Класс X509Certificate

Абстрактный класс для сертификатов X.509. Он предоставляет стандартный способ доступа ко всем атрибутам сертификата X.509.

В июне 1996 года базовый формат X.509 v3 был завершен ISO/IEC и ANSI X9, который описан ниже в ASN.1:

Certificate  ::=  SEQUENCE  {
     tbsCertificate       TBSCertificate,
     signatureAlgorithm   AlgorithmIdentifier,
     signature            BIT STRING  }

Эти сертификаты широко используются для поддержки аутентификации и других функций в системах безопасности Интернета. Общие приложения включают Privacy Enhanced Mail (PEM), Transport Layer Security (SSL), подпись кода для надельного распространения программного обеспечения и Secure Electronic Transactions (SET).

Эти сертификаты управляются и гарантируются Центрами сертификации (ЦС). ЦС — это службы, которые создают сертификаты, помещая данные в стандартный формат X.509, а затем цифровым образом подписывают эти данные. ЦС выступают в качестве доверенных третьих сторон, устанавливая связи между принципалами, которые не имеют прямого знания друг друга. Сертификаты ЦС либо подписываются самими собой, либо каким-то другим ЦС, например, корневым ЦС.

Дополнительную информацию можно найти в RFC 5280: Профили сертификатов и CRL инфраструктуры открытых ключей X.509 Интернета.

Определение ASN.1 для tbsCertificate:

TBSCertificate  ::=  SEQUENCE  {
     version         [0]  EXPLICIT Version DEFAULT v1,
     serialNumber         CertificateSerialNumber,
     signature            AlgorithmIdentifier,
     issuer               Name,
     validity             Validity,
     subject              Name,
     subjectPublicKeyInfo SubjectPublicKeyInfo,
     issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL,
                          -- If present, version must be v2 or v3
     subjectUniqueID [2]  IMPLICIT UniqueIdentifier OPTIONAL,
                          -- If present, version must be v2 or v3
     extensions      [3]  EXPLICIT Extensions OPTIONAL
                          -- If present, version must be v3
     }

Сертификаты создаются с помощью фабрики сертификатов. Ниже приведен пример создания сертификата X.509:

try (InputStream inStream = new FileInputStream("fileName-of-cert")) {
     CertificateFactory cf = CertificateFactory.getInstance("X.509");
     X509Certificate cert = (X509Certificate)cf.generateCertificate(inStream);
 }

Конструкторы

X509Certificate

protected X509Certificate()

Конструктор для сертификатов X.509.

Методы

checkValidity

public abstract void checkValidity()
                            throws CertificateExpiredException,
                                   CertificateNotYetValidException

validity             Validity

 Validity ::= SEQUENCE {
     notBefore      CertificateValidityDate,
     notAfter       CertificateValidityDate }

 CertificateValidityDate ::= CHOICE {
     utcTime        UTCTime,
     generalTime    GeneralizedTime }

Исключения:

CertificateExpiredException - если сертификат просрочен.

CertificateNotYetValidException - если сертификат еще не действителен.

checkValidity

public abstract void checkValidity(Date date)
                            throws CertificateExpiredException,
                                   CertificateNotYetValidException

Проверяет, попадает ли заданная дата в период действия сертификата. Другими словами, это определяет, был бы сертификат действительным в указанную дату/время.

Параметры:

date - дата, с которой сравнивается действительность сертификата в эту дату/время.

Исключения:

CertificateExpiredException - если сертификат просрочен по отношению к предоставленной date.

CertificateNotYetValidException - если сертификат еще не действителен по отношению к предоставленной date.

См. также:

checkValidity()

getVersion

public abstract int getVersion()

Получает значение version (номер версии) из сертификата. Определение ASN.1 для этого:

version  [0] EXPLICIT Version DEFAULT v1

 Version ::=  INTEGER  {  v1(0), v2(1), v3(2)  }

Возвращает:

номер версии, т.е. 1, 2 или 3.

getSerialNumber

public abstract BigInteger getSerialNumber()

Получает значение serialNumber из сертификата. Номер серии — это целое число, присвоенное центром сертификации каждому сертификату. Он должен быть уникальным для каждого сертификата, выпущенного данным центром сертификации (т. е. имя издателя и номер серии идентифицируют уникальный сертификат). Определение ASN.1 для этого:

serialNumber     CertificateSerialNumber

 CertificateSerialNumber  ::=  INTEGER

Возвращает:

номер серии.

getIssuerDN

public abstract Principal getIssuerDN()

issuer    Name

 Name ::= CHOICE { RDNSequence }
 RDNSequence ::= SEQUENCE OF RelativeDistinguishedName
 RelativeDistinguishedName ::=
     SET OF AttributeValueAssertion

 AttributeValueAssertion ::= SEQUENCE {
                               AttributeType,
                               AttributeValue }
 AttributeType ::= OBJECT IDENTIFIER
 AttributeValue ::= ANY

Возвращает:

объект Principal, чьё имя — имя субъекта-издателя.

getIssuerX500Principal

public X500Principal getIssuerX500Principal()

Возвращает:

объект X500Principal , представляющий отличительное имя издателя

С:

1.4

getSubjectDN

public abstract Principal getSubjectDN()

subject    Name

Возвращает:

объект Principal, чьё имя — имя субъекта.

getSubjectX500Principal

public X500Principal getSubjectX500Principal()

Возвращает:

объект X500Principal , представляющий отличительное имя субъекта

С:

1.4

getNotBefore

public abstract Date getNotBefore()

Получает дату notBefore из периода действия сертификата. Соответствующие определения ASN.1:

validity             Validity

 Validity ::= SEQUENCE {
     notBefore      CertificateValidityDate,
     notAfter       CertificateValidityDate }

 CertificateValidityDate ::= CHOICE {
     utcTime        UTCTime,
     generalTime    GeneralizedTime }

Возвращает:

начальную дату периода действия.

См. также:

checkValidity()

getNotAfter

public abstract Date getNotAfter()

Получает дату notAfter из периода действия сертификата. См. getNotBefore для соответствующих определений ASN.1.

Возвращает:

конечную дату периода действия.

См. также:

checkValidity()

getTBSCertificate

public abstract byte[] getTBSCertificate()
                                  throws CertificateEncodingException

Получает DER-кодированную информацию о сертификате, tbsCertificate из данного сертификата. Это можно использовать для самостоятельной проверки подписи.

Возвращает:

DER-кодированная информация о сертификате.

Исключения:

CertificateEncodingException - если произошла ошибка кодирования.

getSignature

public abstract byte[] getSignature()

Получает значение signature (сырые биты подписи) из сертификата. Определение ASN.1 для этого:

signature     BIT STRING

Возвращает:

подпись.

getSigAlgName

public abstract String getSigAlgName()

signatureAlgorithm   AlgorithmIdentifier

 AlgorithmIdentifier  ::=  SEQUENCE  {
     algorithm               OBJECT IDENTIFIER,
     parameters              ANY DEFINED BY algorithm OPTIONAL  }
                             -- contains a value of the type
                             -- registered for use with the
                             -- algorithm object identifier value

Возвращает:

имя алгоритма подписи.

getSigAlgOID

public abstract String getSigAlgOID()

Возвращает:

строку OID алгоритма подписи.

getSigAlgParams

public abstract byte[] getSigAlgParams()

Возвращает:

DER-кодированные параметры алгоритма подписи или null, если параметры отсутствуют.

getIssuerUniqueID

public abstract boolean[] getIssuerUniqueID()

issuerUniqueID  [1]  IMPLICIT UniqueIdentifier OPTIONAL

 UniqueIdentifier  ::=  BIT STRING

Возвращает:

уникальный идентификатор издателя или null, если он отсутствует в сертификате.

getSubjectUniqueID

public abstract boolean[] getSubjectUniqueID()

subjectUniqueID  [2]  IMPLICIT UniqueIdentifier OPTIONAL

 UniqueIdentifier  ::=  BIT STRING

Возвращает:

уникальный идентификатор субъекта или null, если он отсутствует в сертификате.

getKeyUsage

public abstract boolean[] getKeyUsage()

Получает булевый массив, представляющий биты расширения KeyUsage (OID = 2.5.29.15). Расширение key usage определяет назначение (например, шифрование, подпись, подписание сертификата) ключа, содержащегося в сертификате. Определение ASN.1 для этого:

KeyUsage ::= BIT STRING {
     digitalSignature        (0),
     nonRepudiation          (1),
     keyEncipherment         (2),
     dataEncipherment        (3),
     keyAgreement            (4),
     keyCertSign             (5),
     cRLSign                 (6),
     encipherOnly            (7),
     decipherOnly            (8) }

Возвращает:

расширение KeyUsage этого сертификата, представленное в виде массива булевых значений. Порядок значений KeyUsage в массиве такой же, как в вышеприведённом определении ASN.1. Массив будет содержать значение для каждого KeyUsage, определённого выше. Если список KeyUsage, закодированный в сертификате, длиннее вышеприведённого списка, он не будет усечён. Возвращает null, если этот сертификат не содержит расширения KeyUsage.

getExtendedKeyUsage

public List<String> getExtendedKeyUsage()
                                 throws CertificateParsingException

ExtKeyUsageSyntax ::= SEQUENCE SIZE (1..MAX) OF KeyPurposeId

 KeyPurposeId ::= OBJECT IDENTIFIER

Возвращает:

расширение ExtendedKeyUsage этого сертификата в виде неизменяемого списка идентификаторов объектов, представленных в виде строк. Возвращает null, если этот сертификат не содержит расширения ExtendedKeyUsage.

Выбрасывает:

CertificateParsingException - если расширение не может быть декодировано

С тех пор:

1.4

getBasicConstraints

public abstract int getBasicConstraints()

BasicConstraints ::= SEQUENCE {
     cA                  BOOLEAN DEFAULT FALSE,
     pathLenConstraint   INTEGER (0..MAX) OPTIONAL }

Возвращает:

значение pathLenConstraint , если расширение BasicConstraints присутствует в сертификате, и субъект сертификата является CA, в противном случае -1. Если субъект сертификата является CA, и pathLenConstraint отсутствует, возвращается Integer.MAX_VALUE , чтобы указать, что нет ограничений на допустимую длину пути сертификации.

getSubjectAlternativeNames

public Collection<List<?>> getSubjectAlternativeNames()
                                               throws CertificateParsingException

SubjectAltName ::= GeneralNames

 GeneralNames :: = SEQUENCE SIZE (1..MAX) OF GeneralName

 GeneralName ::= CHOICE {
      otherName                       [0]     OtherName,
      rfc822Name                      [1]     IA5String,
      dNSName                         [2]     IA5String,
      x400Address                     [3]     ORAddress,
      directoryName                   [4]     Name,
      ediPartyName                    [5]     EDIPartyName,
      uniformResourceIdentifier       [6]     IA5String,
      iPAddress                       [7]     OCTET STRING,
      registeredID                    [8]     OBJECT IDENTIFIER}

Возвращает:

неизменяемую коллекцию Collection альтернативных имен субъекта (или null)

Выбрасывает:

CertificateParsingException - если расширение не может быть декодировано

С тех пор:

1.4

getIssuerAlternativeNames

public Collection<List<?>> getIssuerAlternativeNames()
                                              throws CertificateParsingException

IssuerAltName ::= GeneralNames

Возвращает:

неизменяемую коллекцию Collection альтернативных имен эмитента (или null)

Выбрасывает:

CertificateParsingException - если расширение не может быть декодировано

С тех пор:

1.4

verify

public void verify(PublicKey key,
                   Provider sigProvider)
            throws CertificateException,
                   NoSuchAlgorithmException,
                   InvalidKeyException,
                   SignatureException

Проверяет, был ли этот сертификат подписан с использованием закрытого ключа, соответствующего указанному открытому ключу. Этот метод использует движок проверки подписи, предоставляемый указанным поставщиком. Обратите внимание, что указанный объект Provider не обязательно должен быть зарегистрирован в списке поставщиков. Этот метод был добавлен в версию 1.8 платформы Java Platform Standard Edition. Для обеспечения обратной совместимости с существующими поставщиками услуг этот метод не abstract и предоставляет реализацию по умолчанию.

Переопределяет:

verify в классе Certificate

Параметры:

key - открытый ключ, используемый для проведения проверки.

sigProvider - поставщик подписи.

Выбрасывает:

NoSuchAlgorithmException - при недопустимых алгоритмах подписи.

InvalidKeyException - при неверном ключе.

SignatureException - при ошибках подписи.

CertificateException - при ошибках кодирования.

UnsupportedOperationException - если метод не поддерживается

С тех пор:

1.8