如何在Java中檢索/計算X509證書的指紋？

我有一個java客戶端調用一個Web服務操作，它將證書「指紋」作爲參數。我相信拇指印是某種SHA1哈希，以十六進制字符串格式，證書的公鑰，但我不確定。如何在Java中檢索/計算X509證書的指紋？

.NET框架似乎包含一個簡單的方法來獲取此值（X509Certificate2.Thumbprint屬性）。在Windows中查看.CER文件的屬性還顯示指紋，它看起來像：因此

a6 9c fd b0 58 0d a4 ee ae 9a 47 75 24 c3 0b 9f 5d b6 1c 77

我的問題是：是否有人知道如何檢索或在Java計算這個指紋字符串，如果我有一個實例java.security.cert.X509Certificate？

來源

2009-08-13 Matt Z

此Java演示（URLConnection的）程序連接到HTTPS URL和打印/計算各種指紋，包括引腳SHA256，滑雪和拇指指模：https://github.com/ecki/JavaCryptoTest/ blob/master/src/main/java/net/eckenfels/test/ssl/UrlInspect.java – eckes 2016-03-23 01:58:27

證書的DER encoding的SHA-1散列是.NET正在獲得的內容X509Certificate2.Thumbprint。

作爲對remarks on MSDN注意到：

指紋是使用SHA1算法動態地生成的，並且不與證書中物理存在。由於指紋是證書的唯一值，因此它通常用於在證書存儲中查找特定的證書。

Java的標準庫不直接提供指紋，但你可以這樣說：

DatatypeConverter.printHexBinary(
     MessageDigest.getInstance("SHA-1").digest(
       cert.getEncoded())).toLowerCase();

下面是一個使用方便到達PEM文件一個完整的工作例如：

Create stackoverflow.crt.pem：

創建X509.java：

import javax.xml.bind.DatatypeConverter; 
import java.io.FileInputStream; 
import java.io.FileNotFoundException; 
import java.security.MessageDigest; 
import java.security.NoSuchAlgorithmException; 
import java.security.cert.CertificateEncodingException; 
import java.security.cert.CertificateException; 
import java.security.cert.CertificateFactory; 
import java.security.cert.X509Certificate; 

public final class X509 { 
    public static void main(String[] args) 
      throws FileNotFoundException, CertificateException, NoSuchAlgorithmException { 
     FileInputStream is = new FileInputStream(args[0]); 
     CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509"); 
     X509Certificate cert = (X509Certificate) certificateFactory.generateCertificate(is); 
     String thumbprint = getThumbprint(cert); 
     System.out.println(thumbprint); 
    } 

    private static String getThumbprint(X509Certificate cert) 
      throws NoSuchAlgorithmException, CertificateEncodingException { 
     MessageDigest md = MessageDigest.getInstance("SHA-1"); 
     byte[] der = cert.getEncoded(); 
     md.update(der); 
     byte[] digest = md.digest(); 
     String digestHex = DatatypeConverter.printHexBinary(digest); 
     return digestHex.toLowerCase(); 
    } 
}

與Java 8編譯程序：

javac X509.java

或Java 9 - 由於模塊化JDK/JPMS - DataTypeConverter不java.base，但java.xml.bind，所以你需要在你的構建過程中明確依賴它：

javac --add-modules java.xml.bind X509.java

否則，在Java的9，你這個當您嘗試構建它：

X509.java:3: error: package javax.xml.bind is not visible 
     import javax.xml.bind.DatatypeConverter; 
     ^
     (package javax.xml.bind is declared in module java.xml.bind, which is not in the module graph) 
     1 error

與Java 8運行：

java X509 stackoverflow.crt.pem

在Java 9 - 由於到模塊化JDK/JPMS - DataTypeConverter不在java.base，但是java.xml。結合，所以你需要運行您的程序時，明確依賴它：

java --add-modules java.xml.bind X509 stackoverflow.crt.pem

否則，在Java的9，你這個當您嘗試運行它：

Exception in thread "main" java.lang.NoClassDefFoundError: javax/xml/bind/DatatypeConverter 
    at X509.getThumbPrint(X509.java:29) 
    at X509.main(X509.java:19) 
    Caused by: java.lang.ClassNotFoundException: javax.xml.bind.DatatypeConverter 
    at java.base/jdk.internal.loader.BuiltinClassLoader.loadClass(BuiltinClassLoader.java:582) 
    at java.base/jdk.internal.loader.ClassLoaders$AppClassLoader.loadClass(ClassLoaders.java:185) 
    at java.base/java.lang.ClassLoader.loadClass(ClassLoader.java:496) 
    ... 2 more

得到預期輸出：

47adb03649a2eb18f63ffa29790818349a99cab7

來源

2009-08-13 10:17:54

感謝您的回答！谷歌搜索我發現指紋通常用作證書的唯一標識符，所以它似乎並不是.NET特定的。我打電話的網絡服務正在使用它在商店中查找證書。 – 2009-08-14 17:28:49

Web服務必須是.NET服務器。我還沒有看到其他服務器使用thumbprint來存儲客戶端證書。 .NET提供了很多與安全相關的擴展，您可能還會遇到其他問題。除非你的客戶需要跨平臺，否則在.NET中編寫客戶端也會容易得多。 – 2009-08-14 18:22:08

+10

指紋不是.Net獨佔的。您是否嘗試過使用SSH連接到您之前沒有連接過的服務器？你會看到它的指紋。證書商店也會列出指紋。 – Henrik 2012-09-15 13:18:09

可以使用openssl命令生成指紋，所以例如，如果你有證書的一個文件中PEM格式（file.txt的）

則：

cat file.txt | openssl x509 -sha1 -fingerprint - 這將產生相同的指紋

來源

2010-03-30 13:55:05 Clarence

這對Java有什麼幫助？ – Hiro2k 2013-07-23 15:17:24

-9

這裏有一個簡單的方法：

using System.Security.Cryptography.X509Certificates;  

X509Certificate2 xcert = new X509Certificate2("C:\some_cert.cerpub"); 
string certSubject = xcert.Subject; 
string certThumbprint = xcert.Thumbprint;

來源

2010-05-17 15:31:45

這不是Java :-)我知道很容易就可以使用.NET – 2010-06-14 08:20:34

使用Apache Commons Codec你可以這樣做：

DigestUtils.sha1Hex(cert.getEncoded())

來源

2013-07-23 15:12:26

。 – user882209 2013-10-16 14:09:03

單線程使用G oogle的Guava

String sha256AsHex = Hashing.sha256().hashBytes(x509Certificate.getEncoded()).toString();

來源

2017-12-22 10:00:12

爲了完整性 - 通常使用SHA-1（'Hashing.sha1（）'）作爲指紋（如其他答案中所見）。 – 2017-12-28 09:35:23

如何在Java中檢索/計算X509證書的指紋？

回答

相關問題