Wie extrahiere ich CN aus X509Certificate in Java?

Ich verwende ein SslServerSocketund Client-Zertifikate und möchte den CN aus dem SubjectDN aus dem Client extrahieren X509Certificate.

Im Moment rufe ich an, cert.getSubjectX500Principal().getName()aber dies gibt mir natürlich den gesamten formatierten DN des Clients. Aus irgendeinem Grund interessiert mich nur der CN=theclientTeil des DN. Gibt es eine Möglichkeit, diesen Teil des DN zu extrahieren, ohne den String selbst zu analysieren?

Hier ist ein Code für die neue nicht veraltete BouncyCastle-API. Sie benötigen sowohl bcmail- als auch bcprov-Distributionen.

X509Certificate cert = ...;

X500Name x500name = new JcaX509CertificateHolder(cert).getSubject();
RDN cn = x500name.getRDNs(BCStyle.CN)[0];

return IETFUtils.valueToString(cn.getFirst().getValue());

Hier ist ein anderer Weg. Die Idee ist, dass der DN, den Sie erhalten, im Format rfc2253 vorliegt, das dem für LDAP-DN verwendeten entspricht. Warum also nicht die LDAP-API wiederverwenden?

import javax.naming.ldap.LdapName;
import javax.naming.ldap.Rdn;

String dn = x509cert.getSubjectX500Principal().getName();
LdapName ldapDN = new LdapName(dn);
for(Rdn rdn: ldapDN.getRdns()) {
    System.out.println(rdn.getType() + " -> " + rdn.getValue());
}

Wenn das Hinzufügen von Abhängigkeiten kein Problem darstellt, können Sie dies mit der API von Bouncy Castle für die Arbeit mit X.509-Zertifikaten tun :

import org.bouncycastle.asn1.x509.X509Name;
import org.bouncycastle.jce.PrincipalUtil;
import org.bouncycastle.jce.X509Principal;

...

final X509Principal principal = PrincipalUtil.getSubjectX509Principal(cert);
final Vector<?> values = principal.getValues(X509Name.CN);
final String cn = (String) values.get(0);

Aktualisieren

Zum Zeitpunkt dieser Veröffentlichung war dies der Weg, dies zu tun. Wie gtrak in den Kommentaren erwähnt, ist dieser Ansatz jetzt veraltet. Siehe den aktualisierten Code von gtrak , der die neue Bouncy Castle-API verwendet.

Als Alternative zu gtraks Code, der kein "bcmail" benötigt:

    X509Certificate cert = ...;
    X500Principal principal = cert.getSubjectX500Principal();

    X500Name x500name = new X500Name( principal.getName() );
    RDN cn = x500name.getRDNs(BCStyle.CN)[0]);

    return IETFUtils.valueToString(cn.getFirst().getValue());

@Jakub: Ich habe Ihre Lösung verwendet, bis meine SW auf Android ausgeführt werden musste. Und Android implementiert javax.naming.ldap nicht :-(

Eine Zeile mit http://www.cryptacular.org

CertUtil.subjectCN(certificate);

JavaDoc: http://www.cryptacular.org/javadocs/org/cryptacular/util/CertUtil.html#subjectCN(java.security.cert.X509Certificate)

Maven-Abhängigkeit:

<dependency>
    <groupId>org.cryptacular</groupId>
    <artifactId>cryptacular</artifactId>
    <version>1.1.0</version>
</dependency>

Alle bisher veröffentlichten Antworten haben ein Problem: Die meisten verwenden die interne X500Nameoder externe Bounty Castle-Abhängigkeit. Das Folgende baut auf der Antwort von @ Jakub auf und verwendet nur die öffentliche JDK-API, extrahiert aber auch den CN, wie vom OP gefordert. Es wird auch Java 8 verwendet, das Mitte 2017 stehen sollte.

Stream.of(certificate)
    .map(cert -> cert.getSubjectX500Principal().getName())
    .flatMap(name -> {
        try {
            return new LdapName(name).getRdns().stream()
                    .filter(rdn -> rdn.getType().equalsIgnoreCase("cn"))
                    .map(rdn -> rdn.getValue().toString());
        } catch (InvalidNameException e) {
            log.warn("Failed to get certificate CN.", e);
            return Stream.empty();
        }
    })
    .collect(joining(", "))

Hier erfahren Sie cert.getSubjectX500Principal().getName(), wie Sie einen regulären Ausdruck verwenden , falls Sie keine Abhängigkeit von BouncyCastle übernehmen möchten.

Diese Regex analysiert für jedes Match einen eindeutigen Namen, eine Angabe nameund valeine Erfassungsgruppe.

Wenn DN-Zeichenfolgen Kommas enthalten, sollen sie in Anführungszeichen gesetzt werden. Dieser reguläre Ausdruck behandelt sowohl Zeichenfolgen in Anführungszeichen als auch Zeichenfolgen in Anführungszeichen korrekt und behandelt maskierte Anführungszeichen in Zeichenfolgen in Anführungszeichen:

(?:^|,\s?)(?:(?<name>[A-Z]+)=(?<val>"(?:[^"]|"")+"|[^,]+))+

Hier ist schön formatiert:

(?:^|,\s?)
(?:
    (?<name>[A-Z]+)=
    (?<val>"(?:[^"]|"")+"|[^,]+)
)+

Hier ist ein Link, damit Sie ihn in Aktion sehen können: https://regex101.com/r/zfZX3f/2

Wenn Sie möchten, dass ein Regex nur den CN erhält , dann wird diese angepasste Version dies tun:

(?:^|,\s?)(?:CN=(?<val>"(?:[^"]|"")+"|[^,]+))

Ich habe BouncyCastle 1.49 und die Klasse, die es jetzt hat, ist org.bouncycastle.asn1.x509.Certificate. Ich habe mir den Code von IETFUtils.valueToString()- es ist etwas Besonderes, mit Backslashes zu entkommen. Für einen Domainnamen würde es nichts Schlechtes tun, aber ich denke, wir können es besser machen. In den Fällen, die ich mir angesehen habe, werden cn.getFirst().getValue()verschiedene Arten von Zeichenfolgen zurückgegeben, die alle die ASN1String-Schnittstelle implementieren, die eine getString () -Methode bereitstellt. Was für mich zu funktionieren scheint, ist

Certificate c = ...;
RDN cn = c.getSubject().getRDNs(BCStyle.CN)[0];
return ((ASN1String)cn.getFirst().getValue()).getString();

UPDATE: Diese Klasse befindet sich im "sun" -Paket und sollte mit Vorsicht verwendet werden. Danke Emil für den Kommentar :)

Ich wollte nur teilen, um die CN zu bekommen, ich mache:

X500Name.asX500Name(cert.getSubjectX500Principal()).getCommonName();

Zu Emil Lundbergs Kommentar siehe: Warum Entwickler keine Programme schreiben sollten, die "Sun" -Pakete nennen

In der Tat gtrakfunktioniert dies höchstwahrscheinlich, um das Client-Zertifikat zu erhalten und den CN zu extrahieren.

    X509Certificate[] certs = (X509Certificate[]) httpServletRequest
        .getAttribute("javax.servlet.request.X509Certificate");
    X509Certificate cert = certs[0];
    X509CertificateHolder x509CertificateHolder = new X509CertificateHolder(cert.getEncoded());
    X500Name x500Name = x509CertificateHolder.getSubject();
    RDN[] rdns = x500Name.getRDNs(BCStyle.CN);
    RDN rdn = rdns[0];
    String name = IETFUtils.valueToString(rdn.getFirst().getValue());
    return name;

Könnte Cryptacular verwenden, eine kryptografische Java-Bibliothek, die zur einfachen Verwendung auf Bouncycastle aufgebaut ist.

RDNSequence dn = new NameReader(cert).readSubject();
return dn.getValue(StandardAttributeType.CommonName);

Das Abrufen von CN aus dem Zertifikat ist nicht so einfach. Der folgende Code wird Ihnen definitiv helfen.

String certificateURL = "C://XYZ.cer";      //just pass location

CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509Certificate testCertificate = (X509Certificate)cf.generateCertificate(new FileInputStream(certificateURL));
String certificateName = X500Name.asX500Name((new X509CertImpl(testCertificate.getEncoded()).getSubjectX500Principal())).getCommonName();

Eine weitere Möglichkeit, mit einfachem Java umzugehen:

public static String getCommonName(X509Certificate certificate) {
    String name = certificate.getSubjectX500Principal().getName();
    int start = name.indexOf("CN=");
    int end = name.indexOf(",", start);
    if (end == -1) {
        end = name.length();
    }
    return name.substring(start + 3, end);
}

Regex-Ausdrücke sind ziemlich teuer in der Verwendung. Für solch eine einfache Aufgabe wird es wahrscheinlich ein Over-Kill sein. Stattdessen können Sie einen einfachen String-Split verwenden:

String dn = ((X509Certificate) certificate).getIssuerDN().getName();
String CN = getValByAttributeTypeFromIssuerDN(dn,"CN=");

private String getValByAttributeTypeFromIssuerDN(String dn, String attributeType)
{
    String[] dnSplits = dn.split(","); 
    for (String dnSplit : dnSplits) 
    {
        if (dnSplit.contains(attributeType)) 
        {
            String[] cnSplits = dnSplit.trim().split("=");
            if(cnSplits[1]!= null)
            {
                return cnSplits[1].trim();
            }
        }
    }
    return "";
}

X500Name ist eine interne Implementierung von JDK. Sie können jedoch Reflection verwenden.

public String getCN(String formatedDN) throws Exception{
    Class<?> x500NameClzz = Class.forName("sun.security.x509.X500Name");
    Constructor<?> constructor = x500NameClzz.getConstructor(String.class);
    Object x500NameInst = constructor.newInstance(formatedDN);
    Method method = x500NameClzz.getMethod("getCommonName", null);
    return (String)method.invoke(x500NameInst, null);
}

Sie können versuchen, getName (X500Principal.RFC2253, oidMap) zu verwenden oder herauszufinden,getName(X500Principal.CANONICAL, oidMap) welches die DN-Zeichenfolge am besten formatiert. Möglicherweise ist einer der oidMapKartenwerte die gewünschte Zeichenfolge.

BC machte die Extraktion viel einfacher:

X500Principal principal = x509Certificate.getSubjectX500Principal();
X500Name x500name = new X500Name(principal.getName());
String cn = x500name.getCommonName();

Für mehrwertige Attribute - mit LDAP-API ...

        X509Certificate testCertificate = ....

        X500Principal principal = testCertificate.getSubjectX500Principal(); // return subject DN
        String dn = null;
        if (principal != null)
        {
            String value = principal.getName(); // return String representation of DN in RFC 2253
            if (value != null && value.length() > 0)
            {
                dn = value;
            }
        }

        if (dn != null)
        {
            LdapName ldapDN = new LdapName(dn);
            for (Rdn rdn : ldapDN.getRdns())
            {
                Attributes attributes = rdn != null
                    ? rdn.toAttributes()
                    : null;

                Attribute attribute = attributes != null
                    ? attributes.get("CN")
                    : null;
                if (attribute != null)
                {
                    NamingEnumeration<?> values = attribute.getAll();
                    while (values != null && values.hasMoreElements())
                    {
                        Object o = values.next();
                        if (o != null && o instanceof String)
                        {
                            String cnValue = (String) o;
                        }
                    }
                }
            }
        }