Os certificados ICP-Brasil possuem a extensão Certificate Policies, segundo consta no respectivo documento da Receita Federal (veja a seção 1.2.4):
o campo policyIdentifier contém o OID da Política de Certificação (PC) que a AC
titular do certificado implementa;
Sendo assim, basta ler esta extensão e ver o valor que tem lá:
import org.bouncycastle.asn1.DERObjectIdentifier;
import org.bouncycastle.asn1.DERSequence;
import org.bouncycastle.asn1.x509.X509Extension;
import org.bouncycastle.x509.extension.X509ExtensionUtil;
X509Certificate cert = ...
// obter a extensão CertificatePolicies
byte[] value = cert.getExtensionValue(X509Extension.certificatePolicies.getId());
DERSequence seq = (DERSequence) X509ExtensionUtil.fromExtensionValue(value);
DERObjectIdentifier oid = (DERObjectIdentifier) ((DERSequence) seq.getObjectAt(0)).getObjectAt(0);
System.out.println(oid.getId());
if (oid.getId().startsWith("2.16.76.1.2.3.")) {
// A3
} else if (oid.getId().startsWith("2.16.76.1.2.1.")) {
// A1
}
Eu usei a biblioteca Bouncy Castle para ler o valor da extensão, pois interpretar os bytes manualmente é querer muito reinventar a roda. Para o código acima, usei a versão 1.46.
Enfim, o valor desta extensão é bem definido entre as AC's, e o importante é que todos possuem os mesmos dígitos iniciais, variando apenas o último dígito, que indica a AC específica. Alguns exemplos:
Serasa
- A3: 2.16.76.1.2.3.10
- A1: 2.16.76.1.2.1.13
Certisign:
- A3: 2.16.76.1.2.3.6
- A1: 2.16.76.1.2.1.12
Estes valores podem ser consultados nas respectivas Políticas de Certificado de cada AC:
- Serasa A3 e A1 (os valores são indicados na seção 1.2.2, embora o documento da Serasa A3 esteja com o número errado (tem um "2" a mais no início)
- Certisign A3 e A1, na seção 1.2
De qualquer forma, repare que para A3, ambos começam com 2.16.76.1.2.3
e somente o último dígito varia, pois ele indica a respectiva AC. Você pode consultar o valor 2.16.76.1.2.3
aqui, e veja que ele corresponde a "Certificate policy A3" (e veja também que todos os OID's que começam com 2.16.76.1
é porque estão abaixo da ICP-Brasil).
Já se você consultar 2.16.76.1.2.3.10
, verá que corresponde a um A3 da Serasa-RFB, enquanto 2.16.76.1.2.3.6
corresponde a um A3 da Certisign-RFB. De qualquer forma, todos que começam com 2.16.76.1.2.3.
são A3.
A mesma lógica vale para A1, basta começar com 2.16.76.1.2.1.
.
Repare que o ponto no final da string é importante, pois existem OID's como 2.16.76.1.2.303
e 2.16.76.1.2.101
, então é importante que a comparação seja startsWith("2.16.76.1.2.1.")
(se o último ponto for removido, você pode erroneamente considerar que 2.16.76.1.2.101
é um A1, por exemplo).
Se quiser saber a URL da respectiva Política de Certificado (o endereço do documento), ela também fica na mesma extensão - no exemplo acima, basta percorrer a sequência seq
, ou imprimi-la diretamente, para ver esta URL. O código não é lá muito bonito:
DERSequence subSeq = (DERSequence) ((DERSequence) seq.getObjectAt(0)).getObjectAt(1);
DEREncodable url = ((DERSequence) subSeq.getObjectAt(0)).getObjectAt(1);
System.out.println(url.toString());
Se quiser, também pode fazer vários loops pela DERSequence
(usando size()
para saber o tamanho e getObjectAt
para obter o respectivo objeto). Mas como esta estrutura é uma sequência dentro de outra dentro de outra, é bem "chatinho" de percorrê-la.
Em versões anteriores do Bouncy Castle era possível usar a classe CertificatePolicies
, mas seus métodos estão deprecated (apesar de ainda funcionarem):
import org.bouncycastle.asn1.x509.CertificatePolicies;
byte[] value = cert.getExtensionValue(X509Extension.certificatePolicies.getId());
CertificatePolicies cp = CertificatePolicies.getInstance(X509ExtensionUtil.fromExtensionValue(value));
String policy = cp.getPolicy(0);
if (policy.startsWith("2.16.76.1.2.3.")) {
// A3
} else if (policy.startsWith("2.16.76.1.2.1.")) {
// A1
}