Как получить/вычислить отпечаток сертификата X509 в Java?

У меня есть java-клиент, который вызывает операцию веб-сервиса, которая берет сертификат "отпечаток пальца" в качестве параметра. Я считаю, что отпечаток - это своего рода хэш SHA1 в шестнадцатеричном строчном формате открытого ключа сертификата, но я не уверен.

.NET framework, кажется, включает простой способ получить это значение (X509Certificate2.Thumbprint свойство). Просмотр свойств файла .cer в Windows также отображает отпечаток, который выглядит так:

a6 9c fd b0 58 0d a4 ee ae 9a 47 75 24 c3 0b 9f 5d b6 1c 77

Поэтому мой вопрос: кто-нибудь знает, как получить или вычислить эту строку отпечатка в Java, если у меня есть экземпляр java.security.cert. X509Certificate?

Ответ 1

Хэш SHA-1 DER encoding сертификата - это то, что .NET получает с X509Certificate2.Thumbprint.

Как отмечено в примечаниях в MSDN:

Отпечаток пальца динамически генерируется с использованием алгоритма SHA1 и физически не существует в сертификате. Поскольку отпечаток является уникальным значением для сертификата, он обычно используется для поиска конкретного сертификата в хранилище сертификатов.

Стандартная библиотека Java не предоставляет отпечаток напрямую, но вы можете получить его так:

DatatypeConverter.printHexBinary(
        MessageDigest.getInstance("SHA-1").digest(
                cert.getEncoded())).toLowerCase();

Здесь приведен полный пример использования удобно доступного файла PEM:

Создать stackoverflow.crt.pem:

Создайте X509.java:

import javax.xml.bind.DatatypeConverter;
import java.io.FileInputStream;
import java.io.FileNotFoundException;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.security.cert.CertificateEncodingException;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

public final class X509 {
    public static void main(String[] args)
            throws FileNotFoundException, CertificateException, NoSuchAlgorithmException {
        FileInputStream is = new FileInputStream(args[0]);
        CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
        X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(is);
        String thumbprint = getThumbprint(cert);
        System.out.println(thumbprint);
    }

    private static String getThumbprint(X509Certificate cert)
            throws NoSuchAlgorithmException, CertificateEncodingException {
        MessageDigest md = MessageDigest.getInstance("SHA-1");
        byte[] der = cert.getEncoded();
        md.update(der);
        byte[] digest = md.digest();
        String digestHex = DatatypeConverter.printHexBinary(digest);
        return digestHex.toLowerCase();
    }
}

Скомпилируйте программу с Java 8:
```
javac X509.java
```
Или Java 9 - из-за модульного JDK/JPMS - DataTypeConverter не находится в java.base, но java.xml.bind, поэтому вам нужно явно зависеть от него во время сборки:
```
javac --add-modules java.xml.bind X509.java
```
В противном случае на Java 9 вы получите это, когда попытаетесь его построить:
```
X509.java:3: error: package javax.xml.bind is not visible
        import javax.xml.bind.DatatypeConverter;
        ^
        (package javax.xml.bind is declared in module java.xml.bind, which is not in the module graph)
        1 error
```

Запустите его с помощью Java 8:

java X509 stackoverflow.crt.pem

В Java 9 - из-за модульной JDK/JPMS - DataTypeConverter не находится в java.base, но java.xml.bind, поэтому вам нужно явно зависеть от него при запуске вашей программы:

java --add-modules java.xml.bind X509 stackoverflow.crt.pem

В противном случае на Java 9 вы получите это при попытке запустить его:

Exception in thread "main" java.lang.NoClassDefFoundError: javax/xml/bind/DatatypeConverter
    at X509.getThumbPrint(X509.java:29)
    at X509.main(X509.java:19)
    Caused by: java.lang.ClassNotFoundException: javax.xml.bind.DatatypeConverter
    at java.base/jdk.internal.loader.BuiltinClassLoader.loadClass(BuiltinClassLoader.java:582)
    at java.base/jdk.internal.loader.ClassLoaders$AppClassLoader.loadClass(ClassLoaders.java:185)
    at java.base/java.lang.ClassLoader.loadClass(ClassLoader.java:496)
    ... 2 more

Получить ожидаемый результат:
```
47adb03649a2eb18f63ffa29790818349a99cab7
```

Ответ 2

Используя Apache Commons Codec вы можете сделать:

DigestUtils.sha1Hex(cert.getEncoded())

Ответ 3

Вы можете сгенерировать отпечаток с помощью команды openssl, так что пример, если у вас есть формат pem сертификата в файле (file.txt)

то

cat file.txt | openssl x509 -sha1 -fingerprint - это создаст тот же самый отпечаток

Ответ 4

Однострочный с помощью Google Guava

String sha256AsHex = Hashing.sha256().hashBytes(x509Certificate.getEncoded()).toString();

Ответ 5

Здесь более простой способ:

using System.Security.Cryptography.X509Certificates;    

X509Certificate2 xcert = new X509Certificate2("C:\some_cert.cerpub");
string certSubject = xcert.Subject;
string certThumbprint =  xcert.Thumbprint;