2

Existe uma forma segura de identificar, a partir de um objeto X509Certificate, se o certificado é A1 ou A3?

Estou usando a função abaixo, mas muito sujeita a falhas:

// Certificados podem ter descrições diferentes. Foram encontrados os casos abaixo
// "OU=Assinatura Tipo A3"
// "OU=RFB e-CPF A3"
private static boolean isA3(X509Certificate cert) {
    final String name = cert.getSubjectX500Principal().getName();
    final String[] issueValues = name.split(",");
    for (String value : issueValues) {
        final String[] field = value.split("=");
        if (field[0].equals("OU"))
            if (field[1].endsWith("A3"))
                return true;
    }

    return false;
}

1 Resposta 1

2

Os certificados ICP-Brasil possuem a extensão Certificate Policies, segundo consta no respectivo documento da Receita Federal (veja a seção 1.2.4):

o campo policyIdentifier contém o OID da Política de Certificação (PC) que a AC titular do certificado implementa;

Sendo assim, basta ler esta extensão e ver o valor que tem lá:

import org.bouncycastle.asn1.DERObjectIdentifier;
import org.bouncycastle.asn1.DERSequence;
import org.bouncycastle.asn1.x509.X509Extension;
import org.bouncycastle.x509.extension.X509ExtensionUtil;

X509Certificate cert = ...
// obter a extensão CertificatePolicies
byte[] value = cert.getExtensionValue(X509Extension.certificatePolicies.getId());
DERSequence seq = (DERSequence) X509ExtensionUtil.fromExtensionValue(value);
DERObjectIdentifier oid = (DERObjectIdentifier) ((DERSequence) seq.getObjectAt(0)).getObjectAt(0);
System.out.println(oid.getId());
if (oid.getId().startsWith("2.16.76.1.2.3.")) {
    // A3
} else if (oid.getId().startsWith("2.16.76.1.2.1.")) {
    // A1
}

Eu usei a biblioteca Bouncy Castle para ler o valor da extensão, pois interpretar os bytes manualmente é querer muito reinventar a roda. Para o código acima, usei a versão 1.46.

Enfim, o valor desta extensão é bem definido entre as AC's, e o importante é que todos possuem os mesmos dígitos iniciais, variando apenas o último dígito, que indica a AC específica. Alguns exemplos:

Serasa

  • A3: 2.16.76.1.2.3.10
  • A1: 2.16.76.1.2.1.13

Certisign:

  • A3: 2.16.76.1.2.3.6
  • A1: 2.16.76.1.2.1.12

Estes valores podem ser consultados nas respectivas Políticas de Certificado de cada AC:

  • Serasa A3 e A1 (os valores são indicados na seção 1.2.2, embora o documento da Serasa A3 esteja com o número errado (tem um "2" a mais no início)
  • Certisign A3 e A1, na seção 1.2

De qualquer forma, repare que para A3, ambos começam com 2.16.76.1.2.3 e somente o último dígito varia, pois ele indica a respectiva AC. Você pode consultar o valor 2.16.76.1.2.3 aqui, e veja que ele corresponde a "Certificate policy A3" (e veja também que todos os OID's que começam com 2.16.76.1 é porque estão abaixo da ICP-Brasil).

Já se você consultar 2.16.76.1.2.3.10, verá que corresponde a um A3 da Serasa-RFB, enquanto 2.16.76.1.2.3.6 corresponde a um A3 da Certisign-RFB. De qualquer forma, todos que começam com 2.16.76.1.2.3. são A3.

A mesma lógica vale para A1, basta começar com 2.16.76.1.2.1..

Repare que o ponto no final da string é importante, pois existem OID's como 2.16.76.1.2.303 e 2.16.76.1.2.101, então é importante que a comparação seja startsWith("2.16.76.1.2.1.") (se o último ponto for removido, você pode erroneamente considerar que 2.16.76.1.2.101 é um A1, por exemplo).


Se quiser saber a URL da respectiva Política de Certificado (o endereço do documento), ela também fica na mesma extensão - no exemplo acima, basta percorrer a sequência seq, ou imprimi-la diretamente, para ver esta URL. O código não é lá muito bonito:

DERSequence subSeq = (DERSequence) ((DERSequence) seq.getObjectAt(0)).getObjectAt(1);
DEREncodable url = ((DERSequence) subSeq.getObjectAt(0)).getObjectAt(1);
System.out.println(url.toString());

Se quiser, também pode fazer vários loops pela DERSequence (usando size() para saber o tamanho e getObjectAt para obter o respectivo objeto). Mas como esta estrutura é uma sequência dentro de outra dentro de outra, é bem "chatinho" de percorrê-la.


Em versões anteriores do Bouncy Castle era possível usar a classe CertificatePolicies, mas seus métodos estão deprecated (apesar de ainda funcionarem):

import org.bouncycastle.asn1.x509.CertificatePolicies;

byte[] value = cert.getExtensionValue(X509Extension.certificatePolicies.getId());
CertificatePolicies cp = CertificatePolicies.getInstance(X509ExtensionUtil.fromExtensionValue(value));
String policy = cp.getPolicy(0);
if (policy.startsWith("2.16.76.1.2.3.")) {
    // A3
} else if (policy.startsWith("2.16.76.1.2.1.")) {
    // A1
}
0

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .