Класс X509Certificate

protected X509Certificate()

Конструктор для сертификатов X.509.

public abstract void checkValidity() throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, является ли сертификат в настоящее время действительным. Действителен, если текущая дата и время находятся в пределах срока действия, указанного в сертификате.

Срок действия состоит из двух значений даты/времени: начальной и конечной дат (и времени), в течение которых сертификат действителен. Определяется в ASN.1 как:

 validity             Validity

 Validity ::= SEQUENCE {
     notBefore      CertificateValidityDate,
     notAfter       CertificateValidityDate }

 CertificateValidityDate ::= CHOICE {
     utcTime        UTCTime,
     generalTime    GeneralizedTime }
 

public abstract void checkValidity(Date date) throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, попадает ли заданная дата в срок действия сертификата. Другими словами, это определяет, был бы сертификат действителен в заданную дату/время.

public abstract int getVersion()

Возвращает значение version (номер версии) из сертификата. Определение ASN.1 для этого:

 version  [0] EXPLICIT Version DEFAULT v1

 Version ::=  INTEGER  {  v1(0), v2(1), v3(2)  }
 

public abstract BigInteger getSerialNumber()

Возвращает значение serialNumber из сертификата. Номер последовательности — целое число, присвоенное центром сертификации каждому сертификату. Он должен быть уникальным для каждого сертификата, выпущенного данным центром сертификации (т.е. имя издателя и номер последовательности идентифицируют уникальный сертификат). Определение ASN.1 для этого:

 serialNumber     CertificateSerialNumber

 CertificateSerialNumber  ::=  INTEGER
 

@Deprecated(since="16") public abstract Principal getIssuerDN()

Возвращает значение issuer (имя субъекта) из сертификата. Имя издателя идентифицирует сущность, которая подписала (и выпустила) сертификат.

Поле имени издателя содержит полное имя X.500 (DN). Определение ASN.1 для этого:

 issuer    Name

 Name ::= CHOICE { RDNSequence }
 RDNSequence ::= SEQUENCE OF RelativeDistinguishedName
 RelativeDistinguishedName ::=
     SET OF AttributeValueAssertion

 AttributeValueAssertion ::= SEQUENCE {
                               AttributeType,
                               AttributeValue }
 AttributeType ::= OBJECT IDENTIFIER
 AttributeValue ::= ANY
 

Name описывает иерархическое имя, состоящее из атрибутов, таких как страна, и соответствующих значений, таких как США. Тип компонента AttributeValue определяется AttributeType; как правило, это будет directoryString. directoryString обычно является одним из PrintableString, TeletexString или UniversalString.

public X500Principal getIssuerX500Principal()

Возвращает значение издателя (имя субъекта) из сертификата как X500Principal.

Рекомендуется, чтобы подклассы переопределяли этот метод.

@Deprecated(since="16") public abstract Principal getSubjectDN()

Возвращает значение subject (имя субъекта) из сертификата. Если значение subject пусто, то метод getName() возвращаемого объекта Principal возвращает пустую строку ("").

Определение ASN.1 для этого:

 subject    Name
 

См. getIssuerDN для Name и других соответствующих определений.

public X500Principal getSubjectX500Principal()

Возвращает значение субъекта (имя субъекта) из сертификата как X500Principal. Если значение субъекта пустое, то метод getName() возвращаемого объекта X500Principal возвращает пустую строку ("").

Рекомендуется, чтобы подклассы переопределяли этот метод.

public abstract Date getNotBefore()

Возвращает notBefore дату из срока действия сертификата. Соответствующие определения ASN.1:

 validity             Validity

 Validity ::= SEQUENCE {
     notBefore      CertificateValidityDate,
     notAfter       CertificateValidityDate }

 CertificateValidityDate ::= CHOICE {
     utcTime        UTCTime,
     generalTime    GeneralizedTime }
 

public abstract Date getNotAfter()

Возвращает notAfter дату из срока действия сертификата. См. getNotBefore для соответствующих определений ASN.1.

public abstract byte[] getTBSCertificate() throws CertificateEncodingException

Возвращает закодированную в DER информацию о сертификате, tbsCertificate этого сертификата. Это может быть использовано для независимой проверки подписи.

public abstract byte[] getSignature()

Возвращает значение signature (сырые биты подписи) из сертификата. Определение ASN.1 для этого:

 signature     BIT STRING
 

public abstract String getSigAlgName()

Возвращает имя алгоритма подписи для алгоритма подписи сертификата. Пример: строка "SHA256withRSA". Определение ASN.1 для этого:

 signatureAlgorithm   AlgorithmIdentifier

 AlgorithmIdentifier  ::=  SEQUENCE  {
     algorithm               OBJECT IDENTIFIER,
     parameters              ANY DEFINED BY algorithm OPTIONAL  }
                             -- contains a value of the type
                             -- registered for use with the
                             -- algorithm object identifier value
 

Имя алгоритма определяется из строки algorithm OID.

public abstract String getSigAlgOID()

Возвращает строку OID алгоритма подписи из сертификата. OID представляется набором неотрицательных целых чисел, разделенных точками. Например, строка "1.2.840.10040.4.3" идентифицирует алгоритм подписи SHA-1 с DSA, определенный в RFC 3279: Algorithms and Identifiers for the Internet X.509 Public Key Infrastructure Certificate and CRL Profile.

См. getSigAlgName для соответствующих определений ASN.1.

public abstract byte[] getSigAlgParams()

Возвращает закодированные в DER параметры алгоритма подписи из алгоритма подписи этого сертификата. В большинстве случаев параметры алгоритма подписи равны null; параметры обычно предоставляются с открытым ключом сертификата. Если необходимы значения отдельных параметров, используйте AlgorithmParameters и инициализируйте его именем, возвращенным getSigAlgName.

См. getSigAlgName для соответствующих определений ASN.1.

public abstract boolean[] getIssuerUniqueID()

Получает значение issuerUniqueID из сертификата. Уникальный идентификатор издателя присутствует в сертификате для обработки возможности повторного использования имён издателей со временем. RFC 5280 рекомендует не повторно использовать имена и не использовать уникальные идентификаторы в соответствующих сертификатах. Приложения, соответствующие этому профилю, должны уметь анализировать уникальные идентификаторы и производить сравнения.

Следующее определение ASN.1:

 issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL

 UniqueIdentifier  ::=  BIT STRING
 

public abstract boolean[] getSubjectUniqueID()

Получает значение subjectUniqueID из сертификата.

Следующее определение ASN.1:

 subjectUniqueID  [2]  IMPLICIT UniqueIdentifier OPTIONAL

 UniqueIdentifier  ::=  BIT STRING
 

public abstract boolean[] getKeyUsage()

Получает булевый массив, представляющий биты расширения KeyUsage (OID = 2.5.29.15). Расширение key usage определяет назначение (например, шифрование, подпись, подписание сертификатов) ключа, содержащегося в сертификате. Следующее определение ASN.1:

 KeyUsage ::= BIT STRING {
     digitalSignature        (0),
     nonRepudiation          (1),
     keyEncipherment         (2),
     dataEncipherment        (3),
     keyAgreement            (4),
     keyCertSign             (5),
     cRLSign                 (6),
     encipherOnly            (7),
     decipherOnly            (8) }
 

RFC 5280 рекомендует при использовании помечать его как критическое расширение.

public List<String> getExtendedKeyUsage() throws CertificateParsingException

Получает неизменяемый список строк, представляющих OBJECT IDENTIFIERы поля ExtKeyUsageSyntax расширения extended key usage (OID = 2.5.29.37). Оно указывает одно или несколько назначений, для которых сертифицированный открытый ключ может быть использован, помимо или вместо основных назначений, указанных в поле key usage. Следующее определение ASN.1:

 ExtKeyUsageSyntax ::= SEQUENCE SIZE (1..MAX) OF KeyPurposeId

 KeyPurposeId ::= OBJECT IDENTIFIER
 

Назначение ключей может быть определено любой организацией, имеющей в этом необходимость. Объектные идентификаторы, используемые для идентификации назначений ключей, должны быть назначены в соответствии с IANA или ITU-T Rec. X.660 | ISO/IEC/ITU 9834-1.

Этот метод был добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не является abstract и предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с корректной реализацией.

public abstract int getBasicConstraints()

Получает длину пути ограничений сертификата из критического расширения BasicConstraints (OID = 2.5.29.19).

Расширение basic constraints определяет, является ли субъект сертификата центром сертификации (CA) и насколько глубоким может быть путь сертификации через этот CA. Поле pathLenConstraint (см. ниже) имеет смысл только если cA установлено в TRUE. В этом случае оно даёт максимальное количество сертификатов CA, которые могут следовать за этим сертификатом в пути сертификации. Значение 0 указывает, что в пути может следовать только сертификат конечного пользователя.

Следующее определение ASN.1:

 BasicConstraints ::= SEQUENCE {
     cA                  BOOLEAN DEFAULT FALSE,
     pathLenConstraint   INTEGER (0..MAX) OPTIONAL }
 

public Collection<List<?>> getSubjectAlternativeNames() throws CertificateParsingException

Получает неизменяемую коллекцию альтернативных имён субъекта из расширения SubjectAltName (OID = 2.5.29.17).

Определение ASN.1 расширения SubjectAltName:

 SubjectAltName ::= GeneralNames

 GeneralNames :: = SEQUENCE SIZE (1..MAX) OF GeneralName

 GeneralName ::= CHOICE {
      otherName                       [0]     OtherName,
      rfc822Name                      [1]     IA5String,
      dNSName                         [2]     IA5String,
      x400Address                     [3]     ORAddress,
      directoryName                   [4]     Name,
      ediPartyName                    [5]     EDIPartyName,
      uniformResourceIdentifier       [6]     IA5String,
      iPAddress                       [7]     OCTET STRING,
      registeredID                    [8]     OBJECT IDENTIFIER}

 OtherName ::= SEQUENCE {
      type-id    OBJECT IDENTIFIER,
      value      [0] EXPLICIT ANY DEFINED BY type-id }
 

Если этот сертификат не содержит расширения SubjectAltName, возвращается null. В противном случае возвращается Collection с записью, представляющей каждый GeneralName, включённый в расширение. Каждая запись представляет собой List, первая запись которой — Integer (тип имени, 0-8), а вторая — String или массив байтов (имя, в строковом или ASN.1 DER-закодированном формате соответственно). В зависимости от типа имени могут существовать дополнительные записи.

Имена RFC 822, DNS и URI возвращаются как String, используя устоявшиеся строковые форматы для этих типов (с учётом ограничений, включённых в RFC 5280). Имена адресов IPv4 возвращаются в формате точки с запятой. Имена адресов IPv6 возвращаются в форме «a1:a2:...:a8», где a1-a8 — шестнадцатеричные значения, представляющие восемь 16-битных частей адреса. Имена OID возвращаются как String, представленные последовательностью неотрицательных целых чисел, разделённых точками. Имена каталога (различительные имена) возвращаются в строковом формате RFC 2253. Стандартный строковый формат не определён для имён X.400 или имён сторон EDI. Они возвращаются как массивы байтов, содержащие ASN.1 DER-закодированный формат имени. otherNames также возвращаются как массивы байтов, содержащие ASN.1 DER-закодированный формат имени. В списке также может присутствовать третья запись, содержащая type-id otherName в строковом формате, и четвёртая запись, содержащая его value либо как строку (если значение является допустимой поддерживаемой строкой символов), либо как массив байтов, содержащий ASN.1 DER-закодированный формат значения без контекстно-специфического построенного тега с номером 0.

Обратите внимание, что возвращаемый Collection может содержать более одного имени одного типа. Также обратите внимание, что возвращаемый Collection неизменяемый, и любые записи, содержащие массивы байтов, дублируются для защиты от последующих изменений.

Этот метод был добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не является abstract и предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с корректной реализацией.

public Collection<List<?>> getIssuerAlternativeNames() throws CertificateParsingException

Получает неизменяемую коллекцию альтернативных имён издателя из расширения IssuerAltName (OID = 2.5.29.18).

Определение ASN.1 расширения IssuerAltName:

 IssuerAltName ::= GeneralNames
 

Определение ASN.1 для GeneralNames определено в getSubjectAlternativeNames.

Если этот сертификат не содержит расширения IssuerAltName, возвращается null. В противном случае возвращается Collection с записью, представляющей каждый GeneralName, включённый в расширение. Каждая запись представляет собой List, первая запись которой — Integer (тип имени, 0-8), а вторая — String или массив байтов (имя, в строковом или ASN.1 DER-закодированном формате соответственно). Дополнительные записи могут существовать в зависимости от типа имени. Для получения более подробной информации о форматах, используемых для каждого типа имени, см. метод getSubjectAlternativeNames.

Обратите внимание, что возвращаемый Collection может содержать более одного имени одного типа. Также обратите внимание, что возвращаемый Collection неизменяемый, и любые записи, содержащие массивы байтов, дублируются для защиты от последующих изменений.

Этот метод был добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не является abstract и предоставляет реализацию по умолчанию. Подклассы должны переопределить этот метод с корректной реализацией.

public void verify(PublicKey key, Provider sigProvider) throws CertificateException, NoSuchAlgorithmException, InvalidKeyException, SignatureException

Проверяет, что этот сертификат был подписан с использованием закрытого ключа, соответствующего указанному открытому ключу. Этот метод использует движок проверки подписи, предоставленный указанным поставщиком. Обратите внимание, что указанный объект поставщика не обязательно должен быть зарегистрирован в списке поставщиков. Этот метод был добавлен в версию 1.8 Java Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не abstract и предоставляет реализацию по умолчанию.