Comment récupérer / calculer l'empreinte numérique d'un certificat X509 en Java?

Question

J'ai un client Java qui appelle une opération de service Web qui prend un certificat "empreinte numérique" comme paramètre. Je crois que l'empreinte numérique est une sorte de hachage SHA1, au format de chaîne hexadécimale, du clé publique de cert, mais je ne suis pas sûr.

Le framework .NET semble inclure un moyen simple d'obtenir cette valeur ( propriété X509Certificate2.Thumbprint ). L'affichage des propriétés d'un fichier .cer dans Windows affiche également l'empreinte numérique, qui ressemble à:

a6 9c fd b0 58 0d a4 ee ae 9a 47 75 24 c3 0b 9f 5d b6 1c 77

Ma question est donc: Quelqu'un sait-il comment récupérer ou calculer cette chaîne d'empreinte numérique dans Java, si j'ai une instance d'un Java.security.cert.X509Certificate ?

ZZ Coder · Accepted Answer

Le hachage SHA-1 du encodage DER du certificat est ce que .NET obtient avec X509Certificate2.Thumbprint .

Comme indiqué sur le remarques sur MSDN :

L'empreinte numérique est générée dynamiquement à l'aide de l'algorithme SHA1 et n'existe pas physiquement dans le certificat. Étant donné que l'empreinte numérique est une valeur unique pour le certificat, elle est couramment utilisée pour rechercher un certificat particulier dans un magasin de certificats.

La bibliothèque standard de Java ne fournit pas directement l'empreinte numérique, mais vous pouvez l'obtenir comme ceci:

DatatypeConverter.printHexBinary( MessageDigest.getInstance("SHA-1").digest( cert.getEncoded())).toLowerCase();

Voici un exemple complet et fonctionnel utilisant un fichier PEM facilement accessible:

Créez stackoverflow.crt.pem :

Créez X509.Java :

import javax.xml.bind.DatatypeConverter; import Java.io.FileInputStream; import Java.io.FileNotFoundException; import Java.security.MessageDigest; import Java.security.NoSuchAlgorithmException; import Java.security.cert.CertificateEncodingException; import Java.security.cert.CertificateException; import Java.security.cert.CertificateFactory; import Java.security.cert.X509Certificate; public final class X509 { public static void main(String[] args) throws FileNotFoundException, CertificateException, NoSuchAlgorithmException { FileInputStream is = new FileInputStream(args[0]); CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509"); X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(is); String thumbprint = getThumbprint(cert); System.out.println(thumbprint); } private static String getThumbprint(X509Certificate cert) throws NoSuchAlgorithmException, CertificateEncodingException { MessageDigest md = MessageDigest.getInstance("SHA-1"); byte[] der = cert.getEncoded(); md.update(der); byte[] digest = md.digest(); String digestHex = DatatypeConverter.printHexBinary(digest); return digestHex.toLowerCase(); } }

Compilez le programme avec Java 8:
```
javac X509.Java 
```
Ou Java 9 - en raison de JDK/JPMS modulaire - DataTypeConverter n'est pas dans Java.base , mais Java.xml.bind , vous devez donc en dépendre explicitement lors de votre génération :
```
javac --add-modules Java.xml.bind X509.Java 
```
Sinon, sur Java 9, vous obtenez ceci lorsque vous essayez de le construire:
```
X509.Java:3: error: package javax.xml.bind is not visible import javax.xml.bind.DatatypeConverter; ^ (package javax.xml.bind is declared in module Java.xml.bind, which is not in the module graph) 1 error 
```

Exécutez-le avec Java 8:

Java X509 stackoverflow.crt.pem

Dans Java 9 - en raison de JDK/JPMS modulaire - DataTypeConverter n'est pas dans Java.base , mais Java.xml.bind , vous devez donc en dépendre explicitement lorsque vous exécutez votre programme:

Java --add-modules Java.xml.bind X509 stackoverflow.crt.pem

Sinon, sur Java 9, vous obtenez ceci lorsque vous essayez de l'exécuter:

Exception in thread "main" Java.lang.NoClassDefFoundError: javax/xml/bind/DatatypeConverter at X509.getThumbPrint(X509.Java:29) at X509.main(X509.Java:19) Caused by: Java.lang.ClassNotFoundException: javax.xml.bind.DatatypeConverter at Java.base/jdk.internal.loader.BuiltinClassLoader.loadClass(BuiltinClassLoader.Java:582) at Java.base/jdk.internal.loader.ClassLoaders$AppClassLoader.loadClass(ClassLoaders.Java:185) at Java.base/Java.lang.ClassLoader.loadClass(ClassLoader.Java:496) ... 2 more

Obtenez la sortie attendue:

47adb03649a2eb18f63ffa29790818349a99cab7

Martin Ždila · Answer

En utilisant Apache Commons Codec, vous pouvez faire:

DigestUtils.sha1Hex(cert.getEncoded())

Clarence · Answer

Vous pouvez générer l'empreinte numérique à l'aide de la commande openssl, par exemple si vous avez le format pem du certificat dans un fichier (file.txt)

puis:

cat file.txt | openssl x509 -sha1 -fingerprint - cela générerait la même empreinte numérique

Ahmad Abdelghany · Answer

One-liner utilisant Google Guava

String sha256AsHex = Hashing.sha256().hashBytes(x509Certificate.getEncoded()).toString();

Vahe Gharibyan · Answer

Petit exemple sans utiliser de bibliothèques.

object MessageDigestUtil { private val hexCode = "0123456789ABCDEF".toCharArray() fun sha1(input: ByteArray): ByteArray { return digest(input,"SHA-1") } @Throws(NoSuchAlgorithmException::class) fun getFingerprint(publicKey: PublicKey): String? { return printHexBinary(sha1(publicKey.encoded)) } private fun printHexBinary(data: ByteArray): String { val r = StringBuilder(data.size * 2) for (b in data) { r.append(hexCode[b.toInt() shr 4 and 0xF]) r.append(hexCode[(b and 0xF).toInt()]) } return r.toString() } @Throws(NoSuchAlgorithmException::class) private fun digest(input: ByteArray, algorithm: String): ByteArray { val digest = MessageDigest.getInstance(algorithm) digest.update(input) return digest.digest() } }