¿Cómo recuperar/calcular la huella digital de un certificado X509 en Java?

Tengo un cliente de Java que está llamando a una operación de servicio web que toma un certificado "huella digital" como parámetro. Creo que la huella digital es una especie de hash SHA1, en formato de cadena hexadecimal, de la clave pública del certificado, pero no estoy seguro.¿Cómo recuperar/calcular la huella digital de un certificado X509 en Java?

El .NET framework parece incluir una forma simple de obtener este valor (propiedad X509Certificate2.Thumbprint). Ver las propiedades de un archivo .cer en Windows también muestra la huella, que se parece: por lo tanto,

a6 9c fd b0 58 0d a4 ee ae 9a 47 75 24 c3 0b 9f 5d b6 1c 77

Mi pregunta es: ¿Alguien sabe cómo recuperar o calcular esta cadena huella digital dentro de Java, si tengo una instancia de una java.security.cert.X509Certificate?

Fuente

2009-08-13 Matt Z

Esta demostración de Java (URLConnection) de oogle se conecta a una dirección URL https y/impresiones calcula todo tipo de huellas digitales, incluyendo pin-sha256, SKI y huellas dactilares: https://github.com/ecki/JavaCryptoTest/ blob/master/src/main/java/net/eckenfels/test/ssl/UrlInspect.java – eckes

El hash SHA-1 del DER encoding del certificado es lo que se obtiene .NET con X509Certificate2.Thumbprint.

Como se señaló en la remarks on MSDN:

La huella digital es generado dinámicamente utilizando el algoritmo SHA1 y no existe físicamente en el certificado. Dado que la huella digital es un valor único para el certificado, se usa comúnmente para encontrar un certificado particular en un almacén de certificados.

la biblioteca estándar de Java no proporciona la huella digital directamente, pero se puede obtener de esta manera:

DatatypeConverter.printHexBinary(
     MessageDigest.getInstance("SHA-1").digest(
       cert.getEncoded())).toLowerCase();

Aquí está un ejemplo trabajado completa utilizando un archivo PEM de fácil acceso:

Crear stackoverflow.crt.pem:

Crear X509.java:

import javax.xml.bind.DatatypeConverter; 
import java.io.FileInputStream; 
import java.io.FileNotFoundException; 
import java.security.MessageDigest; 
import java.security.NoSuchAlgorithmException; 
import java.security.cert.CertificateEncodingException; 
import java.security.cert.CertificateException; 
import java.security.cert.CertificateFactory; 
import java.security.cert.X509Certificate; 

public final class X509 { 
    public static void main(String[] args) 
      throws FileNotFoundException, CertificateException, NoSuchAlgorithmException { 
     FileInputStream is = new FileInputStream(args[0]); 
     CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509"); 
     X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(is); 
     String thumbprint = getThumbprint(cert); 
     System.out.println(thumbprint); 
    } 

    private static String getThumbprint(X509Certificate cert) 
      throws NoSuchAlgorithmException, CertificateEncodingException { 
     MessageDigest md = MessageDigest.getInstance("SHA-1"); 
     byte[] der = cert.getEncoded(); 
     md.update(der); 
     byte[] digest = md.digest(); 
     String digestHex = DatatypeConverter.printHexBinary(digest); 
     return digestHex.toLowerCase(); 
    } 
}

Compilar el programa con Java 8:

javac X509.java

o Java 9 - debido a JDK/JPMS modulares - DataTypeConverter no está en java.base, pero java.xml.bind, por lo que necesita depender explícitamente de él durante su compilación :

javac --add-modules java.xml.bind X509.java

De lo contrario, en Java 9, se obtiene este cuando intenta construirlo:

X509.java:3: error: package javax.xml.bind is not visible 
     import javax.xml.bind.DatatypeConverter; 
     ^
     (package javax.xml.bind is declared in module java.xml.bind, which is not in the module graph) 
     1 error

Ejecutar con Java 8:

java X509 stackoverflow.crt.pem

En Java 9 - debido a JDK modular/JPMS - DataTypeConverter no está en java.base, pero java.xml.unir, por lo que necesita depender explícitamente de él cuando se ejecuta su programa:

java --add-modules java.xml.bind X509 stackoverflow.crt.pem

De lo contrario, en Java 9, se obtiene este cuando intenta ejecutarlo:

Exception in thread "main" java.lang.NoClassDefFoundError: javax/xml/bind/DatatypeConverter 
    at X509.getThumbPrint(X509.java:29) 
    at X509.main(X509.java:19) 
    Caused by: java.lang.ClassNotFoundException: javax.xml.bind.DatatypeConverter 
    at java.base/jdk.internal.loader.BuiltinClassLoader.loadClass(BuiltinClassLoader.java:582) 
    at java.base/jdk.internal.loader.ClassLoaders$AppClassLoader.loadClass(ClassLoaders.java:185) 
    at java.base/java.lang.ClassLoader.loadClass(ClassLoader.java:496) 
    ... 2 more

Get the espera salida:

47adb03649a2eb18f63ffa29790818349a99cab7

Fuente

2009-08-13 10:17:54

¡Gracias por la respuesta! Buscando en Google encontré que la huella digital se usa comúnmente como un identificador único para un certificado, por lo que no parece ser específica de .NET. El servicio web que llamo lo está usando para encontrar el certificado en su tienda. –

El servicio web debe ser un servidor .NET. No he visto ningún otro servidor que utilice la huella digital para almacenar el certificado del cliente. .NET hizo tantas extensiones relacionadas con la seguridad, es posible que también encuentre otros problemas. A menos que su cliente necesite ser multiplataforma, sería mucho más fácil escribir el cliente en .NET también. –

+10

Las huellas dactilares no son exclusivas de .Net. ¿Has intentado conectarte a un servidor utilizando SSH con el que no te has conectado antes? Verás su huella digital. La tienda de certificados también incluirá huellas dactilares. – Henrik

puede generar la huella digital utilizando el comando openssl, así ejemplo, si usted tiene el formato PEM del certificado en un archivo (archivo.txt)

a continuación:

cat file.txt | openssl x509 -sha1 -fingerprint - esto generaría la misma huella digital

Fuente

2010-03-30 13:55:05 Clarence

¿Cómo ayuda eso con Java? – Hiro2k

-9

Aquí está una manera más simple:

using System.Security.Cryptography.X509Certificates;  

X509Certificate2 xcert = new X509Certificate2("C:\some_cert.cerpub"); 
string certSubject = xcert.Subject; 
string certThumbprint = xcert.Thumbprint;

Fuente

2010-05-17 15:31:45

Eso no es Java :-) Sé que es fácil de obtener en .NET –

Usando Apache Commons Codec puede hacer:

DigestUtils.sha1Hex(cert.getEncoded())

Fuente

2013-07-23 15:12:26

nice one-liner! – user882209

One-liner using G programa Guava

String sha256AsHex = Hashing.sha256().hashBytes(x509Certificate.getEncoded()).toString();

Fuente

2017-12-22 10:00:12

Para completar: comúnmente SHA-1 ('Hashing.sha1()') se usa como huella digital (como se ve en las otras respuestas). –

¿Cómo recuperar/calcular la huella digital de un certificado X509 en Java?

Respuesta

Cuestiones relacionadas