Класс X509Certificate

protected X509Certificate()

Конструктор сертификатов X.509.

public abstract void checkValidity() throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, действителен ли сертификат в данный момент. Сертификат действителен, если текущие дата и время входят в указанный в сертификате период действия.

Период действия состоит из двух значений даты и времени: первой и последней даты (и времени), когда сертификат действителен. Он определяется в ASN.1 следующим образом:

validity             Validity

Validity ::= SEQUENCE {
    notBefore      CertificateValidityDate,
    notAfter       CertificateValidityDate }

CertificateValidityDate ::= CHOICE {
    utcTime        UTCTime,
    generalTime    GeneralizedTime }

public abstract void checkValidity(Date date) throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, входит ли указанная дата в период действия сертификата. Иными словами, определяет, был бы сертификат действителен в указанную дату и время.

public abstract int getVersion()

Возвращает значение version (номер версии) из сертификата. Определение ASN.1 для него:

version  [0] EXPLICIT Version DEFAULT v1

Version ::=  INTEGER  {  v1(0), v2(1), v3(2)  }

public abstract BigInteger getSerialNumber()

Возвращает значение serialNumber из сертификата. Серийный номер — это целое число, присваиваемое удостоверяющим центром каждому сертификату. Оно должно быть уникальным для каждого сертификата, выпущенного данным УЦ (то есть имя издателя и серийный номер однозначно идентифицируют сертификат). Определение ASN.1 для него:

serialNumber     CertificateSerialNumber

CertificateSerialNumber  ::=  INTEGER

@Deprecated(since="16") public abstract Principal getIssuerDN()

Возвращает значение issuer (различающееся имя издателя) из сертификата. Имя издателя идентифицирует сущность, подписавшую (и выпустившую) сертификат.

Поле имени издателя содержит различающееся имя X.500 (DN). Определение ASN.1 для него:

issuer    Name

Name ::= CHOICE { RDNSequence }
RDNSequence ::= SEQUENCE OF RelativeDistinguishedName
RelativeDistinguishedName ::=
    SET OF AttributeValueAssertion

AttributeValueAssertion ::= SEQUENCE {
                              AttributeType,
                              AttributeValue }
AttributeType ::= OBJECT IDENTIFIER
AttributeValue ::= ANY

Name описывает иерархическое имя, состоящее из атрибутов, таких как название страны, и соответствующих значений, таких как US. Тип компонента AttributeValue определяется AttributeType; обычно это будет directoryString. Как правило, directoryString — это один из типов PrintableString, TeletexString или UniversalString.

public X500Principal getIssuerX500Principal()

Возвращает значение издателя (различающееся имя издателя) из сертификата в виде X500Principal.

Рекомендуется переопределять этот метод в подклассах.

@Deprecated(since="16") public abstract Principal getSubjectDN()

Возвращает значение subject (различающееся имя субъекта) из сертификата. Если значение subject пусто, метод getName() возвращённого объекта Principal возвращает пустую строку ("").

Определение ASN.1 для него:

subject    Name

См. getIssuerDN, где приведены Name и другие соответствующие определения.

public X500Principal getSubjectX500Principal()

Возвращает значение субъекта (различающееся имя субъекта) из сертификата в виде X500Principal. Если значение субъекта пусто, метод getName() возвращённого объекта X500Principal возвращает пустую строку ("").

Рекомендуется переопределять этот метод в подклассах.

public abstract Date getNotBefore()

Возвращает дату notBefore из периода действия сертификата. Соответствующие определения ASN.1:

validity             Validity

Validity ::= SEQUENCE {
    notBefore      CertificateValidityDate,
    notAfter       CertificateValidityDate }

CertificateValidityDate ::= CHOICE {
    utcTime        UTCTime,
    generalTime    GeneralizedTime }

public abstract Date getNotAfter()

Возвращает дату notAfter из периода действия сертификата. Соответствующие определения ASN.1 см. в разделе getNotBefore.

public abstract byte[] getTBSCertificate() throws CertificateEncodingException

Возвращает закодированную в DER информацию о сертификате — tbsCertificate из этого сертификата. Это можно использовать для независимой проверки подписи.

public abstract byte[] getSignature()

Возвращает значение signature (исходные биты подписи) из сертификата. Определение ASN.1 для него:

signature     BIT STRING

public abstract String getSigAlgName()

Возвращает название алгоритма подписи, используемого для подписи сертификата. Например, это может быть строка "SHA256withRSA". Определение ASN.1 для него:

signatureAlgorithm   AlgorithmIdentifier

AlgorithmIdentifier  ::=  SEQUENCE  {
    algorithm               OBJECT IDENTIFIER,
    parameters              ANY DEFINED BY algorithm OPTIONAL  }
                            -- contains a value of the type
                            -- registered for use with the
                            -- algorithm object identifier value

Название алгоритма определяется по строке OID algorithm.

public abstract String getSigAlgOID()

Возвращает строку OID алгоритма подписи из сертификата. OID представляется набором неотрицательных целых чисел, разделённых точками. Например, строка "1.2.840.10040.4.3" идентифицирует алгоритм подписи SHA-1 с DSA, определённый в документе RFC 3279: Алгоритмы и идентификаторы для сертификатов и списков отзыва сертификатов (CRL) инфраструктуры открытых ключей Internet X.509.

Соответствующие определения ASN.1 см. в разделе getSigAlgName.

public abstract byte[] getSigAlgParams()

Возвращает закодированные в DER параметры алгоритма подписи, используемого для подписи этого сертификата. В большинстве случаев параметры алгоритма подписи равны null; обычно они предоставляются вместе с открытым ключом сертификата. Если требуется получить отдельные значения параметров, используйте AlgorithmParameters и создайте экземпляр, указав имя, возвращаемое методом getSigAlgName.

Соответствующие определения ASN.1 см. в разделе getSigAlgName.

public abstract boolean[] getIssuerUniqueID()

Возвращает значение issuerUniqueID из сертификата. Уникальный идентификатор издателя присутствует в сертификате на случай повторного использования имён издателей с течением времени. RFC 5280 рекомендует не использовать имена повторно и не включать уникальные идентификаторы в соответствующие требованиям сертификаты. Приложения, соответствующие этому профилю, должны уметь разбирать уникальные идентификаторы и сравнивать их.

Определение ASN.1 для него:

issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL

UniqueIdentifier  ::=  BIT STRING

public abstract boolean[] getSubjectUniqueID()

Возвращает значение subjectUniqueID из сертификата.

Определение ASN.1 для него:

subjectUniqueID  [2]  IMPLICIT UniqueIdentifier OPTIONAL

UniqueIdentifier  ::=  BIT STRING

public abstract boolean[] getKeyUsage()

Возвращает булев массив, представляющий биты расширения KeyUsage (OID = 2.5.29.15). Расширение использования ключа определяет назначение ключа, содержащегося в сертификате (например, шифрование, подпись, подписание сертификатов). Определение ASN.1 для него:

KeyUsage ::= BIT STRING {
    digitalSignature        (0),
    nonRepudiation          (1),
    keyEncipherment         (2),
    dataEncipherment        (3),
    keyAgreement            (4),
    keyCertSign             (5),
    cRLSign                 (6),
    encipherOnly            (7),
    decipherOnly            (8) }

RFC 5280 рекомендует при использовании помечать это расширение как критическое.

public List<String> getExtendedKeyUsage() throws CertificateParsingException

Возвращает неизменяемый список строк, представляющих OBJECT IDENTIFIER поля ExtKeyUsageSyntax расширения расширенного использования ключа (OID = 2.5.29.37). Оно указывает одно или несколько назначений, для которых может использоваться сертифицированный открытый ключ, в дополнение к основным назначениям, указанным в поле расширения использования ключа, или вместо них. Определение ASN.1 для него:

ExtKeyUsageSyntax ::= SEQUENCE SIZE (1..MAX) OF KeyPurposeId

KeyPurposeId ::= OBJECT IDENTIFIER

Организация, которой это необходимо, может определять назначения ключей самостоятельно. Идентификаторы объектов, используемые для обозначения назначений ключей, должны назначаться в соответствии с правилами IANA или ITU-T Rec. X.660 | ISO/IEC/ITU 9834-1.

Этот метод добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг метод не abstract и имеет реализацию по умолчанию. Подклассам следует переопределить этот метод, предоставив корректную реализацию.

public abstract int getBasicConstraints()

Возвращает ограничение длины пути сертификации из критического расширения BasicConstraints (OID = 2.5.29.19).

Расширение базовых ограничений указывает, является ли субъект сертификата центром сертификации (CA) и насколько длинным может быть путь сертификации через этот центр. Поле pathLenConstraint (см. ниже) имеет смысл только в том случае, если cA имеет значение TRUE. В этом случае оно задаёт максимальное число сертификатов CA, которые могут следовать за этим сертификатом в пути сертификации. Значение 0 указывает, что следующим в пути может быть только сертификат конечного пользователя.

Определение ASN.1 для него:

BasicConstraints ::= SEQUENCE {
    cA                  BOOLEAN DEFAULT FALSE,
    pathLenConstraint   INTEGER (0..MAX) OPTIONAL }

public Collection<List<?>> getSubjectAlternativeNames() throws CertificateParsingException

Возвращает неизменяемую коллекцию альтернативных имён субъекта из расширения SubjectAltName (OID = 2.5.29.17).

Определение ASN.1 расширения SubjectAltName:

SubjectAltName ::= GeneralNames

GeneralNames :: = SEQUENCE SIZE (1..MAX) OF GeneralName

GeneralName ::= CHOICE {
     otherName                       [0]     OtherName,
     rfc822Name                      [1]     IA5String,
     dNSName                         [2]     IA5String,
     x400Address                     [3]     ORAddress,
     directoryName                   [4]     Name,
     ediPartyName                    [5]     EDIPartyName,
     uniformResourceIdentifier       [6]     IA5String,
     iPAddress                       [7]     OCTET STRING,
     registeredID                    [8]     OBJECT IDENTIFIER}

OtherName ::= SEQUENCE {
     type-id    OBJECT IDENTIFIER,
     value      [0] EXPLICIT ANY DEFINED BY type-id }

Если сертификат не содержит расширения SubjectAltName, возвращается null. В противном случае возвращается Collection, содержащая запись для каждого GeneralName, включённого в расширение. Каждая запись — это List, первый элемент которого — Integer (тип имени, от 0 до 8), а второй — String или массив байтов (имя в виде строки или в кодировке ASN.1 DER соответственно). В зависимости от типа имени могут присутствовать дополнительные элементы.

Имена RFC 822, DNS и URI возвращаются как String с использованием общепринятых строковых форматов для этих типов (с учётом ограничений, приведённых в RFC 5280). Имена IPv4-адресов возвращаются в формате четырёх чисел, разделённых точками. Имена IPv6-адресов возвращаются в формате "a1:a2:...:a8", где a1–a8 — шестнадцатеричные значения, представляющие восемь 16-битных частей адреса. Имена OID возвращаются как String, представленные последовательностью неотрицательных целых чисел, разделённых точками. Имена каталогов (различающиеся имена) возвращаются в строковом формате RFC 2253. Для имён X.400 и имён участников EDI стандартный строковый формат не определён. Они возвращаются в виде массивов байтов, содержащих имя в кодировке ASN.1 DER. Имена otherName также возвращаются в виде массивов байтов, содержащих имя в кодировке ASN.1 DER. Список может также содержать третий элемент — type-id otherName в строковом виде, и четвёртый элемент — его value в виде строки (если значение представляет собой допустимую строку поддерживаемого типа) или массива байтов, содержащего значение в кодировке ASN.1 DER без контекстно-зависимого конструктивного тега с номером 0.

Обратите внимание, что возвращённое значение Collection может содержать несколько имён одного типа. Также обратите внимание, что возвращённое значение Collection неизменяемо, а все элементы, содержащие массивы байтов, клонируются для защиты от последующих изменений.

Этот метод добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг метод не abstract и имеет реализацию по умолчанию. Подклассам следует переопределить этот метод, предоставив корректную реализацию.

public Collection<List<?>> getIssuerAlternativeNames() throws CertificateParsingException

Возвращает неизменяемую коллекцию альтернативных имён издателя из расширения IssuerAltName (OID = 2.5.29.18).

Определение ASN.1 расширения IssuerAltName:

IssuerAltName ::= GeneralNames

Определение ASN.1 для GeneralNames приведено в разделе getSubjectAlternativeNames.

Если сертификат не содержит расширения IssuerAltName, возвращается null. В противном случае возвращается Collection, содержащая запись для каждого GeneralName, включённого в расширение. Каждая запись — это List, первый элемент которого — Integer (тип имени, от 0 до 8), а второй — String или массив байтов (имя в виде строки или в кодировке ASN.1 DER соответственно). В зависимости от типа имени могут присутствовать дополнительные элементы. Подробнее о форматах каждого типа имени см. в описании метода getSubjectAlternativeNames.

Обратите внимание, что возвращённое значение Collection может содержать несколько имён одного типа. Также обратите внимание, что возвращённое значение Collection неизменяемо, а все элементы, содержащие массивы байтов, клонируются для защиты от последующих изменений.

Этот метод добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг метод не abstract и имеет реализацию по умолчанию. Подклассам следует переопределить этот метод, предоставив корректную реализацию.

public void verify(PublicKey key, Provider sigProvider) throws CertificateException, NoSuchAlgorithmException, InvalidKeyException, SignatureException

Проверяет, подписан ли этот сертификат с использованием закрытого ключа, соответствующего указанному открытому ключу. Этот метод использует механизм проверки подписи, предоставленный указанным поставщиком. Обратите внимание, что указанный объект Provider не обязательно должен быть зарегистрирован в списке поставщиков. Этот метод добавлен в версию 1.8 Java Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг метод не abstract и имеет реализацию по умолчанию.