6

keytool を使用せずに Java コードから証明書を生成して署名できるようにするコードに苦労しています。さらに、依存関係の問題と非互換性のために、bouncycastle ライブラリを使用できません。

これまでのところ、特定のパラメーターで CSR を生成するための作業コードを見つけましたが、機能しているようです (少なくとも、opensslツールはそれが実際に有効な CSR であることを確認します)。私が見つけたコードは次のとおりです。

http://www.journaldev.com/223/generating-a-certificate-signing-request-using-Java-api

X500Signerjdk7 に欠落しているクラスのため、簡単な変更で動作します。

自分の CA でこの CSR に署名するにはどうすればよいですか (openssl によって生成されたテキスト ファイルに CA キーと証明書があります)。

4

2 に答える 2

3

これを行う方法も検索しましたが、例が見つからなかったため、代わりに keytool ソースを調べました。(ここで見つけることができます: http://www.docjar.com/html/api/sun/security/tools/KeyTool.java.html )

署名を行う方法の例を次に示します。

private static final String SIGNATURE_ALGORITHM = "SHA1WITHRSA";
private static final long VALIDITY_DAYS = 14L;


public static byte[] sign(PKCS10 csr, X509CertImpl signerCert, PrivateKey signerPrivKey) throws CertificateException, IOException, InvalidKeyException, SignatureException {

    /*
     * The code below is partly taken from the KeyTool class in OpenJDK7.
     */

    X509CertInfo signerCertInfo = (X509CertInfo) signerCert.get(X509CertImpl.NAME + "." + X509CertImpl.INFO);
    X500Name issuer = (X500Name) signerCertInfo.get(X509CertInfo.SUBJECT + "." + CertificateSubjectName.DN_NAME);

    /*
     * Set the certificate's validity:
     * From now and for VALIDITY_DAYS days 
     */
    Date firstDate = new Date();
    Date lastDate = new Date();
    lastDate.setTime(firstDate.getTime() + VALIDITY_DAYS * 1000L * 24L * 60L * 60L);
    CertificateValidity interval = new CertificateValidity(firstDate, lastDate);

    /*
     * Initialize the signature object
     */
    Signature signature;
    try {
        signature = Signature.getInstance(SIGNATURE_ALGORITHM);
    } catch (NoSuchAlgorithmException e) {
        throw new RuntimeException(e);
    }
    signature.initSign(signerPrivKey);

    /*
     * Add the certificate information to a container object
     */
    X509CertInfo certInfo = new X509CertInfo();
    certInfo.set(X509CertInfo.VALIDITY, interval);
    certInfo.set(X509CertInfo.SERIAL_NUMBER, new CertificateSerialNumber(new Random().nextInt() & 0x7fffffff));
    certInfo.set(X509CertInfo.VERSION, new CertificateVersion(CertificateVersion.V3));
    try {
        certInfo.set(X509CertInfo.ALGORITHM_ID, new CertificateAlgorithmId(AlgorithmId.get(SIGNATURE_ALGORITHM)));
    } catch (NoSuchAlgorithmException e) {
        throw new RuntimeException(e);
    }
    certInfo.set(X509CertInfo.ISSUER, new CertificateIssuerName(issuer));
    certInfo.set(X509CertInfo.KEY, new CertificateX509Key(csr.getSubjectPublicKeyInfo()));
    certInfo.set(X509CertInfo.SUBJECT, new CertificateSubjectName(csr.getSubjectName()));

    /*
     * Add x509v3 extensions to the container
     */
    CertificateExtensions extensions = new CertificateExtensions();

    // Example extension.
    // See KeyTool source for more.
    boolean[] keyUsagePolicies = new boolean[9];
    keyUsagePolicies[0] = true; // Digital Signature
    keyUsagePolicies[2] = true; // Key encipherment
    KeyUsageExtension kue = new KeyUsageExtension(keyUsagePolicies);
    byte[] keyUsageValue = new DerValue(DerValue.tag_OctetString, kue.getExtensionValue()).toByteArray();
    extensions.set(KeyUsageExtension.NAME, new Extension(
            kue.getExtensionId(),
            true, // Critical
            keyUsageValue));


    /*
     * Create the certificate and sign it
     */
    X509CertImpl cert = new X509CertImpl(certInfo);
    try {
        cert.sign(signerPrivKey, SIGNATURE_ALGORITHM);
    } catch (NoSuchAlgorithmException e) {
        throw new RuntimeException(e);
    } catch (NoSuchProviderException e) {
        throw new RuntimeException(e);
    }

    /*
     * Return the signed certificate as PEM-encoded bytes
     */
    ByteOutputStream bos = new ByteOutputStream();
    PrintStream out = new PrintStream(bos);
    BASE64Encoder encoder = new BASE64Encoder();
    out.println(X509Factory.BEGIN_CERT);
    encoder.encodeBuffer(cert.getEncoded(), out);
    out.println(X509Factory.END_CERT);
    out.flush();
    return bos.getBytes();
}
于 2013-08-10T19:52:00.847 に答える
0

Java 8 では、PKCS10 クラスがありません。そのため、PKCS10 csr を渡す代わりに、PublicKey キーと X500Name 名を渡します
47/48 行目の csr.getSubjectPublicKeyInfo と csr.getSubjectName をキーと名前に置き換えます

于 2015-05-05T15:56:33.720 に答える