web-dev-qa-db-ja.com

Java BouncyCastleなしでX509証明書を作成しますか？

Bouncy Castle X509V*CertificateGeneratorクラスを使用せずにJavaコードでX509証明書を正しく作成することは可能ですか？

javax509certificatejce
37
Yuliy

証明書に署名する機能は、標準のJavaライブラリまたは拡張機能の一部ではありません。

自分で行うために必要なコードの多くは、コアの一部です。 X.500名、X.509証明書拡張、さまざまなアルゴリズムの公開鍵、そしてもちろん実際にデジタル署名を実行するためのエンコードとデコードを行うクラスがあります。

これを自分で実装することは簡単ではありませんが、確かに実行可能です。おそらく、証明書署名用のプロトタイプを初めて作成したとき、おそらく4日または5日を費やしました。それはfantasticの学習課題でしたが、無料で利用できる使用可能なライブラリがある場合、その費用を正当化するのは困難です。

18
erickson

はい、ただし公に文書化されたクラスではできません。プロセスを文書化しました この記事で 。

import Sun.security.x509.*;
import Java.security.cert.*;
import Java.security.*;
import Java.math.BigInteger;
import Java.util.Date;
import Java.io.IOException

/** 
 * Create a self-signed X.509 Certificate
 * @param dn the X.509 Distinguished Name, eg "CN=Test, L=London, C=GB"
 * @param pair the KeyPair
 * @param days how many days from now the Certificate is valid for
 * @param algorithm the signing algorithm, eg "SHA1withRSA"
 */ 
X509Certificate generateCertificate(String dn, KeyPair pair, int days, String algorithm)
  throws GeneralSecurityException, IOException
{
  PrivateKey privkey = pair.getPrivate();
  X509CertInfo info = new X509CertInfo();
  Date from = new Date();
  Date to = new Date(from.getTime() + days * 86400000l);
  CertificateValidity interval = new CertificateValidity(from, to);
  BigInteger sn = new BigInteger(64, new SecureRandom());
  X500Name owner = new X500Name(dn);
 
  info.set(X509CertInfo.VALIDITY, interval);
  info.set(X509CertInfo.SERIAL_NUMBER, new CertificateSerialNumber(sn));
  info.set(X509CertInfo.SUBJECT, new CertificateSubjectName(owner));
  info.set(X509CertInfo.ISSUER, new CertificateIssuerName(owner));
  info.set(X509CertInfo.KEY, new CertificateX509Key(pair.getPublic()));
  info.set(X509CertInfo.VERSION, new CertificateVersion(CertificateVersion.V3));
  AlgorithmId algo = new AlgorithmId(AlgorithmId.md5WithRSAEncryption_oid);
  info.set(X509CertInfo.ALGORITHM_ID, new CertificateAlgorithmId(algo));
 
  // Sign the cert to identify the algorithm that's used.
  X509CertImpl cert = new X509CertImpl(info);
  cert.sign(privkey, algorithm);
 
  // Update the algorith, and resign.
  algo = (AlgorithmId)cert.get(X509CertImpl.SIG_ALG);
  info.set(CertificateAlgorithmId.NAME + "." + CertificateAlgorithmId.ALGORITHM, algo);
  cert = new X509CertImpl(info);
  cert.sign(privkey, algorithm);
  return cert;
}
75
Mike B
import Sun.security.x509.*;

import Java.security.cert.*;
import Java.security.*;
import Java.math.BigInteger;
import Java.security.cert.Certificate;
import Java.util.Date;
import Java.io.IOException;

public class Example {
    /**
     * Create a self-signed X.509 Example
     *
     * @param dn        the X.509 Distinguished Name, eg "CN=Test, L=London, C=GB"
     * @param pair      the KeyPair
     * @param days      how many days from now the Example is valid for
     * @param algorithm the signing algorithm, eg "SHA1withRSA"
     */
    public X509Certificate generateCertificate(String dn, KeyPair pair, int days, String algorithm)
            throws GeneralSecurityException, IOException {
        PrivateKey privkey = pair.getPrivate();
        X509CertInfo info = new X509CertInfo();
        Date from = new Date();
        Date to = new Date(from.getTime() + days * 86400000l);
        CertificateValidity interval = new CertificateValidity(from, to);
        BigInteger sn = new BigInteger(64, new SecureRandom());
        X500Name owner = new X500Name(dn);

        info.set(X509CertInfo.VALIDITY, interval);
        info.set(X509CertInfo.SERIAL_NUMBER, new CertificateSerialNumber(sn));
        info.set(X509CertInfo.SUBJECT, owner);
        info.set(X509CertInfo.ISSUER, owner);
        info.set(X509CertInfo.KEY, new CertificateX509Key(pair.getPublic()));
        info.set(X509CertInfo.VERSION, new CertificateVersion(CertificateVersion.V3));
        AlgorithmId algo = new AlgorithmId(AlgorithmId.md5WithRSAEncryption_oid);
        info.set(X509CertInfo.ALGORITHM_ID, new CertificateAlgorithmId(algo));

        // Sign the cert to identify the algorithm that's used.
        X509CertImpl cert = new X509CertImpl(info);
        cert.sign(privkey, algorithm);

        // Update the algorith, and resign.
        algo = (AlgorithmId) cert.get(X509CertImpl.SIG_ALG);
        info.set(CertificateAlgorithmId.NAME + "." + CertificateAlgorithmId.ALGORITHM, algo);
        cert = new X509CertImpl(info);
        cert.sign(privkey, algorithm);
        return cert;
    }

    public static void main (String[] argv) throws Exception {
        KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
        KeyPair keyPair = keyPairGenerator.generateKeyPair();
        Example example = new Example();
        String distinguishedName = "CN=Test, L=London, C=GB";
        Certificate certificate = example.generateCertificateOriginal(distinguishedName, keyPair, 365, "SHA256withRSA");
        System.out.println("it worked!");
    }
}

私はvbenceの答えが好きでしたが、私は次の例外を受け続けました：

Java.security.cert.CertificateException：サブジェクトクラスタイプが無効です。

was有効なサブジェクトクラスを見つけるために何度も試みた結果、X509CerInfoがX500Nameのインスタンスを必要としていることがわかりました。

1 info.set(X509CertInfo.SERIAL_NUMBER, new CertificateSerialNumber(sn));
2 info.set(X509CertInfo.SUBJECT, new CertificateSubjectName(owner));
3 info.set(X509CertInfo.ISSUER, new CertificateIssuerName(owner));
4 info.set(X509CertInfo.KEY, new CertificateX509Key(pair.getPublic()));

したがって、2行目と3行目を次のように変更する必要があります。

2 info.set(X509CertInfo.SUBJECT, owner);
3 info.set(X509CertInfo.ISSUER, owner);
8
Clark Hobbie

自己署名証明書を作成するためのすべての基本コンポーネント（署名、X509エンコーディングなど）は、JREで利用できます。 BCとは異なり、SunのJCEは証明書に署名するためのパブリックコールを提供していません。ただし、すべての機能はKeytoolで使用できます。これを行うには、keytoolからコードをコピーするだけです。コピーする必要があるメソッドはdoSelfCert()です。

4
ZZ Coder

正確に何をしたいかに依存します（おそらく「正気」の定義）。 ZZ Coderが指摘したように、 keytool をコピーすることにより、自己署名証明書を直接作成できます。しかし、標準のJCEを使用してPKCS10証明書要求オブジェクトを作成できるとは思いません。標準のCA署名付きEECを作成する場合は、おそらくこれを行う必要があります。

1
Von