Интерфейс X509Extension

Все известные реализующие классы:: X509Certificate, X509CRL, X509CRLEntry

public interface X509Extension

Интерфейс для расширения X.509.

Расширения, определённые для X.509 v3 Certificates и v2 CRLs (списки отозванных сертификатов) предоставляют методы для связывания дополнительных атрибутов с пользователями или открытыми ключами, для управления иерархией сертификации и управления распределением списков отозванных сертификатов. Формат расширений X.509 также позволяет сообществам определять частные расширения для переноса информации, уникальной для этих сообществ.

Каждое расширение в сертификате/списке отозванных сертификатов может быть обозначено как критическое или некритическое. Система, использующая сертификат/список отозванных сертификатов (приложение, проверяющее сертификат/список отозванных сертификатов), должна отклонить сертификат/список отозванных сертификатов, если она обнаружит критическое расширение, которое она не распознаёт. Некритическое расширение может быть проигнорировано, если оно не распознаётся.

Определение ASN.1 для этого:

 Extensions  ::=  SEQUENCE SIZE (1..MAX) OF Extension

 Extension  ::=  SEQUENCE  {
     extnId        OBJECT IDENTIFIER,
     critical      BOOLEAN DEFAULT FALSE,
     extnValue     OCTET STRING
                   -- contains a DER encoding of a value
                   -- of the type registered for use with
                   -- the extnId object identifier value
 }

Поскольку не все расширения известны, метод getExtensionValue возвращает закодированную в DER строку OCTET значения расширения (т.е., extnValue). Затем этим можно обработать с помощью класса, который понимает расширение.

С:: 1.2

Краткое описание методов

Модификатор и тип	Метод	Описание
`Set<String>`	`getCriticalExtensionOIDs()`	Возвращает набор строк OID для расширений, помеченных КРИТИЧЕСКИМИ в сертификате/списке отозванных сертификатов, управляемых объектом, реализующим данный интерфейс.
`byte[]`	`getExtensionValue(String oid)`	Возвращает закодированную в DER строку OCTET для значения расширения (extnValue), идентифицированного переданной строкой `oid`.
`Set<String>`	`getNonCriticalExtensionOIDs()`	Возвращает набор строк OID для расширений, помеченных НЕКРИТИЧЕСКИМИ в сертификате/списке отозванных сертификатов, управляемых объектом, реализующим данный интерфейс.
`boolean`	`hasUnsupportedCriticalExtension()`	Проверяет наличие критического расширения, которое не поддерживается.

Подробное описание методов

hasUnsupportedCriticalExtension

boolean hasUnsupportedCriticalExtension()

Проверяет наличие критического расширения, которое не поддерживается.

Возвращает:: true если найдено критическое расширение, которое не поддерживается, иначе false.

getCriticalExtensionOIDs

Set<String> getCriticalExtensionOIDs()

Возвращает набор строк OID для расширений, помеченных КРИТИЧЕСКИМИ в сертификате/списке отозванных сертификатов, управляемых объектом, реализующим данный интерфейс. Вот пример кода получения набора критических расширений из X509Certificate и вывода OID:


 X509Certificate cert = null;
 try (InputStream inStrm = new FileInputStream("DER-encoded-Cert")) {
     CertificateFactory cf = CertificateFactory.getInstance("X.509");
     cert = (X509Certificate)cf.generateCertificate(inStrm);
 }

 Set<String> critSet = cert.getCriticalExtensionOIDs();
 if (critSet != null && !critSet.isEmpty()) {
     System.out.println("Set of critical extensions:");
     for (String oid : critSet) {
         System.out.println(oid);
     }
 }

Возвращает:: множество (или пустое множество, если таких нет) строк OID расширений, помеченных как критические. Если расширений вообще нет, этот метод возвращает null.

getNonCriticalExtensionOIDs

Set<String> getNonCriticalExtensionOIDs()

Возвращает набор строк OID для расширений, помеченных НЕКРИТИЧЕСКИМИ в сертификате/списке отозванных сертификатов, управляемых объектом, реализующим данный интерфейс. Вот пример кода получения набора некритических расширений из записи отозванного сертификата X509CRL и вывода OID:


 CertificateFactory cf = null;
 X509CRL crl = null;
 try (InputStream inStrm = new FileInputStream("DER-encoded-CRL")) {
     cf = CertificateFactory.getInstance("X.509");
     crl = (X509CRL)cf.generateCRL(inStrm);
 }

 byte[] certData = <DER-encoded certificate data>
 ByteArrayInputStream bais = new ByteArrayInputStream(certData);
 X509Certificate cert = (X509Certificate)cf.generateCertificate(bais);
 X509CRLEntry badCert =
              crl.getRevokedCertificate(cert.getSerialNumber());

 if (badCert != null) {
     Set<String> nonCritSet = badCert.getNonCriticalExtensionOIDs();
     if (nonCritSet != null)
         for (String oid : nonCritSet) {
             System.out.println(oid);
         }
 }

Возвращает:: множество (или пустое множество, если таких нет) строк OID расширений, помеченных как некритические. Если расширений вообще нет, этот метод возвращает null.

getExtensionValue

byte[] getExtensionValue(String oid)

Возвращает закодированную в DER строку OCTET для значения расширения (extnValue), идентифицированного переданной строкой oid. Строка oid представлена набором неотрицательных целых чисел, разделённых точками.

Например:

Примеры OID и имён расширений
OID (Идентификатор объекта)	Имя расширения
2.5.29.14	SubjectKeyIdentifier
2.5.29.15	KeyUsage
2.5.29.16	PrivateKeyUsage
2.5.29.17	SubjectAlternativeName
2.5.29.18	IssuerAlternativeName
2.5.29.19	BasicConstraints
2.5.29.30	NameConstraints
2.5.29.33	PolicyMappings
2.5.29.35	AuthorityKeyIdentifier
2.5.29.36	PolicyConstraints

Параметры:: oid - значение идентификатора объекта для расширения.
Возвращает:: строку DER-закодированных октетов значения расширения или null, если его нет.

© 1993, 2023, Oracle and/or its affiliates. All rights reserved.
Documentation extracted from Debian's OpenJDK Development Kit package.
Licensed under the GNU General Public License, version 2, with the Classpath Exception.
Various third party code in OpenJDK is licensed under different licenses (see Debian package).
Java and OpenJDK are trademarks or registered trademarks of Oracle and/or its affiliates.
https://docs.oracle.com/en/java/javase/21/docs/api/java.base/java/security/cert/X509Extension.html