是否可以从 Java 访问 X509 证书的 MS Windows 证书模板名称？

如何解决是否可以从 Java 访问 X509 证书的 MS Windows 证书模板名称？

使用 BouncyCastle library 和下面的代码，可以访问存储在 MS Windows 信任/证书存储中的 SSL 证书的 MS Windows 证书模板信息扩展。

final KeyStore keyStore = KeyStore.getInstance("Windows-My","SunMSCAPI");
keyStore.load(null,null);
final X509Certificate certificate = (X509Certificate)keyStore.aliases().nextElement();
// see https://docs.microsoft.com/en-us/windows/win32/seccertenroll/supported-extensions#template
final String XCN_OID_CERTIFICATE_TEMPLATE = "1.3.6.1.4.1.311.21.7";
final byte[] extensionValue = certificate.getExtensionValue(XCN_OID_CERTIFICATE_TEMPLATE);
final ASN1InputStream aIn = new ASN1InputStream(extensionValue);
ASN1Primitive asn1obj = aIn.readObject();

if (asn1obj instanceof DEROctetString)
{
   final DEROctetString octets = (DEROctetString) asn1obj;
   asn1obj = ASN1Primitive.fromByteArray(octets.getOctets());
 }
final ASN1Sequence asn1seq = ASN1Sequence.getInstance(asn1obj);
final ASN1Encodable obj1 = asn1seq.getObjectAt(0);

final ASN1Primitive certificateTemplateOID = obj1.toASN1Primitive();
System.out.println(certificateTemplateOID.toString());

它会打印出类似 1.3.6.1.4.1.311.21.8.... 这是证书模板的 OID。

现在我想知道是否有提供此 OID 到证书模板名称的映射的 Java 方法或 Java 库（作为用户友好的字符串）-就像单击Windows 证书存储中的证书： Certificate template information in MS Windows

其他链接：

• Windows certificate extension for certificate templates
• Windows certificate extension for certificate templates - data structure
• ObjectIdentifiers (OID) in PKI

解决方法

获取此 OID 值的映射的唯一方法是在加入域的机器上调用 CryptEnumOIDInfo 函数。这些 OID 是动态生成的并存储在 Active Directory 中。此函数可以从本地 OID 数据库和 Active Directory 中读取 OID。请注意，您必须在安装了该证书模板的 AD 林中调用此函数。

---

17.02.2021 更新： 我指定了错误的功能。实际功能是CryptFindOIDInfo。该函数接受具有以下值的三个参数（对于您的给定情况）：

• dwKeyType -- 必须是 1 (CRYPT_OID_INFO_OID_KEY)
• *pvKey -- 必须是指向 ANSI 字符串的指针。
• dwGroupId -- 必须是 9 (CRYPT_TEMPLATE_OID_GROUP_ID)

该函数返回一个指向 CRYPT_OID_INFO 结构的指针。 pwszName 将存储请求的 OID 的友好名称。在给定的情况下，CRYPT_OID_INFO 结构的联合值为 DWORD dwValue。我不知道这在 Java 中有多容易。

作为另一种选择，如果您可以从 Java 访问 .NET API，您可以尝试使用 Oid(String) 构造函数实例化 Oid class：

var oid = new System.Security.Cryptography.Oid("1.3.6.1.4.1.311.21.8...");
Console.WriteLine(oid.FriendlyName); // this will output template display name.

,

正如@Crypt32 所指出的，函数 CryptFindOIDInfo 必须通过 Java NativeAccess (JNA) 调用：

这是 JNA 4.1.0 版的代码：

final NativeLibrary crypt32 = NativeLibrary.getInstance("Crypt32");
final int CRYPT_OID_INFO_OID_KEY = 1;
final int XCN_CRYPT_TEMPLATE_OID_GROUP_ID = 9;
final Function functionCryptFindOIDInfo = crypt32.getFunction("CryptFindOIDInfo");
final String ptrPvKey = certificateTemplateOID.toString();

final Object[] argsCryptFindOIDInfo = new Object[] { CRYPT_OID_INFO_OID_KEY,ptrPvKey,XCN_CRYPT_TEMPLATE_OID_GROUP_ID };
final CRYPT_OID_INFO result = (CRYPT_OID_INFO) functionCryptFindOIDInfo.invoke(CRYPT_OID_INFO.class,argsCryptFindOIDInfo);
System.out.println(result.pwszName);

类 CRYPT_OID_INFO.java

public class CRYPT_OID_INFO extends Structure
{
  public int cbSize;
  public String pszOID;
  public WString pwszName;
  public int dwGroupId;
  public DUMMYUNION DUMMYUNIONNAME;

  public CRYPT_DATA_BLOB ExtraInfo;
  public String pwszCNGAlgid;
  public String pwszCNGExtraAlgid;


  @Override
  public List<String> getFieldOrder()
  {
    final List<String> result = new ArrayList<>();
    result.add("cbSize");
    result.add("pszOID");
    result.add("pwszName");
    result.add("dwGroupId");
    result.add("DUMMYUNIONNAME");
    result.add("ExtraInfo");
    result.add("pwszCNGAlgid");
    result.add("pwszCNGExtraAlgid");
    return result;
  }
}

类 DUMMYUNION .java

public class DUMMYUNION extends Union
{
  public int dwValue;
  public int Algid;
  public int dwLength;
}

类 CRYPT_DATA_BLOB

public class CRYPT_DATA_BLOB extends Structure
{
  public int cbData;
  public Pointer pbData;

  @Override
  public List<String> getFieldOrder()
  {
    final String[] array = new String[] { "cbData","pbData" };
    return Arrays.asList(array);
  }
}