Класс X509Certificate

protected X509Certificate()

Конструктор для сертификатов X.509.

public abstract void checkValidity() throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, действителен ли сертификат в настоящий момент. Сертификат действителен, если текущие дата и время входят в указанный в сертификате период действия.

Период действия состоит из двух значений даты и времени: первой и последней даты (и времени), в которые сертификат действителен. Он определен в ASN.1 следующим образом:

validity             Validity

Validity ::= SEQUENCE {
    notBefore      CertificateValidityDate,
    notAfter       CertificateValidityDate }

CertificateValidityDate ::= CHOICE {
    utcTime        UTCTime,
    generalTime    GeneralizedTime }

public abstract void checkValidity(Date date) throws CertificateExpiredException, CertificateNotYetValidException

Проверяет, входит ли указанная дата в период действия сертификата. Иными словами, определяет, был бы сертификат действителен в указанную дату и время.

public abstract int getVersion()

Возвращает значение version (номер версии) из сертификата. Определение ASN.1 для этого значения:

version  [0] EXPLICIT Version DEFAULT v1

Version ::=  INTEGER  {  v1(0), v2(1), v3(2)  }

public abstract BigInteger getSerialNumber()

Возвращает значение serialNumber из сертификата. Серийный номер — это целое число, назначаемое удостоверяющим центром каждому сертификату. Он должен быть уникальным для каждого сертификата, выданного данным УЦ (то есть имя издателя и серийный номер идентифицируют уникальный сертификат). Определение ASN.1 для этого значения:

serialNumber     CertificateSerialNumber

CertificateSerialNumber  ::=  INTEGER

@Deprecated(since="16") public abstract Principal getIssuerDN()

Возвращает значение issuer (различительное имя издателя) из сертификата. Имя издателя идентифицирует сущность, подписавшую (и выдавшую) сертификат.

Поле имени издателя содержит различительное имя X.500 (DN). Определение ASN.1 для этого значения:

issuer    Name

Name ::= CHOICE { RDNSequence }
RDNSequence ::= SEQUENCE OF RelativeDistinguishedName
RelativeDistinguishedName ::=
    SET OF AttributeValueAssertion

AttributeValueAssertion ::= SEQUENCE {
                              AttributeType,
                              AttributeValue }
AttributeType ::= OBJECT IDENTIFIER
AttributeValue ::= ANY

Name описывает иерархическое имя, состоящее из атрибутов, например названия страны, и соответствующих значений, например US. Тип компонента AttributeValue определяется AttributeType; как правило, это будет directoryString. Обычно directoryString представляет собой один из типов PrintableString, TeletexString или UniversalString.

public X500Principal getIssuerX500Principal()

Возвращает значение издателя (различительное имя издателя) из сертификата в виде X500Principal.

Рекомендуется переопределять этот метод в подклассах.

@Deprecated(since="16") public abstract Principal getSubjectDN()

Возвращает значение subject (различительное имя субъекта) из сертификата. Если значение subject пусто, метод getName() возвращенного объекта Principal возвращает пустую строку ("").

Определение ASN.1 для этого значения:

subject    Name

Определения Name и другие относящиеся к делу определения см. в разделе getIssuerDN.

public X500Principal getSubjectX500Principal()

Возвращает значение субъекта (различительное имя субъекта) из сертификата в виде X500Principal. Если значение субъекта пусто, метод getName() возвращенного объекта X500Principal возвращает пустую строку ("").

Рекомендуется переопределять этот метод в подклассах.

public abstract Date getNotBefore()

Возвращает дату notBefore из периода действия сертификата. Соответствующие определения ASN.1:

validity             Validity

Validity ::= SEQUENCE {
    notBefore      CertificateValidityDate,
    notAfter       CertificateValidityDate }

CertificateValidityDate ::= CHOICE {
    utcTime        UTCTime,
    generalTime    GeneralizedTime }

public abstract Date getNotAfter()

Возвращает дату notAfter из периода действия сертификата. Соответствующие определения ASN.1 см. в разделе getNotBefore.

public abstract byte[] getTBSCertificate() throws CertificateEncodingException

Возвращает закодированную в DER информацию о сертификате — tbsCertificate данного сертификата. Ее можно использовать для независимой проверки подписи.

public abstract byte[] getSignature()

Возвращает значение signature (исходные биты подписи) из сертификата. Определение ASN.1 для этого значения:

signature     BIT STRING

public abstract String getSigAlgName()

Возвращает название алгоритма подписи, использованного для подписи сертификата. Например, это может быть строка "SHA256withRSA". Определение ASN.1 для этого значения:

signatureAlgorithm   AlgorithmIdentifier

AlgorithmIdentifier  ::=  SEQUENCE  {
    algorithm               OBJECT IDENTIFIER,
    parameters              ANY DEFINED BY algorithm OPTIONAL  }
                            -- contains a value of the type
                            -- registered for use with the
                            -- algorithm object identifier value

Название алгоритма определяется по строке OID algorithm.

public abstract String getSigAlgOID()

Возвращает строку OID алгоритма подписи из сертификата. OID представляется набором неотрицательных целых чисел, разделенных точками. Например, строка "1.2.840.10040.4.3" обозначает алгоритм подписи SHA-1 с DSA, определенный в документе RFC 3279: Алгоритмы и идентификаторы для профиля сертификатов и списков отзыва сертификатов (CRL) инфраструктуры открытых ключей Internet X.509.

Соответствующие определения ASN.1 см. в разделе getSigAlgName.

public abstract byte[] getSigAlgParams()

Возвращает закодированные в DER параметры алгоритма подписи из алгоритма подписи данного сертификата. В большинстве случаев параметры алгоритма подписи равны null; обычно параметры задаются вместе с открытым ключом сертификата. Если требуется доступ к отдельным значениям параметров, используйте AlgorithmParameters и создайте экземпляр с именем, возвращенным методом getSigAlgName.

Соответствующие определения ASN.1 см. в разделе getSigAlgName.

public abstract boolean[] getIssuerUniqueID()

Возвращает значение issuerUniqueID из сертификата. Уникальный идентификатор издателя присутствует в сертификате на случай повторного использования имен издателей с течением времени. RFC 5280 рекомендует не использовать повторно имена и не включать уникальные идентификаторы в соответствующие требованиям сертификаты. Приложения, соответствующие этому профилю, должны уметь анализировать уникальные идентификаторы и выполнять сравнение.

Определение ASN.1 для этого значения:

issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL

UniqueIdentifier  ::=  BIT STRING

public abstract boolean[] getSubjectUniqueID()

Возвращает значение subjectUniqueID из сертификата.

Определение ASN.1 для этого значения:

subjectUniqueID  [2]  IMPLICIT UniqueIdentifier OPTIONAL

UniqueIdentifier  ::=  BIT STRING

public abstract boolean[] getKeyUsage()

Возвращает массив логических значений, представляющий биты расширения KeyUsage (OID = 2.5.29.15). Расширение использования ключа определяет назначение (например, шифрование, подпись, подписание сертификатов) ключа, содержащегося в сертификате. Определение ASN.1 для этого значения:

KeyUsage ::= BIT STRING {
    digitalSignature        (0),
    nonRepudiation          (1),
    keyEncipherment         (2),
    dataEncipherment        (3),
    keyAgreement            (4),
    keyCertSign             (5),
    cRLSign                 (6),
    encipherOnly            (7),
    decipherOnly            (8) }

RFC 5280 рекомендует, чтобы при использовании это расширение помечалось как критическое.

public List<String> getExtendedKeyUsage() throws CertificateParsingException

Возвращает неизменяемый список строк, представляющих OBJECT IDENTIFIER поля ExtKeyUsageSyntax расширения расширенного использования ключа (OID = 2.5.29.37). Он указывает одно или несколько назначений, для которых может использоваться сертифицированный открытый ключ, помимо основных назначений, указанных в поле расширения использования ключа, или вместо них. Определение ASN.1 для этого значения:

ExtKeyUsageSyntax ::= SEQUENCE SIZE (1..MAX) OF KeyPurposeId

KeyPurposeId ::= OBJECT IDENTIFIER

Назначения ключей могут определяться любой организацией, которой это необходимо. Идентификаторы объектов, используемые для обозначения назначений ключей, должны назначаться в соответствии с рекомендациями IANA или ITU-T Rec. X.660 | ISO/IEC/ITU 9834-1.

Этот метод добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не abstract и содержит реализацию по умолчанию. Подклассам следует переопределить этот метод, обеспечив корректную реализацию.

public abstract int getBasicConstraints()

Возвращает длину пути ограничений сертификата из критического расширения BasicConstraints (OID = 2.5.29.19).

Расширение базовых ограничений указывает, является ли субъект сертификата центром сертификации (CA), а также насколько длинным может быть путь сертификации через этот центр. Поле pathLenConstraint (см. ниже) имеет смысл только в том случае, если cA имеет значение TRUE. В этом случае оно задает максимальное количество сертификатов CA, которые могут следовать за данным сертификатом в пути сертификации. Значение 0 означает, что далее по пути может следовать только сертификат конечного субъекта.

Определение ASN.1 для этого значения:

BasicConstraints ::= SEQUENCE {
    cA                  BOOLEAN DEFAULT FALSE,
    pathLenConstraint   INTEGER (0..MAX) OPTIONAL }

public Collection<List<?>> getSubjectAlternativeNames() throws CertificateParsingException

Возвращает неизменяемую коллекцию альтернативных имен субъекта из расширения SubjectAltName (OID = 2.5.29.17).

Определение ASN.1 расширения SubjectAltName:

SubjectAltName ::= GeneralNames

GeneralNames :: = SEQUENCE SIZE (1..MAX) OF GeneralName

GeneralName ::= CHOICE {
     otherName                       [0]     OtherName,
     rfc822Name                      [1]     IA5String,
     dNSName                         [2]     IA5String,
     x400Address                     [3]     ORAddress,
     directoryName                   [4]     Name,
     ediPartyName                    [5]     EDIPartyName,
     uniformResourceIdentifier       [6]     IA5String,
     iPAddress                       [7]     OCTET STRING,
     registeredID                    [8]     OBJECT IDENTIFIER}

OtherName ::= SEQUENCE {
     type-id    OBJECT IDENTIFIER,
     value      [0] EXPLICIT ANY DEFINED BY type-id }

Если сертификат не содержит расширения SubjectAltName, возвращается null. В противном случае возвращается Collection, содержащая запись для каждого GeneralName, включенного в расширение. Каждая запись представляет собой List, первый элемент которого — Integer (тип имени, 0–8), а второй — String или массив байтов (имя соответственно в строковом формате или в форме кодировки ASN.1 DER). В зависимости от типа имени могут присутствовать дополнительные элементы.

Имена RFC 822, DNS и URI возвращаются в виде String с использованием общепринятых строковых форматов этих типов (с учетом ограничений, указанных в RFC 5280). Имена IPv4-адресов возвращаются в точечно-десятичной нотации. Имена IPv6-адресов возвращаются в формате "a1:a2:...:a8", где a1–a8 — шестнадцатеричные значения, представляющие восемь 16-битных частей адреса. Имена OID возвращаются в виде String, представленных последовательностью неотрицательных целых чисел, разделенных точками. Имена каталогов (различительные имена) возвращаются в строковом формате RFC 2253. Стандартный строковый формат для имен X.400 и имен сторон EDI не определен. Они возвращаются в виде массивов байтов, содержащих имя в кодировке ASN.1 DER. otherNames также возвращаются в виде массивов байтов, содержащих имя в кодировке ASN.1 DER. Список может содержать третий элемент со значением type-id otherName в строковом формате и четвертый элемент со значением value: строкой (если значение является допустимой поддерживаемой символьной строкой) или массивом байтов, содержащим значение в кодировке ASN.1 DER без контекстно-зависимого конструктивного тега с номером 0.

Обратите внимание, что возвращаемая Collection может содержать несколько имен одного типа. Кроме того, возвращаемая Collection является неизменяемой, а все содержащие массивы байтов элементы клонируются для защиты от последующих изменений.

Этот метод добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не abstract и содержит реализацию по умолчанию. Подклассам следует переопределить этот метод, обеспечив корректную реализацию.

public Collection<List<?>> getIssuerAlternativeNames() throws CertificateParsingException

Возвращает неизменяемую коллекцию альтернативных имен издателя из расширения IssuerAltName (OID = 2.5.29.18).

Определение ASN.1 расширения IssuerAltName:

IssuerAltName ::= GeneralNames

Определение ASN.1 для GeneralNames приведено в разделе getSubjectAlternativeNames.

Если сертификат не содержит расширения IssuerAltName, возвращается null. В противном случае возвращается Collection, содержащая запись для каждого GeneralName, включенного в расширение. Каждая запись представляет собой List, первый элемент которого — Integer (тип имени, 0–8), а второй — String или массив байтов (имя соответственно в строковом формате или в форме кодировки ASN.1 DER). В зависимости от типа имени могут присутствовать дополнительные элементы. Подробнее о форматах каждого типа имени см. в описании метода getSubjectAlternativeNames.

Обратите внимание, что возвращаемая Collection может содержать несколько имен одного типа. Кроме того, возвращаемая Collection является неизменяемой, а все содержащие массивы байтов элементы клонируются для защиты от последующих изменений.

Этот метод добавлен в версию 1.4 Java 2 Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не abstract и содержит реализацию по умолчанию. Подклассам следует переопределить этот метод, обеспечив корректную реализацию.

public void verify(PublicKey key, Provider sigProvider) throws CertificateException, NoSuchAlgorithmException, InvalidKeyException, SignatureException

Проверяет, был ли данный сертификат подписан с использованием закрытого ключа, соответствующего указанному открытому ключу. Этот метод использует механизм проверки подписи, предоставляемый указанным поставщиком. Обратите внимание, что указанный объект Provider необязательно должен быть зарегистрирован в списке поставщиков. Этот метод добавлен в версию 1.8 Java Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не abstract и содержит реализацию по умолчанию.