如何在Java中检索/计算X509证书的指纹？

java certificate

2022-08-31 22:41:49

我有一个java客户端正在调用Web服务操作，该操作将证书“指纹”作为参数。我相信指纹是证书公钥的某种十六进制字符串格式的SHA1哈希，但我不确定。

.NET 框架似乎包含获取此值的简单方法（X509Certificate2.Thumbprint 属性）。在 Windows 中查看.cer文件的属性也会显示指纹，如下所示：

a6 9c fd b0 58 0d a4 ee ae 9a 47 75 24 c3 0b 9f 5d b6 1c 77

因此，我的问题是：如果我有java.security.cert.X509Certificate的实例，有没有人知道如何在Java中检索或计算这个指纹字符串？

答案 1

证书的 DER 编码的 SHA-1 哈希是 .NET 通过 X509Certificate2.Thumbprint 获得的哈希。

正如在MSDN上的评论中所指出的：

指纹是使用 SHA1 算法动态生成的，实际上并不存在于证书中。由于指纹是证书的唯一值，因此它通常用于在证书存储区中查找特定证书。

Java的标准库不直接提供指纹，但你可以这样得到它：

DatatypeConverter.printHexBinary(
        MessageDigest.getInstance("SHA-1").digest(
                cert.getEncoded())).toLowerCase();

下面是一个使用方便访问的 PEM 文件的完整工作示例：

创建 stackoverflow.crt.pem：

创建 X509.java：

import javax.xml.bind.DatatypeConverter;
import java.io.FileInputStream;
import java.io.FileNotFoundException;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.security.cert.CertificateEncodingException;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

public final class X509 {
    public static void main(String[] args)
            throws FileNotFoundException, CertificateException, NoSuchAlgorithmException {
        FileInputStream is = new FileInputStream(args[0]);
        CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
        X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(is);
        String thumbprint = getThumbprint(cert);
        System.out.println(thumbprint);
    }

    private static String getThumbprint(X509Certificate cert)
            throws NoSuchAlgorithmException, CertificateEncodingException {
        MessageDigest md = MessageDigest.getInstance("SHA-1");
        byte[] der = cert.getEncoded();
        md.update(der);
        byte[] digest = md.digest();
        String digestHex = DatatypeConverter.printHexBinary(digest);
        return digestHex.toLowerCase();
    }
}

使用 Java 8 编译程序：

javac X509.java

或者Java 9 - 由于模块化的JDK / JPMS - DataTypeConverter不在java.base中，而是java.xml.bind，所以你需要在构建过程中显式依赖它：

javac --add-modules java.xml.bind X509.java

否则，在 Java 9 上，当您尝试构建它时，会得到以下结果：

X509.java:3: error: package javax.xml.bind is not visible
        import javax.xml.bind.DatatypeConverter;
        ^
        (package javax.xml.bind is declared in module java.xml.bind, which is not in the module graph)
        1 error

使用 Java 8 运行它：

java X509 stackoverflow.crt.pem

在Java 9中 - 由于模块化的JDK / JPMS - DataTypeConverter不在java.base中，而是java.xml.bind，因此在运行程序时需要显式依赖它：

java --add-modules java.xml.bind X509 stackoverflow.crt.pem

否则，在 Java 9 上，当您尝试运行它时，会得到以下结果：

Exception in thread "main" java.lang.NoClassDefFoundError: javax/xml/bind/DatatypeConverter
    at X509.getThumbPrint(X509.java:29)
    at X509.main(X509.java:19)
    Caused by: java.lang.ClassNotFoundException: javax.xml.bind.DatatypeConverter
    at java.base/jdk.internal.loader.BuiltinClassLoader.loadClass(BuiltinClassLoader.java:582)
    at java.base/jdk.internal.loader.ClassLoaders$AppClassLoader.loadClass(ClassLoaders.java:185)
    at java.base/java.lang.ClassLoader.loadClass(ClassLoader.java:496)
    ... 2 more

获取预期输出：

47adb03649a2eb18f63ffa29790818349a99cab7

答案 2

使用Apache Commons编解码器，你可以做：

DigestUtils.sha1Hex(cert.getEncoded())