Certificat X509 et CRL

Bonjour à tous et merci pour votre aide futur :)

voila je débute dans l'utilisation des Certificat et la j'ai un blocage au niveau des CRL :(

j'arrive à accéder au informations de mon certificat, j'en extrait ce qui m'intéresse. puis je balance tout ça dans une applet.

mais la depuis deux jours je bloque sur un point non négligeable, c'est à dire vérifier si le certificat n'est pas révoqué

en ouvrant mon certificat j'ai vue deux choses :

- il existe un champ "url de revocation netscape"
-un autre champ aussi 'point de distribution de la liste de revocation de certificat"

Le problème est que je n'arrive pas a récupérer les information dans ce champ, car mis a part cela, je ne voit pas comment récupérer la CRL correspondante pour vérifier que le certificat n'est pas révoqué.

Mais cela amène aussi un autre problème.

si je veux faire la vérification dans cette CRL, il faut qu'elle soit sur le poste du client, même si il la télécharge, je ne pourrai pas savoir ou aller le chercher car il pourra la mettre un peu ou il veut ?

J'ai lu à quelques endroit des information sur OCSP, qui serait donc un protocole qui éviterai de télécharger cette CRL, et qui m'éviterai a mon avis bien des problèmes.

mais la a ce niveau c'est le néant je ne voit pas comment utiliser ça dans mon programme Java !

je ne demande pas du code tout frai et livré sur un plateau, mais juste quelques explication car la je suis, je l'avoue, un peu perdu !

merci d'avance pour votre aide

Salut,

Comme tu as dit ton certificat possède un champ : "point de distribution de la liste de revocation de certificat"
Ca veut dire que l'organisme ayant émis le certificat s'engage à publier la CRL à cet endroit, c'est une URL permettant de télécharger la CRL. SI la CRL n'est pas ici c'est que l'émetteur n'a pas respecté son contrat. Regarde peut-être ce post
Pour ce qui est de OCSP, ca permet de ne pas télécharger toute la CRL pour vérifier un certificat, qui peut être énorme. Le problème est que cette technologie n'est pas encore largement répandue, et il faut installer un répondeur OCSP sur un server.

Tout d'abord merci pour l'aide apportés

j'ai bien l'url indiquer, le problème et que, même après avoir fouiller pas mal la javadoc, je n'arrive pas a extraire l'URL qui est dans ce champs :'( (je ne trouve pas de méthode qui poura me retrouver cette information ...)

parce que dans mon programme java, je veux en gros que :

l'utilisateur chargera un certificat
Puis j'afficherai un message pour dire si le certificat est valide ou non, et pour cela j'ai besoin de savoir si le certificat n'a pas été révoqué

donc il faudrait que je puisse trouver l'url où est stocker la CRL
que je la charge
je lance ma vérification
puis j'affiche un message si le certificat est revoqué

mais la pour le moment je bloque sur la récuperation de la CRL

le reste du code a l'air bon, car j'ai tester avec une CRL telecharger en local et un certificat de test.
si j'indique bien ou se trouve la CRL, j'arrive a tester si le certificat est revoqué ou non !

donc je pense qu'il ne me reste plus qu'a débloqué ce dernier points qui me pose bien des soucis ;)

Je dois t'avouer que la bibliothèque standard de Java pour les certificats n'est pas top, et que souvent on préfère utiliser une bibliothèque extérieure (Flexiprovider, Bouncy Castle, ...) respectant les conventions de Sun et implémentant l'architecture du modèle de sécurité.
Désolé mais là avec la bibliothèque standard je peux pas t'aider plus...

ok bha je vais aller chercher ailleurs alors ;) (enfin au niveau des bibliothèques ^^)

merci pour tout :)

j'edit ma réponse car j'ai finalement trouvé ce que je cherchais (a peu près ^^)

donc si quelqu'un passe par la est à le même problème que moi

donc mon problème venais du fait que je n'arriver pas a accéder au champ qui contenait l'url de la CRL

en fait c'est tout bete :

byte[] test = cert.getExtensionValue("2.5.29.31");

cert étant mon fichier certificat au format X509

ensuite si vous voulez voir ce que contient ce tableau de byte

faite une boucle :

Code:

---

1 2 3 4

for(int i = 0;i<test.length;i++){ System.out.print((char)test[i]); }

---

bien convertir en char surtout ;)

puis la dedans j'ai trouver les differentes URL en lien avec la CRL, j'ai eu qu'a tronquer un peu le résultat pour ne garder que ce qui m'intéressai dans une String :)

et voila c'était aps si dur que ca :)

Bonjour,

Merci pour vous pour ce sujet car j'ai presque le meme pb.
En fait, je ne peut pas arriver à récupérer des informations à partir d'un fichier (.cer) pour détérminer si un certificat est révoqué ou non.

Alors j'ai utilisé comme vous avez dit la methode getExtensionValue(OID) pour récupérer le numero de série du certificat à partir du fichier "certificat.cer" et les numéro de série des certificats révoqués à partir d'un fichier "CRL.cer"
Mais j'ai rien obtenu que des erreurs pour cette méthode.

J'espére que j'etait claire dans mon explication.
ET je serai trés reconnaissante si vous pouvez m'aider.
Merci d'avance.

Salut,
Il va falloir que tu nous donnes un peu plus de code parce que là on sait pas ce que tu as écrit, etque tu nous donnes aussi l'erreur obtenue et où tu l'as obtenue
Tschau

Voila un code plus simple qui permet d'extraire la clé privé et qui m'a affiché le meme message d'erreur que le code précédent:

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19

import java.io.*; import java.security.*; public class Test { public static void main ( String args[]) { // ouvrir mon fichier certificat File certificat = new File("root.cer");   // Obtenir la clé privé byte[] test = certificat.getExtensionValue("2.5.29.16");   // Afficher le contenu du tableau for(int i = 0;i<test.length;i++) { System.out.print((char)test[i]); } } }

---

L'erreur est la suivante:

Code:

---

cannot resolve symbol method getExtensionValue (java.lang.String)

---

Merci

je ne sais pas si je vais bien te répondre mais bon on va essayer

déja pour avoir la liste des extension possible dans ton certificat :

Code:

---

1 2 3 4 5 6 7 8 9 10

Set critSet = cert.getCriticalExtensionOIDs(); if (critSet != null && !critSet.isEmpty()) { System.out.println("Set of critical extensions:"); for (Iterator i = critSet.iterator(); i.hasNext();) { String oid = (String)i.next(); al.add(oid); //System.out.println(oid); } }

---

cert est mon certificat et al est une arraylist dans laquel je stock toute les extension connu

tu peu faire la même avec getNonCriticalExtensionOIDs() ou la tu aura en plus les extension non critique

ensuite pour ce qui est de l'OID correspondant par exemple pour la liste de révocation c'est "2.5.29.31"

donc il te suffit de regarder si dans la liste des extension, celle ci est supporté !

sinon cela te provoquera une erreur

dit moi si sa t'avance ça sinon j'essayerai autre chose comme explication :)

Citation:

---

Envoyé par ysahel

Voila un code plus simple qui permet d'extraire la clé privé et qui m'a affiché le meme message d'erreur que le code précédent:

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19

import java.io.*; import java.security.*; public class Test { public static void main ( String args[]) { // ouvrir mon fichier certificat File certificat = new File("root.cer");   // Obtenir la clé privé byte[] test = certificat.getExtensionValue("2.5.29.16");   // Afficher le contenu du tableau for(int i = 0;i<test.length;i++) { System.out.print((char)test[i]); } } }

---

L'erreur est la suivante:

Code:

---

cannot resolve symbol method getExtensionValue (java.lang.String)

---

Merci

---

Euh là ton objet certificat est de type File alors c'est normal qu'il ne connaisse pas la méthode demandée qui est pour un certificat...
Il faut déjà que tu commences par revoir comment avoir un objet certificat à partir d'un fichier en Java... Cf la javadoc et l'exemple qui y est donné...

Salut,

S'il vous plais :( si vous avez une idée pour crée un objet certificat à partir d'un fichier en Java me l'envoyez car j'ai lu le javadoc mais j'ai pas trouvé la réponse.

Merci.

Et pourtant, à ce lien que j'ai donné dans mon précédent post, on peut voir :

Citation:

---

Envoyé par javadoc

Certificates are instantiated using a certificate factory. The following is an example of how to instantiate an X.509 certificate:

Code:

---

1 2 3 4 5

InputStream inStream = new FileInputStream("fileName-of-cert"); CertificateFactory cf = CertificateFactory.getInstance("X.509"); X509Certificate cert = (X509Certificate)cf.generateCertificate(inStream); inStream.close();

---

---

Merci pour vous,

Mais meme par ce bout de code que vous avez envoyez, j'ai pas pu ni lire mon certificat ni extraire, par exmple, le numero de serie du certificat.

Donc je serai trés reconnaissante si qqu' un pourra m'aider.
Et merci encore.

Pour faire simple

imaginons que tu as un certificat du nom cert.cer quie st stocker sur C:\certificat

pour instancier ton certificat il te faudra faire

Code:

---

1 2 3 4 5

InputStream inStream = new FileInputStream("C:\\certificat\\cert.cer"); CertificateFactory cf = CertificateFactory.getInstance("X.509"); X509Certificate cert = (X509Certificate)cf.generateCertificate(inStream); inStream.close();

---

ensuite pour récuperer le numéros de série par exemple

Code:

---

1 2	DERInteger SerialNumber = new DERInteger(cert.getSerialNumber());

---

et ainsi de suite pour obtenir chaque information

Merci,

J'ai executer ce bou de code mais il m'affiché une erreur:

cannot resolve symbole DERInteger
meme si j'ai fait l'importion de:import java.math.BigInteger;

Merci encore.

dans ce cas là ce qu'il aurait fallu importer

org.bouncycastle.asn1.DERInteger qui viens de la bibliothèque Bouncy castle

sinon fait juste un

Code:

---

1 2	BigInteger b = cert.getSerialNumber();

---

et la sa devrai aller.