respuesta - ¿Cómo recuperar/calcular la huella digital de un certificado X509 en Java?

keytool list certificates

Question

Tengo un cliente de Java que está llamando a una operación de servicio web que toma un certificado "huella digital" como parámetro. Creo que la huella digital es una especie de hash SHA1, en formato de cadena hexadecimal, de la clave pública del certificado, pero no estoy seguro.

El .NET framework parece incluir una forma simple de obtener este valor (propiedad X509Certificate2.Thumbprint ). La visualización de las propiedades del archivo .cer en Windows también muestra la huella digital, que se ve así:

a6 9c fd b0 58 0d a4 ee ae 9a 47 75 24 c3 0b 9f 5d b6 1c 77

Mi pregunta es por lo tanto: ¿Alguien sabe cómo recuperar o calcular esta cadena de huellas digitales en Java, si tengo una instancia de java.security.cert.X509Certificate ?

Answer 1

Aquí hay una manera más simple:

using System.Security.Cryptography.X509Certificates;    

X509Certificate2 xcert = new X509Certificate2("C:/some_cert.cerpub");
string certSubject = xcert.Subject;
string certThumbprint =  xcert.Thumbprint;   

Answer 2

El hash SHA-1 de la codificación DER del certificado es lo que obtiene .NET con X509Certificate2.Thumbprint .

Como se señaló en los comentarios en MSDN :

La huella digital se genera dinámicamente utilizando el algoritmo SHA1 y no existe físicamente en el certificado. Dado que la huella digital es un valor único para el certificado, se usa comúnmente para encontrar un certificado particular en un almacén de certificados.

La biblioteca estándar de Java no proporciona la huella digital directamente, pero puede obtenerla así:

DatatypeConverter.printHexBinary(
        MessageDigest.getInstance("SHA-1").digest(
                cert.getEncoded())).toLowerCase();

Aquí hay un ejemplo completo trabajado usando un archivo PEM convenientemente accesible:

1. Crear .crt.pem :

   -----BEGIN CERTIFICATE-----
   MIIHHjCCBgagAwIBAgIQDhG71w1UtxDQxvVAtrUspDANBgkqhkiG9w0BAQsFADBw
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3
   d3cuZGlnaWNlcnQuY29tMS8wLQYDVQQDEyZEaWdpQ2VydCBTSEEyIEhpZ2ggQXNz
   dXJhbmNlIFNlcnZlciBDQTAeFw0xNjA1MjEwMDAwMDBaFw0xOTA4MTQxMjAwMDBa
   MGoxCzAJBgNVBAYTAlVTMQswCQYDVQQIEwJOWTERMA8GA1UEBxMITmV3IFlvcmsx
   HTAbBgNVBAoTFFN0YWNrIEV4Y2hhbmdlLCBJbmMuMRwwGgYDVQQDDBMqLnN0YWNr
   ZXhjaGFuZ2UuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr0YD
   zscT5i6T2FaRsTGNCiLB8OtPXu8N9iAyuaROh/nS0kRRsN8wUMk1TmgZhPuYM6oF
   S377V8W2LqhLBMrPXi7lnhvKt2DFWCyw38RrDbEsM5dzVGErmhux3F0QqcTI92zj
   VW61DmE7NSQLiR4yonVpTpdAaO4jSPJxn8d+4p1sIlU2JGSk8LZSWFqaROc7KtXt
   lWP4HahNRZtdwvL5dIEGGNWx+7B+XVAfY1ygc/UisldkA+a3D2+3WAtXgFZRZZ/1
   CWFjKWJNMAI6ZBAtlbgSNgRYxdcdleIhPLCzkzWysfltfiBmsmgz6VCoFR4KgJo8
   Gd3MeTWojBthM10SLwIDAQABo4IDuDCCA7QwHwYDVR0jBBgwFoAUUWj/kK8CB3U8
   zNllZGKiErhZcjswHQYDVR0OBBYEFFrBQmPCYhOznZSEqjIeF8tto4Z7MIIB6AYD
   VR0RBIIB3zCCAduCEyouc3RhY2tleGNoYW5nZS5jb22CEXN0YWNrb3ZlcmZsb3cu
   Y29tghMqLnN0YWNrb3ZlcmZsb3cuY29tgg1zdGFja2F1dGguY29tggtzc3RhdGlj
   Lm5ldIINKi5zc3RhdGljLm5ldIIPc2VydmVyZmF1bHQuY29tghEqLnNlcnZlcmZh
   dWx0LmNvbYINc3VwZXJ1c2VyLmNvbYIPKi5zdXBlcnVzZXIuY29tgg1zdGFja2Fw
   cHMuY29tghRvcGVuaWQuc3RhY2thdXRoLmNvbYIRc3RhY2tleGNoYW5nZS5jb22C
   GCoubWV0YS5zdGFja2V4Y2hhbmdlLmNvbYIWbWV0YS5zdGFja2V4Y2hhbmdlLmNv
   bYIQbWF0aG92ZXJmbG93Lm5ldIISKi5tYXRob3ZlcmZsb3cubmV0gg1hc2t1YnVu
   dHUuY29tgg8qLmFza3VidW50dS5jb22CEXN0YWNrc25pcHBldHMubmV0ghIqLmJs
   b2dvdmVyZmxvdy5jb22CEGJsb2dvdmVyZmxvdy5jb22CGCoubWV0YS5zdGFja292
   ZXJmbG93LmNvbYIVKi5zdGFja292ZXJmbG93LmVtYWlsghNzdGFja292ZXJmbG93
   LmVtYWlsMA4GA1UdDwEB/wQEAwIFoDAdBgNVHSUEFjAUBggrBgEFBQcDAQYIKwYB
   BQUHAwIwdQYDVR0fBG4wbDA0oDKgMIYuaHR0cDovL2NybDMuZGlnaWNlcnQuY29t
   L3NoYTItaGEtc2VydmVyLWc1LmNybDA0oDKgMIYuaHR0cDovL2NybDQuZGlnaWNl
   cnQuY29tL3NoYTItaGEtc2VydmVyLWc1LmNybDBMBgNVHSAERTBDMDcGCWCGSAGG
   /WwBATAqMCgGCCsGAQUFBwIBFhxodHRwczovL3d3dy5kaWdpY2VydC5jb20vQ1BT
   MAgGBmeBDAECAjCBgwYIKwYBBQUHAQEEdzB1MCQGCCsGAQUFBzABhhhodHRwOi8v
   b2NzcC5kaWdpY2VydC5jb20wTQYIKwYBBQUHMAKGQWh0dHA6Ly9jYWNlcnRzLmRp
   Z2ljZXJ0LmNvbS9EaWdpQ2VydFNIQTJIaWdoQXNzdXJhbmNlU2VydmVyQ0EuY3J0
   MAwGA1UdEwEB/wQCMAAwDQYJKoZIhvcNAQELBQADggEBAAzJAMGSdKoX1frdqNlN
   iXu8Gcbsm/DxWMXpcTXlZn8s+/qQQoc+/3o0CK3C8/j9n5DmsYa88P6Ntt5ysDs+
   b0ynXFva4CAEyKaoPM4SIpOjwfWBRSUOqAIkQO2/LhKBwT/EnpaIHIKGnI0UdXLQ
   oDfkMDg6mgJsEBsKdKF5EfEX7iU3NO5xVJPJE8/R0btLAdYwxB9S6fSpCXGe2HqQ
   D101O/7/4MWNdFSbfdDSFcn5oEm+idimrqiNrF5knmuJy4qPBkL7thNuGK6rvYCF
   ZJM03ZEZhkQmn2jG/7LgjfwZmvfcITeADCpylf88bL+lf+vxe6cCl9CyqWgBDpsI
   xpE=
   -----END CERTIFICATE-----

2. Crear X509.java :

   import javax.xml.bind.DatatypeConverter;
   import java.io.FileInputStream;
   import java.io.FileNotFoundException;
   import java.security.MessageDigest;
   import java.security.NoSuchAlgorithmException;
   import java.security.cert.CertificateEncodingException;
   import java.security.cert.CertificateException;
   import java.security.cert.CertificateFactory;
   import java.security.cert.X509Certificate;
   
   public final class X509 {
       public static void main(String[] args)
               throws FileNotFoundException, CertificateException, NoSuchAlgorithmException {
           FileInputStream is = new FileInputStream(args[0]);
           CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
           X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(is);
           String thumbprint = getThumbprint(cert);
           System.out.println(thumbprint);
       }
   
       private static String getThumbprint(X509Certificate cert)
               throws NoSuchAlgorithmException, CertificateEncodingException {
           MessageDigest md = MessageDigest.getInstance("SHA-1");
           byte[] der = cert.getEncoded();
           md.update(der);
           byte[] digest = md.digest();
           String digestHex = DatatypeConverter.printHexBinary(digest);
           return digestHex.toLowerCase();
       }
   }

3. Compila el programa con Java 8:

   javac X509.java

   O Java 9: ​​debido a JDK / JPMS modular, DataTypeConverter no está en java.base , sino java.xml.bind , por lo que necesita depender explícitamente de él durante su compilación:

   javac --add-modules java.xml.bind X509.java

   De lo contrario, en Java 9, obtienes esto cuando tratas de compilarlo:

   X509.java:3: error: package javax.xml.bind is not visible
           import javax.xml.bind.DatatypeConverter;
           ^
           (package javax.xml.bind is declared in module java.xml.bind, which is not in the module graph)
           1 error

4. Ejecútelo con Java 8:

   java X509 .crt.pem

   En Java 9, debido a JDK / JPMS modular, DataTypeConverter no está en java.base , sino en java.xml.bind , por lo que debe depender explícitamente de él cuando ejecute su programa:

   java --add-modules java.xml.bind X509 .crt.pem

   De lo contrario, en Java 9, obtienes esto cuando intentas ejecutarlo:

   Exception in thread "main" java.lang.NoClassDefFoundError: javax/xml/bind/DatatypeConverter
       at X509.getThumbPrint(X509.java:29)
       at X509.main(X509.java:19)
       Caused by: java.lang.ClassNotFoundException: javax.xml.bind.DatatypeConverter
       at java.base/jdk.internal.loader.BuiltinClassLoader.loadClass(BuiltinClassLoader.java:582)
       at java.base/jdk.internal.loader.ClassLoaders$AppClassLoader.loadClass(ClassLoaders.java:185)
       at java.base/java.lang.ClassLoader.loadClass(ClassLoader.java:496)
       ... 2 more

5. Obtenga el resultado esperado:

   47adb03649a2eb18f63ffa29790818349a99cab7

Answer 3

One-liner con la Guava de Google

String sha256AsHex = Hashing.sha256().hashBytes(x509Certificate.getEncoded()).toString();

Answer 4

Puede generar la huella digital utilizando el comando openssl, por ejemplo, si tiene el formato de pem del certificado en un archivo (archivo.txt)

entonces:

cat file.txt | openssl x509 -sha1 -fingerprint cat file.txt | openssl x509 -sha1 -fingerprint - esto generaría la misma huella digital

Answer 5

Usando Apache Commons Codec puedes hacer:

DigestUtils.sha1Hex(cert.getEncoded())