CertificateFactoryオブジェクトの作成

CertificateFactoryオブジェクトの作成の詳細は、Java暗号化アーキテクチャ・リファレンス・ガイドのCertificateFactoryの項を参照してください。

CertPathオブジェクトの生成

CertificateFactoryのインスタンスは、CertificateオブジェクトのListから、またはCertPathのエンコードされた形式を含むInputStreamから、CertPathオブジェクトを生成します。CertPathと同様、それぞれのCertificateFactoryは、証明書パス(PKCS#7など)のデフォルトのエンコード形式をサポートします。CertPathオブジェクトを生成し、そのオブジェクトを入力ストリームから(デフォルトのエンコード形式で)読み込まれたデータを使って初期化するには、generateCertPathメソッドを使用します。

public final CertPath generateCertPath(InputStream inStream)

特定のエンコード形式から読み込まれたデータを使用する場合は次のようになります。

    public final CertPath generateCertPath(InputStream inStream, 
                                           String encoding)

サポートされているエンコード形式を調べるには、getCertPathEncodingsメソッドを使用します(デフォルトのエンコードが最初に返される)。

public final Iterator<String> getCertPathEncodings()

証明書パス・オブジェクトをCertificateオブジェクトのListから生成するには、次のメソッドを使用します。

public final CertPath generateCertPath(List<? extends Certificate> certificates)

CertificateFactoryは、ファクトリと同じ型のCertificatesで構成されたCertPathオブジェクトを常に返します。たとえば、X.509型のCertificateFactoryは、java.security.cert.X509Certificateのインスタンスである証明書で構成されたCertPathオブジェクトを返します。

次のコード例は、PKCS#7でエンコードされた、ファイルに格納されている証明書応答から証明書パスを生成する方法を示しています。

    // open an input stream to the file
    FileInputStream fis = new FileInputStream(filename);
    // instantiate a CertificateFactory for X.509
    CertificateFactory cf = CertificateFactory.getInstance("X.509");
    // extract the certification path from
    // the PKCS7 SignedData structure
    CertPath cp = cf.generateCertPath(fis, "PKCS7");
    // print each certificate in the path
    List<Certificate> certs = cp.getCertificates();
    for (Certificate cert : certs) {
        System.out.println(cert);
    }

次に、KeyStoreから証明書チェーンをフェッチして、CertificateFactoryを使ってCertPathに変換する別のコード例を示します。

    // instantiate a KeyStore with type JKS
    KeyStore ks = KeyStore.getInstance("JKS");
    // load the contents of the KeyStore
    ks.load(new FileInputStream("./keystore"),
        "password".toCharArray());
    // fetch certificate chain stored with alias "sean"
    Certificate[] certArray = ks.getCertificateChain("sean");
    // convert chain to a List
    List certList = Arrays.asList(certArray);
    // instantiate a CertificateFactory for X.509
    CertificateFactory cf = CertificateFactory.getInstance("X.509");
    // extract the certification path from
    // the List of Certificates
    CertPath cp = cf.generateCertPath(certList);

generateCertificatesという名前のCertificateFactoryに、Certificatesのシーケンスを構文解析する既存のメソッドがあることに注意してください。複数の証明書から成るエンコードでは、互いに関連性がないと思われる証明書のコレクションを解析する場合に、generateCertificatesを使用します。それ以外では、CertPathを生成し、CertPathValidator (後述)で検証する場合に、generateCertPathを使用します。

CertPathValidatorオブジェクトの生成

他のエンジン・クラスと同様に、特定の検証アルゴリズム用のCertPathValidatorオブジェクトを取得するには、CertPathValidatorクラスのgetInstance staticファクトリ・メソッドの1つを呼び出します。

        public static CertPathValidator getInstance(String algorithm)
        public static CertPathValidator getInstance(String algorithm, 
                                                    String provider)
        public static CertPathValidator getInstance(String algorithm, 
                                                    Provider provider)

algorithmパラメータは、証明書パス検証アルゴリズムの名前(「PKIX」など)です。標準のCertPathValidatorアルゴリズム名は、Javaセキュリティ標準アルゴリズム名にリストされています。

証明書パスの検証

CertPathValidatorオブジェクトが生成されると、validateメソッドを呼び出して、検証する証明書パスおよびアルゴリズム固有のパラメータ・セットを渡すことによって、パスを検証できます。

        public final CertPathValidatorResult 
                validate(CertPath certPath, CertPathParameters params)
                throws CertPathValidatorException, 
                       InvalidAlgorithmParameterException

検証アルゴリズムが成功すると、CertPathValidatorResultインタフェースを実装するオブジェクトに結果が返されます。そうでない場合は、CertPathValidatorExceptionがスローされます。CertPathValidatorExceptionには、CertPathを返すメソッドが含まれます。また、必要に応じて、アルゴリズムの失敗を引き起こした証明書のインデックスや、エラーの根本となる例外または原因を返すメソッドが含まれます。

validateメソッドに渡されるCertPathおよびCertPathParametersは、検証アルゴリズムによってサポートされた型である必要があります。それ以外の場合は、InvalidAlgorithmParameterExceptionがスローされます。たとえば、PKIXアルゴリズムを実装するCertPathValidatorインスタンスは、X.509型のCertPathオブジェクト、およびPKIXParametersのインスタンスであるCertPathParametersを検証します。

CertPathBuilderオブジェクトの生成

他のエンジン・クラスと同様に、特定の構築アルゴリズム用のCertPathBuilderオブジェクトを取得するには、CertPathBuilderクラスのgetInstance staticファクトリ・メソッドの1つを呼び出します。

        public static CertPathBuilder getInstance(String algorithm)
        public static CertPathBuilder getInstance(String algorithm, 
                                                  String provider)
        public static CertPathBuilder getInstance(String algorithm, 
                                                  Provider provider)

algorithmパラメータは、証明書パス構築アルゴリズムの名前(「PKIX」など)です。標準のCertPathBuilderアルゴリズム名は、Javaセキュリティ標準アルゴリズム名にリストされています。

証明書パスの構築

CertPathBuilderオブジェクトが生成されると、buildメソッドを呼び出して、アルゴリズム固有のパラメータ仕様を渡すことによって、パスを構築できます。

        public final CertPathBuilderResult build(CertPathParameters params)
                throws CertPathBuilderException, 
                       InvalidAlgorithmParameterException

構築アルゴリズムが成功すると、CertPathBuilderResultインタフェースを実装するオブジェクトに結果が返されます。失敗した場合は、たとえば、基になる例外(存在する場合)とエラー・メッセージなど、エラーについての情報を含むCertPathBuilderExceptionがスローされます。

buildメソッドに渡されるCertPathParametersは、構築アルゴリズムによってサポートされた型である必要があります。それ以外の場合は、InvalidAlgorithmParameterExceptionがスローされます。

CertStoreオブジェクトの生成

他のエンジン・クラスと同様に、特定のリポジトリ型用のCertStoreオブジェクトを取得するには、CertStoreクラスのgetInstance staticファクトリ・メソッドの1つを呼び出します。

        public static CertStore getInstance(String type, 
                CertStoreParameters params)
        public static CertStore getInstance(String type,
                CertStoreParameters params, String provider)
        public static CertStore getInstance(String type,
                CertStoreParameters params, Provider provider)

typeパラメータは、証明書リポジトリ型(「LDAP」など)の名前です。標準のCertStore型は、Javaセキュリティ標準アルゴリズム名にリストされています。

初期化パラメータ(params)は、リポジトリ型に固有のものです。たとえば、サーバー・ベースのリポジトリの初期化パラメータは、サーバーのホスト名およびポートを含みます。パラメータがこのCertStore型について無効な場合、InvalidAlgorithmParameterExceptionがスローされます。getCertStoreParametersメソッドは、CertStoreを初期化するために使用されたCertStoreParametersを返します。

        public final CertStoreParameters getCertStoreParameters()

証明書の取得

CertStoreオブジェクトを作成すると、getCertificatesメソッドを使用してリポジトリから証明書を取得できます。このメソッドは、CertSelectorオブジェクト(詳細は後述)を引数として取得します。この引数は、どの証明書が返されるかを決定する一連の選択条件を指定します。

        public final Collection<? extends Certificate> getCertificates(CertSelector selector) 
                throws CertStoreException

このメソッドは、選択条件を満たすjava.security.cert.CertificateオブジェクトのCollectionを返します。一致するものがない場合は、空のCollectionが返されます。リモート・リポジトリとの通信障害など、予期しないエラー状態が生じた場合は、通常、CertStoreExceptionがスローされます。

ある種のCertStore実装では、指定した選択条件に一致する証明書またはCRLをリポジトリ全体で検索できません。これらのインスタンスでは、CertStore実装は、証明書およびCRLを検索するセレクタで指定された情報を使用します。たとえば、LDAP CertStoreは、ディレクトリ内のすべてのエントリを検索しない場合があります。その代わりに、探している証明書を含んでいる可能性のあるエントリだけを検索します。提供されたCertSelectorが、LDAP CertStoreがどのエントリを検索する必要があるかを判断するための十分な情報を提供しない場合、LDAP CertStoreはCertStoreExceptionをスローすることがあります。

CRLの取得

getCRLsメソッドを使ってリポジトリからCRLを取得することもできます。このメソッドは、CRLSelectorオブジェクト(詳細は後述)を引数として取得します。この引数は、どのCRLが返されるかを決定する一連の選択条件を指定します。

        public final Collection<? extends CRL> getCRLs(CRLSelector selector) 
                throws CertStoreException

このメソッドは、選択条件を満たすjava.security.cert.CRLオブジェクトのCollectionを返します。一致するものがない場合は、空のCollectionが返されます。

LDAPCertStoreParametersクラス

LDAPCertStoreParametersクラスは、CertStoreParametersインタフェースの実装で、証明書およびCRLをLDAP型のCertStoreから取得するために最低限の初期化パラメータのセット(ディレクトリ・サーバーのホストおよびポート番号)を保持します。

LDAPCertStoreParametersを参照してください。

CollectionCertStoreParametersクラス

CollectionCertStoreParametersクラスは、CertStoreParametersインタフェースの実装で、証明書およびCRLをCollection型のCertStoreから取得するための初期化パラメータのセットを保持します。

CollectionCertStoreParametersを参照してください。

TrustAnchorオブジェクトの生成

TrustAnchorオブジェクトのインスタンスを生成するには、呼出し側は、信頼できるX509Certificateまたは公開キーと識別名のペアとして、「もっとも信頼できるCA」を指定する必要があります。また、呼出し側はオプションで、初期化の際に検証アルゴリズムが信頼できるアンカーに適用する名前の制約を指定することもできます。PKIXアルゴリズムでは、信頼できるアンカーに適用する名前の制約をサポートする必要がないため、PKIX CertPathValidatorまたはCertPathBuilderは、このパラメータをサポートすることなく例外をスローすることもできます。次のコンストラクタのうちの1つを使って、TrustAnchorオブジェクトを生成します。

        public TrustAnchor(X509Certificate trustedCert, 
                byte[] nameConstraints)
        public TrustAnchor(X500Principal caPrincipal, PublicKey pubKey, 
                byte[] nameConstraints)
        public TrustAnchor(String caName, PublicKey pubKey, 
                byte[] nameConstraints)

nameConstraintsパラメータは、NameConstraints拡張機能のASN.1 DERエンコードを含むバイト配列として指定されます。名前の制約がデコードできない(正しく書式設定されない)場合、IllegalArgumentExceptionがスローされます。

パラメータ値の取得

次のように、対応するgetメソッドを使って、各パラメータを取得できます。

        public final X509Certificate getTrustedCert()
        public final X500Principal getCA()
        public final String getCAName()
        public final PublicKey getCAPublicKey()
        public final byte[] getNameConstraints()

PKIXParametersオブジェクトの生成

PKIXParametersオブジェクトのインスタンスを生成するには、呼出し側は、PKIX検証アルゴリズムによる定義に従って「もっとも信頼できるCA」を指定する必要があります。もっとも信頼できるCAは、次のように、2つのコンストラクタのうちの1つを使って指定できます。

        public PKIXParameters(Set<TrustAnchor> trustAnchors) 
            throws InvalidAlgorithmParameterException
        public PKIXParameters(KeyStore keystore)
            throws KeyStoreException, InvalidAlgorithmParameterException

最初のコンストラクタを使用すると、呼出し側は、もっとも信頼できるCAをTrustAnchorオブジェクトのSetとして指定できます。かわりに、呼出し側は2番目のコンストラクタを使って、信頼できる証明書のエントリを含むKeyStoreインスタンスを指定できます。その各エントリは、もっとも信頼できるCAとみなされます。

パラメータ値の設定

PKIXParametersオブジェクトを作成すると、呼出し側は、様々なパラメータを設定(またはその現在の値を置換)できます。ここでは、パラメータを設定するためのいくつかのメソッドについて説明します。その他のメソッドの詳細は、PKIXParametersのAPIドキュメントを参照してください。

setInitialPoliciesメソッドは、PKIX検証アルゴリズムによって指定されたとおりに、初期ポリシー識別子を設定します。Setの要素は、Stringとして表現されたオブジェクト識別子(OID)です。initialPoliciesパラメータがnullであるか、または設定されていない場合、どのポリシーも受入れ可能です。

        public void setInitialPolicies(Set<String> initialPolicies)

setDateメソッドは、パスの妥当性を判定するための時間を設定します。dateパラメータが設定されていないか、またはnullである場合、現在の日付が使用されます。

        public void setDate(Date date)

setPolicyMappingInhibitedメソッドは、ポリシー・マッピング禁止フラグの値を設定します。指定されていない場合、フラグのデフォルト値はfalseです。

        public void setPolicyMappingInhibited(boolean val)

setExplicitPolicyRequiredメソッドは、明示的なポリシー要求フラグの値を設定します。指定されていない場合、フラグのデフォルト値はfalseです。

        public void setExplicitPolicyRequired(boolean val)

setAnyPolicyInhibitedメソッドは、ポリシー禁止フラグの値を設定します。指定されていない場合、フラグのデフォルト値はfalseです。

        public void setAnyPolicyInhibited(boolean val)

setTargetCertConstraintsメソッドを使用すると、呼出し側は、ターゲットまたはエンド・エンティティの証明書に制約を設定できます。たとえば、呼出し側は、ターゲットの証明書に特定の主体名を含むよう指定できます。制約は、CertSelectorオブジェクトとして指定されます。selectorパラメータがnullであるか、または設定されていない場合、ターゲットの証明書に制約は定義されません。

        public void setTargetCertConstraints(CertSelector selector)

setCertStoresメソッドを使用すると、呼出し側は、CertPathValidatorのPKIX実装がパス検証用CRLを検索するために使用するCertStoreオブジェクトのListを指定できます。これにより、CRLの位置を指定する拡張可能なメカニズムが提供されます。setCertStoresメソッドは、CertStoreオブジェクトのListをパラメータとして取得します。リスト中の最初のCertStoreは、後のエントリに優先します。

        public void setCertStores(List<CertStore> stores)

setCertPathCheckersメソッドを使用すると、呼出し側は、実装に固有の証明書パスのチェッカを生成することによってPKIX検証アルゴリズムを拡張できます。たとえば、このメカニズムは、非公開証明書の拡張情報を処理するために使用されます。setCertPathCheckersメソッドは、PKIXCertPathCheckerオブジェクト(後述)のリストをパラメータとして取得します。

        public void setCertPathCheckers(List<PKIXCertPathChecker> checkers)

setRevocationEnabledメソッドを使用すると、呼出し側は失効チェックを無効にできます。失効チェックは、PKIX検証アルゴリズムに必要なチェックなので、デフォルトでは有効になっています。ただし、PKIXでは、失効のチェック方法は定義しません。たとえば、実装はCRLまたはOCSPを使用することがあります。このメソッドを使用すると、呼出し側は、実装でデフォルトに設定された失効チェック・メカニズムが適当でない場合に、それを無効にできます。そのあとで、setCertPathCheckersメソッドを呼び出し、代わりとなるメカニズムを実装するPKIXCertPathCheckerに渡すことにより、別の失効チェック・メカニズムを指定できます。

        public void setRevocationEnabled(boolean val)

setPolicyQualifiersRejectedメソッドを使用すると、呼出し側は、ポリシー修飾子の処理を有効または無効に設定できます。PKIXParametersオブジェクトが生成されると、このフラグはtrueに設定されます。この設定は、ポリシー修飾子を処理するためのもっとも一般的な(かつ簡単な)方法を反映します。より複雑なポリシーを使用するアプリケーションでは、このフラグをfalseに設定する必要があります。

        public void setPolicyQualifiersRejected(boolean qualifiersRejected)

パラメータ値の取得

各パラメータの現在の値は、該当するgetメソッドを使って取得できます。これらのメソッドの詳細は、Class PKIXParametersのAPIドキュメントを参照してください。

PolicyNodeインタフェースは、PKIX証明書パス検証が正常に実行されると作成される有効なポリシー・ツリーのノードを表します。アプリケーションは、PKIXCertPathValidatorResultのgetPolicyTreeメソッドを使って、有効なポリシー・ツリーのルートを取得できます。ポリシー・ツリーの詳細は、RFC 5280を参照してください。

PolicyNodeのgetPolicyQualifiersメソッドは、PolicyQualifierInfoオブジェクトのSetを返します。その各オブジェクトは、このポリシーが適用される適切な証明書のCertificate Policies拡張情報に含まれるポリシー修飾子を表します。

ほとんどのアプリケーションでは、有効なポリシー・ツリーおよびポリシー修飾子を調べる必要はありません。PKIXParametersでポリシー関連のパラメータを設定することにより、アプリケーションのポリシー処理目標を実現できます。ただし、有効なポリシー・ツリーは、より複雑なアプリケーション、特にポリシー修飾子を処理するアプリケーションに利用できます。

これらのクラスの詳細は、Interface PolicyNodeおよびPolicyQualifierInfoのAPIドキュメントを参照してください。

PKIXBuilderParametersオブジェクトの生成

PKIXBuilderParametersオブジェクトの生成は、PKIXParametersオブジェクトの生成と同様です。ただし、PKIXBuilderParametersオブジェクトを生成するときに、呼出し側は、ターゲットまたはエンド・エンティティの証明書に制約を指定する必要があります。これらの制約は、ターゲットの証明書を探すのに十分な情報をCertPathBuilderに提供する必要があります。制約は、CertSelectorオブジェクトとして指定されます。次のコンストラクタのうちの1つを使って、PKIXBuilderParametersオブジェクトを生成します。

        public PKIXBuilderParameters(Set<TrustAnchor> trustAnchors, 
                CertSelector targetConstraints)
                throws InvalidAlgorithmParameterException
        public PKIXBuilderParameters(KeyStore keystore, 
                CertSelector targetConstraints) 
                throws KeyStoreException, InvalidAlgorithmParameterException
                                                

パラメータ値の取得/設定

PKIXBuilderParametersクラスは、PKIXParametersクラスで設定できるすべてのパラメータを継承します。さらに、setMaxPathLengthメソッドを呼び出して、証明書パス内の最大数の証明書に制限を設定することもできます。

        public void setMaxPathLength(int maxPathLength)

maxPathLengthパラメータは、証明書パスに存在できる非自動発行の中間証明書の最大数を指定します。PKIXアルゴリズムを実装しているCertPathBuilderインスタンスでは、指定された長さよりも長いパスを構築することはできません。値が0の場合、パスは単一の証明書だけを含むことができます。値が -1の場合、パスの長さは制約を受けません(つまり上限はない)。最大パス長を指定しなかった場合、デフォルトの5になります。このメソッドは、呼出し側の要求を満たすかどうかにかかわりなく、CertPathBuilderが長いパスを構築するのにリソースおよび時間を費やさないようにするために便利です。

パス内のCA証明書にBasic Constraints拡張機能が含まれている場合、結果がより短い証明書パスのときは常に、拡張機能のpathLenConstraintコンポーネントの値で maxPathLengthパラメータの値をオーバーライドします。また、対応するgetMaxPathLengthメソッドにより、このパラメータを取得することもできます。

        public int getMaxPathLength()

また、PKIXParametersクラスから継承されたsetCertStoresメソッドは、通常、CertPathBuilderのPKIX実装によって、パスを検証するためのCRLの検索だけでなく、パスを構築するための証明書の検索にも使用されます。これにより、証明書およびCRLの位置を指定する拡張可能なメカニズムが提供されます。

PKIXCertPathCheckerオブジェクトの生成および使用

PKIXCertPathCheckerクラスには、publicコンストラクタはありません。PKIXCertPathCheckerのインスタンスの生成は実装に固有の問題なので、あえてこのようになっています。たとえば、証明書の失効ステータスのチェックにOCSPを使用するPKIXCertPathChecker実装のコンストラクタは、OCSPサーバーのホスト名およびポートを要求できます。

        PKIXCertPathChecker checker = new OCSPChecker("ocsp.sun.com", 1321);

チェッカのインスタンスが生成されると、PKIXParametersクラスのaddCertPathCheckerメソッドを使って、パラメータとして追加できます。

        params.addCertPathChecker(checker);

また、チェッカのListは、PKIXParametersクラスのsetCertPathCheckersメソッドを使って追加できます。

PKIXCertPathCheckerオブジェクトの実装

PKIXCertPathCheckerクラスは、抽象クラスです。このクラスには4つのメソッド(check、getSupportedExtensions、init、およびisForwardCheckingSupported)があり、すべての固定サブクラスはこれらを実装する必要があります。

PKIXCertPathCheckerの実装は、簡単な場合と複雑な場合があります。PKIXCertPathChecker実装には、ステートレスとステートフルがあります。ステートレスな実装では、checkメソッドの連続する呼出しの間で、状態が維持されません。たとえば、特定のポリシー修飾子を含む各証明書を確認するPKIXCertPathCheckerはステートレスです。それに対して、ステートフルな実装では、checkメソッドの連続する呼出しの間で、状態を維持します。通常、ステートフルな実装のcheckメソッドは、証明書パス内の以前の証明書の内容に依存します。たとえば、NameConstraints拡張情報を処理するPKIXCertPathCheckerはステートフルです。

また、サービス・プロバイダ実装によって処理される証明書がPKIXCertPathCheckerに提供される(渡される)順序は、実装がステートフルである場合は特に重要です。証明書は、サービス・プロバイダが使用するアルゴリズムによって逆方向または順方向の順序で渡されます。逆方向とは、証明書がもっとも信頼できるCA (存在する場合)からターゲットの主体へと順序付けられていることを意味します。それに対して順方向とは、証明書がターゲットの主体からもっとも信頼できるCAへと順序付けられていることを意味します。PKIXCertPathChecker実装には、連続した証明書の処理方法を理解できるようにするため、順序を知らせる必要があります。

PKIXCertPathCheckerオブジェクトの初期化

initメソッドは、チェッカの内部状態を初期化します。

        public abstract void init(boolean forward)

すべてのステートフルな実装は、チェッカの内部状態をクリアまたは初期化する必要があります。こうすれば、サービス・プロバイダ実装は、初期化されていない状態のチェッカを呼び出すことができません。また、ステートフルなチェッカは、インスタンスを再度生成しなくても、以降の操作でそれを再利用できます。forwardパラメータは、PKIXCertPathCheckerに渡される証明書の順序を示します。forwardがtrueである場合、証明書はターゲットから信頼できるアンカーに渡され、falseの場合、信頼できるアンカーからターゲットに渡されます。

順方向のチェック

isForwardCheckingSupportedメソッドは、PKIXCertPathCheckerが順方向のチェックをサポートするかどうかを示すbooleanを返します。

        public abstract boolean isForwardCheckingSupported()

すべてのPKIXCertPathChecker実装は逆方向のチェックをサポートしている必要があります。PKIXCertPathChecker実装は順方向のチェックをサポートできます。

順方向のチェックをサポートすると、パスが構築時にチェックされるので、順方向に構築するCertPathBuilderの効率が向上します。ただし、ステートフルなPKIXCertPathCheckerでは、順方向チェックのサポートが難しいか、または不可能な場合があります。

サポートされる拡張情報

getSupportedExtensionsメソッドは、PKIXCertPathChecker実装がサポートする(つまり、認識し、処理できる) X.509拡張情報の不変のOID StringのSetを返します。

        public abstract Set<String> getSupportedExtensions()

拡張情報が処理されない場合、メソッドはnullを返す必要があります。すべての実装は、checkメソッドが処理するOID StringのSetを返す必要があります。

CertPathBuilderは、この情報を使って、順方向のチェックをサポートしないPKIXCertPathCheckerで順方向の構築を実行しているときでも、認識されない重要な拡張情報を含む証明書を識別できます。

チェックの実行

次のメソッドは、証明書に対するチェックを実行します。

        public abstract void 
                check(Certificate cert, Collection<String> unresolvedCritExts)
                throws CertPathValidatorException

unresolvedCritExtsパラメータには、OIDのコレクションがStringとして含まれています。これらのOIDは、まだ証明書パスの検証アルゴリズムで解釈されていない証明書内の重要な拡張情報のセットを表します。checkメソッドの固定実装は、unresolvedCritExtsパラメータから処理するすべての重要な拡張情報を削除する必要があります。

証明書がチェックに合格しない場合、CertPathValidatorExceptionがスローされる必要があります。

PKIXCertPathCheckerの複製

PKIXCertPathCheckerクラスは、Cloneableインタフェースを実装します。ステートフルなPKIXCertPathChecker実装はすべて、必要に応じて、cloneメソッドをオーバーライドする必要があります。cloneメソッドのデフォルトの実装は、Object.cloneメソッドを呼び出します。このメソッドは、元のオブジェクトのすべてのフィールドを新しいオブジェクトにコピーすることにより、簡単な複製を実行します。ステートレスな実装は、cloneメソッドをオーバーライドしません。ただし、ステートフルな実装はすべて、デフォルトのcloneメソッドが正しいことを確認し、必要に応じてそれをオーバーライドする必要があります。たとえば、配列内の状態を格納するPKIXCertPathCheckerは、配列を参照するだけではなく、配列のコピーを作成するため、cloneメソッドをオーバーライドする必要があります。

PKIXCertPathCheckerオブジェクトがCloneableである理由は、潜在的な証明書パスが行き詰まったり、障害ポイントに到達した場合、CertPathBuilder実装が効率的に戻り、別のパスを試すことができるようにするためです。この場合、実装は、複製されたオブジェクトを復元することにより、以前のパスの検証状態を復元できます。

PKIXサービス・プロバイダ実装によるPKIXCertPathCheckerの使用方法

各PKIXCertPathCheckerオブジェクトは、構築または検証アルゴリズムを開始する前に、サービス・プロバイダ実装によって初期化される必要があります。たとえば:

        List<PKIXCertPathChecker> checkers = params.getCertPathCheckers();
        for (PKIXCertPathChecker checker : checkers) {
            checker.init(false);
        }

検証する証明書ごとに、サービス・プロバイダ実装は各PKIXCertPathCheckerオブジェクトのcheckメソッドを順に呼び出し、証明書および残りの解釈されていない重要な拡張情報に渡します。

        for (PKIXCertPathChecker checker : checkers) {
            checker.check(cert, unresolvedCritExts);
        }

checkのどれかがCertPathValidatorExceptionをスローする場合、CertPathValidator実装は、検証手順を終了する必要があります。ただし、CertPathBuilder実装は、単に障害を記録し、引き続きその他の潜在的なパスを探す場合があります。すべてのcheckが成功した場合、サービス・プロバイダ実装は、すべての重要な拡張情報が解釈されていることを確認します。そうでない場合、検証が失敗したとみなされます。たとえば:

        if (unresolvedCritExts != null &&
            !unresolvedCritExts.isEmpty())
        {
            // Note that a CertPathBuilder may have an enclosing
            // try block to catch the exception and continue on error
            throw new CertPathValidatorException
                ("Unrecognized Critical Extension");
        }

前のセクションで説明したように、CertPathBuilder実装は、潜在的な証明書パスが行き詰まったり、障害ポイントに達した場合は、戻る必要があります。ここで戻るというのは、パス内の以前の証明書に戻り、その他の潜在的なパスを探すことを意味します。CertPathBuilder実装がパスの構築中にパスを検証する場合、各PKIXCertPathCheckerの以前の状態を復元する必要があります。これを行うには、各証明書が処理される前に、PKIXCertPathCheckerオブジェクトを複製します。たとえば:

        /* clone checkers */
        List newList = new ArrayList(checkers);
        ListIterator li = newList.listIterator();
        while (li.hasNext()) {   
            PKIXCertPathChecker checker = (PKIXCertPathChecker) li.next();
            li.set(checker.clone());
        }

基本の証明書パス検証

まず、証明書パスを検証するコードを考慮します。

Set<TrustAnchor> trustAnchors = getTrustAnchors();
CertPath cp = getCertPath();

PKIXParameters pkixp = new PKIXParameters(trustAnchors);
pkixp.setRevocationEnabled(false);

CertPathValidator cpv = CertPathValidator.getInstance("PKIX");
PKIXCertPathValidatorResult pcpvr =
    (PKIXCertPathValidatorResult)cpv.validate(cp, pkixp);

検証が失敗した場合、validate()メソッドは例外をスローします。

基本のステップは次のとおりです。

1. CAルート証明書および検証する証明書パスを取得します。
2. 信頼できるアンカーでPKIXParametersを作成します。
3. CertPathValidatorを使用して、証明書パスを検証します。

この例では、getTrustAnchors()およびgetCertPath()がCAルート証明書と証明書パスを取得するメソッドです。

この例のgetTrustAnchors()メソッドは、検証に使用したいCAルート証明書を表すTrustAnchorのSetを返す必要があります。これは、ファイルから単一のCAルート証明書をロードする1つの簡単な実装です。

public Set<TrustAnchor> getTrustAnchors()
    throws IOException, CertificateException {

  CertificateFactory cf = CertificateFactory.getInstance("X.509");

  X509Certificate c;
  try (InputStream in = new FileInputStream("x509_ca-certificate.cer")) {
    c = (X509Certificate)cf.generateCertificate(in);
  }

  TrustAnchor anchor = new TrustAnchor(c, null);
  return Collections.singleton(anchor);
}

同様に、これは、ファイルから証明書パスをロードするgetCertPath()の簡単な実装です。

public CertPath getCertPath() throws IOException, CertificateException {
  CertificateFactory cf = CertificateFactory.getInstance("X.509");

  CertPath cp;
  try (InputStream in = new FileInputStream("certpath.pkcs7")) {     
    cp = cf.generateCertPath(in, "PKCS7");
  }   
  return cp;
}

PKCS#7では、ファイル内の証明書の特定の順番を必要としないため、このコードは、証明書が検証されるエンティティから始まり、CAルートに戻る順番になっている場合の証明書パス検証にのみ有効です。証明書の順番が正しくない場合、追加の処理が必要です。CertificateFactoryには、この種類の処理に使用できるCollectionを受け付けるgenerateCertPath()メソッドがあります。

PKIXCertPathCheckerへの追加

証明書パス検証をカスタマイズするには、次のようにPKIXCertPathCheckerを追加します。この例では、SimpleCheckerはPKIXCertPathCheckerサブクラスです。新しい行をboldで示します。

Set<TrustAnchor> trustAnchors = getTrustAnchors();
CertPath cp = getCertPath();

PKIXParameters pkixp = new PKIXParameters(trustAnchors);
pkixp.setRevocationEnabled(false);

SimpleChecker sc = new SimpleChecker();
pkixp.addCertPathChecker(sc);

CertPathValidator cpv = CertPathValidator.getInstance("PKIX");
PKIXCertPathValidatorResult pcpvr =
    (PKIXCertPathValidatorResult)cpv.validate(cp, pkixp);

SimpleCheckerはPKIXCertPathCheckerの基本的なサブクラスです。そのcheck()メソッドは、検証される証明書パス内のすべての証明書に対して呼び出されます。SimpleCheckerはAlgorithmConstraints実装を使用して、各証明書の署名アルゴリズムと公開キーを調査します。

import java.security.AlgorithmConstraints;
import java.security.CryptoPrimitive;
import java.security.Key;
import java.security.cert.*;
import java.util.*;

public class SimpleChecker extends PKIXCertPathChecker {
  private final static Set<CryptoPrimitive> SIGNATURE_PRIMITIVE_SET =
      EnumSet.of(CryptoPrimitive.SIGNATURE);
  
  public void init(boolean forward) throws CertPathValidatorException {}
  
  public boolean isForwardCheckingSupported() { return true; }
  
  public Set<String> getSupportedExtensions() { return null; }
  
  public void check(Certificate cert,
      Collection<String> unresolvedCritExts)
      throws CertPathValidatorException {
    X509Certificate c = (X509Certificate)cert;
    String sa = c.getSigAlgName();
    Key key = c.getPublicKey();
    
    AlgorithmConstraints constraints = new SimpleConstraints();
    
    if (constraints.permits(SIGNATURE_PRIMITIVE_SET, sa, null) == false)
      throw new CertPathValidatorException("Forbidden algorithm: " + sa);

    if (constraints.permits(SIGNATURE_PRIMITIVE_SET, key) == false)
      throw new CertPathValidatorException("Forbidden key: " + key);
  }
}

最後に、SimpleConstraintsは、RSA 2048を必要とするAlgorithmConstraints実装です。

import java.security.AlgorithmConstraints;
import java.security.AlgorithmParameters;
import java.security.CryptoPrimitive;
import java.security.Key;
import java.security.interfaces.RSAKey;
import java.util.Set;

public class SimpleConstraints implements AlgorithmConstraints {
  public boolean permits(Set<CryptoPrimitive> primitives,
      String algorithm, AlgorithmParameters parameters) {
    return permits(primitives, algorithm, null, parameters);
  }

  public boolean permits(Set<CryptoPrimitive> primitives, Key key) {
    return permits(primitives, null, key, null);
  }
  
  public boolean permits(Set<CryptoPrimitive> primitives,
      String algorithm, Key key, AlgorithmParameters parameters) {
    if (algorithm == null) algorithm = key.getAlgorithm();
    
    if (algorithm.indexOf("RSA") == -1) return false;
    
    if (key != null) {
      RSAKey rsaKey = (RSAKey)key;
      int size = rsaKey.getModulus().bitLength();
      if (size < 2048) return false;
    }

    return true;
  }
}