Класс X509Certificate

protected X509Certificate()

Конструктор для сертификатов X.509.

public abstract void checkValidity() throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, является ли сертификат в настоящее время действительным. Он действителен, если текущая дата и время находятся в пределах срока действия, указанного в сертификате.

Срок действия состоит из двух значений даты/времени: начальной и конечной дат (и времени), в течение которых сертификат действителен. Он определен в ASN.1 как:

 validity             Validity

 Validity ::= SEQUENCE {
     notBefore      CertificateValidityDate,
     notAfter       CertificateValidityDate }

 CertificateValidityDate ::= CHOICE {
     utcTime        UTCTime,
     generalTime    GeneralizedTime }
 

public abstract void checkValidity(Date date) throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, находится ли заданная дата в пределах срока действия сертификата. Другими словами, это определяет, будет ли сертификат действителен в заданную дату/время.

public abstract int getVersion()

Получает значение version (номер версии) из сертификата. Определение ASN.1 для этого:

 version  [0] EXPLICIT Version DEFAULT v1

 Version ::=  INTEGER  {  v1(0), v2(1), v3(2)  }
 

public abstract BigInteger getSerialNumber()

Получает значение serialNumber из сертификата. Номер сертификата — целое число, присваиваемое центром сертификации каждому сертификату. Он должен быть уникальным для каждого сертификата, выпущенного данным ЦС (т.е. имя издателя и номер сертификата идентифицируют уникальный сертификат). Определение ASN.1 для этого:

 serialNumber     CertificateSerialNumber

 CertificateSerialNumber  ::=  INTEGER
 

@Deprecated(since="16") public abstract Principal getIssuerDN()

Получает значение issuer (имя субъекта-издателя) из сертификата. Имя издателя идентифицирует сущность, подписавшую (и выпустившую) сертификат.

Поле имени издателя содержит имя X.500 (DN). Определение ASN.1 для этого:

 issuer    Name

 Name ::= CHOICE { RDNSequence }
 RDNSequence ::= SEQUENCE OF RelativeDistinguishedName
 RelativeDistinguishedName ::=
     SET OF AttributeValueAssertion

 AttributeValueAssertion ::= SEQUENCE {
                               AttributeType,
                               AttributeValue }
 AttributeType ::= OBJECT IDENTIFIER
 AttributeValue ::= ANY
 

Name описывает иерархическое имя, составленное из атрибутов, таких как имя страны, и соответствующих значений, таких как US. Тип компоненты AttributeValue определяется AttributeType; как правило, это directoryString. directoryString обычно является одним из PrintableString, TeletexString или UniversalString.

public X500Principal getIssuerX500Principal()

Возвращает значение издателя (имя субъекта-издателя) из сертификата в виде X500Principal.

Рекомендуется, чтобы подклассы переопределяли этот метод.

@Deprecated(since="16") public abstract Principal getSubjectDN()

Получает значение subject (имя субъекта) из сертификата. Если значение subject пустое, то метод getName() возвращаемого объекта Principal возвращает пустую строку ("").

Определение ASN.1 для этого:

 subject    Name
 

См. getIssuerDN для Name и других соответствующих определений.

public X500Principal getSubjectX500Principal()

Возвращает значение субъекта (имя субъекта) из сертификата в виде X500Principal. Если значение субъекта пустое, то метод getName() возвращаемого объекта X500Principal возвращает пустую строку ("").

Рекомендуется, чтобы подклассы переопределяли этот метод.

public abstract Date getNotBefore()

Получает notBefore дату из периода действия сертификата. Соответствующие определения ASN.1:

 validity             Validity

 Validity ::= SEQUENCE {
     notBefore      CertificateValidityDate,
     notAfter       CertificateValidityDate }

 CertificateValidityDate ::= CHOICE {
     utcTime        UTCTime,
     generalTime    GeneralizedTime }
 

public abstract Date getNotAfter()

Получает notAfter дату из периода действия сертификата. См. getNotBefore для соответствующих определений ASN.1.

public abstract byte[] getTBSCertificate() throws CertificateEncodingException

Получает закодированную в DER информацию о сертификате, tbsCertificate из этого сертификата. Это можно использовать для независимой проверки подписи.

public abstract byte[] getSignature()

Получает значение signature (сырые биты подписи) из сертификата. Определение ASN.1 для этого:

 signature     BIT STRING
 

public abstract String getSigAlgName()

Получает имя алгоритма подписи для алгоритма подписи сертификата. Пример — строка "SHA256withRSA". Определение ASN.1 для этого:

 signatureAlgorithm   AlgorithmIdentifier

 AlgorithmIdentifier  ::=  SEQUENCE  {
     algorithm               OBJECT IDENTIFIER,
     parameters              ANY DEFINED BY algorithm OPTIONAL  }
                             -- contains a value of the type
                             -- registered for use with the
                             -- algorithm object identifier value
 

Имя алгоритма определяется по строке OID algorithm.

public abstract String getSigAlgOID()

Получает строку OID алгоритма подписи из сертификата. OID представлен набором неотрицательных целых чисел, разделенных точками. Например, строка "1.2.840.10040.4.3" идентифицирует алгоритм подписи SHA-1 с DSA, определенный в RFC 3279: Algorithms and Identifiers for the Internet X.509 Public Key Infrastructure Certificate and CRL Profile.

См. getSigAlgName для соответствующих определений ASN.1.

public abstract byte[] getSigAlgParams()

Получает параметры алгоритма подписи в формате DER из алгоритма подписи этого сертификата. В большинстве случаев параметры алгоритма подписи равны null; параметры обычно предоставляются с открытым ключом сертификата. Если требуется доступ к отдельным значениям параметров, используйте AlgorithmParameters и инициализируйте его именем, возвращаемым getSigAlgName.

См. getSigAlgName для соответствующих определений ASN.1.

public abstract boolean[] getIssuerUniqueID()

Получает значение issuerUniqueID из сертификата. Уникальный идентификатор издателя присутствует в сертификате для обработки возможности повторного использования имен издателей со временем. RFC 5280 рекомендует не повторно использовать имена и не использовать уникальные идентификаторы в соответствующих сертификатах. Приложения, соответствующие этому профилю, должны уметь анализировать уникальные идентификаторы и проводить сравнения.

Определение ASN.1 для этого:

 issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL

 UniqueIdentifier  ::=  BIT STRING
 

public abstract boolean[] getSubjectUniqueID()

Получает значение subjectUniqueID из сертификата.

Определение ASN.1 для этого:

 subjectUniqueID  [2]  IMPLICIT UniqueIdentifier OPTIONAL

 UniqueIdentifier  ::=  BIT STRING
 

public abstract boolean[] getKeyUsage()

Получает булевый массив, представляющий биты расширения KeyUsage, (OID = 2.5.29.15). Расширение ключевого использования определяет назначение (например, шифрование, подпись, подпись сертификата) ключа, содержащегося в сертификате. Определение ASN.1 для этого:

 KeyUsage ::= BIT STRING {
     digitalSignature        (0),
     nonRepudiation          (1),
     keyEncipherment         (2),
     dataEncipherment        (3),
     keyAgreement            (4),
     keyCertSign             (5),
     cRLSign                 (6),
     encipherOnly            (7),
     decipherOnly            (8) }
 

RFC 5280 рекомендует, при использовании, отмечать это как критическое расширение.

public List<String> getExtendedKeyUsage() throws CertificateParsingException

Получает неизменяемый список строк, представляющих OBJECT IDENTIFIERы поля ExtKeyUsageSyntax расширения расширенного ключевого использования, (OID = 2.5.29.37). Оно указывает одно или несколько назначений, для которых сертифицированный открытый ключ может использоваться, помимо или вместо основных назначений, указанных в поле расширения ключевого использования. Определение ASN.1 для этого:

 ExtKeyUsageSyntax ::= SEQUENCE SIZE (1..MAX) OF KeyPurposeId

 KeyPurposeId ::= OBJECT IDENTIFIER
 

Цели использования ключей могут быть определены любой организацией, нуждающейся в этом. Идентификаторы объектов, используемые для идентификации целей ключа, должны быть назначены в соответствии с IANA или ITU-T Rec. X.660 | ISO/IEC/ITU 9834-1.

Этот метод был добавлен в версию 1.4 Java 2 Platform Standard Edition. Для поддержания обратной совместимости с существующими поставщиками услуг, этот метод не abstract и он предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с правильной реализацией.

public abstract int getBasicConstraints()

Получает длину пути ограничений сертификата из критического BasicConstraints расширения, (OID = 2.5.29.19).

Расширение базовых ограничений определяет, является ли субъект сертификата центром сертификации (ЦС) и насколько глубоким может быть путь сертификации через этот ЦС. Поле pathLenConstraint (см. ниже) имеет смысл только если cA установлено в TRUE. В этом случае оно даёт максимальное количество сертификатов ЦС, которые могут следовать за этим сертификатом в пути сертификации. Значение ноль указывает, что за ним в пути может следовать только сертификат конечного пользователя.

Определение ASN.1 для этого:

 BasicConstraints ::= SEQUENCE {
     cA                  BOOLEAN DEFAULT FALSE,
     pathLenConstraint   INTEGER (0..MAX) OPTIONAL }
 

public Collection<List<?>> getSubjectAlternativeNames() throws CertificateParsingException

Получает неизменяемую коллекцию альтернативных имён субъекта из SubjectAltName расширения, (OID = 2.5.29.17).

Определение ASN.1 расширения SubjectAltName :

 SubjectAltName ::= GeneralNames

 GeneralNames :: = SEQUENCE SIZE (1..MAX) OF GeneralName

 GeneralName ::= CHOICE {
      otherName                       [0]     OtherName,
      rfc822Name                      [1]     IA5String,
      dNSName                         [2]     IA5String,
      x400Address                     [3]     ORAddress,
      directoryName                   [4]     Name,
      ediPartyName                    [5]     EDIPartyName,
      uniformResourceIdentifier       [6]     IA5String,
      iPAddress                       [7]     OCTET STRING,
      registeredID                    [8]     OBJECT IDENTIFIER}

 OtherName ::= SEQUENCE {
      type-id    OBJECT IDENTIFIER,
      value      [0] EXPLICIT ANY DEFINED BY type-id }
 

Если этот сертификат не содержит расширения SubjectAltName, возвращается null. В противном случае возвращается Collection, содержащий запись для каждого GeneralName в расширении. Каждая запись представляет собой List, где первая запись — это Integer (тип имени, 0-8), а вторая — String или массив байтов (имя в строковом или ASN.1 DER-закодированном формате соответственно). Может быть больше записей в зависимости от типа имени.

Имена RFC 822, DNS и URI возвращаются как String , используя устоявшиеся строковые форматы для этих типов (в соответствии с ограничениями, указанными в RFC 5280). Имена адресов IPv4 возвращаются в формате точка-тире. Имена адресов IPv6 возвращаются в формате "a1:a2:...:a8", где a1-a8 — шестнадцатеричные значения, представляющие восемь 16-битных частей адреса. Имена OID возвращаются как String , представленные как серия неотрицательных целых чисел, разделённых точками. Имена каталога (различительные имена) возвращаются в строковом формате RFC 2253. Для имён X.400 или имён сторон EDI не определён стандартный строковый формат. Они возвращаются как массивы байтов, содержащие ASN.1 DER-закодированную форму имени. Другие имена также возвращаются как массивы байтов, содержащие ASN.1 DER-закодированную форму имени. В списке также может быть третья запись, содержащая type-id имени otherName в строковом формате, и четвёртая запись, содержащая его value в виде строки (если значение является допустимой поддерживаемой строкой символов) или массива байтов, содержащего ASN.1 DER-закодированную форму значения без контекстно-специфического составного тега с номером 0.

Обратите внимание, что возвращённая Collection может содержать более одного имени одного типа. Также обратите внимание, что возвращаемая Collection неизменяема, и любые записи, содержащие массивы байтов, дублируются, чтобы предотвратить последующие изменения.

Этот метод был добавлен в версию 1.4 Java 2 Platform Standard Edition. Для поддержания обратной совместимости с существующими поставщиками услуг, этот метод не abstract и он предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с правильной реализацией.

public Collection<List<?>> getIssuerAlternativeNames() throws CertificateParsingException

Получает неизменяемую коллекцию альтернативных имён эмитента из IssuerAltName расширения, (OID = 2.5.29.18).

Определение ASN.1 расширения IssuerAltName :

 IssuerAltName ::= GeneralNames
 

Определение ASN.1 для GeneralNames определено в getSubjectAlternativeNames.

Если этот сертификат не содержит расширения IssuerAltName, возвращается null. В противном случае возвращается Collection, содержащий запись для каждого GeneralName в расширении. Каждая запись представляет собой List, где первая запись — это Integer (тип имени, 0-8), а вторая — String или массив байтов (имя в строковом или ASN.1 DER-закодированном формате соответственно). Может быть больше записей в зависимости от типа имени. Более подробную информацию о форматах, используемых для каждого типа имени, см. в методе getSubjectAlternativeNames.

Обратите внимание, что возвращаемая Collection может содержать более одного имени одного типа. Также обратите внимание, что возвращаемая Collection неизменяема, и любые записи, содержащие массивы байтов, дублируются, чтобы предотвратить последующие изменения.

Этот метод был добавлен в версию 1.4 Java 2 Platform Standard Edition. Для поддержания обратной совместимости с существующими поставщиками услуг, этот метод не abstract и он предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с правильной реализацией.

public void verify(PublicKey key, Provider sigProvider) throws CertificateException, NoSuchAlgorithmException, InvalidKeyException, SignatureException

Проверяет, был ли этот сертификат подписан с использованием закрытого ключа, соответствующего указанному открытому ключу. Этот метод использует движок проверки подписи, предоставленный указанным поставщиком. Обратите внимание, что указанный объект поставщика не обязательно должен быть зарегистрирован в списке поставщиков. Этот метод был добавлен в версию 1.8 Java Platform Standard Edition. Для поддержания обратной совместимости с существующими поставщиками услуг, этот метод не abstract и он предоставляет реализацию по умолчанию.