных как НЕКРИТИЧЕСКИЕ в сертификате/списке отозванных сертификатов, управляемом объектом, реализующим этот интерфейс. Вот пример кода для получения набора некритических расширений из записи сертификата X509CRL и вывода OID:


 CertificateFactory cf = null;
 X509CRL crl = null;
 try (InputStream inStrm = new FileInputStream("DER-encoded-CRL")) {
     cf = CertificateFactory.getInstance("X.509");
     crl = (X509CRL)cf.generateCRL(inStrm);
 }

 byte[] certData = <DER-encoded certificate data>
 ByteArrayInputStream bais = new ByteArrayInputStream(certData);
 X509Certificate cert = (X509Certificate)cf.generateCertificate(bais);
 X509CRLEntry badCert =
              crl.getRevokedCertificate(cert.getSerialNumber());

 if (badCert != null) {
     Set<String> nonCritSet = badCert.getNonCriticalExtensionOIDs();
     if (nonCritSet != null)
         for (String oid : nonCritSet) {
             System.out.println(oid);
         }
 }

Возвращает:: набор (или пустой набор, если таковых нет) строк OID расширений для расширений, помеченных как некритические. Если расширений вообще нет, то этот метод возвращает null.

getExtensionValue

byte[] getExtensionValue(String oid)

Получает строку OCTET, закодированную в DER, для значения расширения (extnValue), идентифицированного переданной строкой oid. Строка oid представлена набором неотрицательных целых чисел, разделённых точками.

Например:

Примеры OID и имён расширений
OID (Идентификатор объекта)	Имя расширения
2.5.29.14	SubjectKeyIdentifier
2.5.29.15	KeyUsage
2.5.29.16	PrivateKeyUsage
2.5.29.17	SubjectAlternativeName
2.5.29.18	IssuerAlternativeName
2.5.29.19	BasicConstraints
2.5.29.30	NameConstraints
2.5.29.33	PolicyMappings
2.5.29.35	AuthorityKeyIdentifier
2.5.29.36	PolicyConstraints

Параметры:: oid - значение идентификатора объекта для расширения.
Возвращает:: строку DER-закодированного octet значения расширения или null, если она отсутствует.

© 1993, 2021, Oracle and/or its affiliates. All rights reserved.
Documentation extracted from Debian's OpenJDK Development Kit package.
Licensed under the GNU General Public License, version 2, with the Classpath Exception.
Various third party code in OpenJDK is licensed under different licenses (see Debian package).
Java and OpenJDK are trademarks or registered trademarks of Oracle and/or its affiliates.
https://docs.oracle.com/en/java/javase/17/docs/api/java.base/java/security/cert/X509Extension.html