Get rid of log4j "not initialized" messages.
[java-idp.git] / src / edu / internet2 / middleware / shibboleth / utils / MetadataTool.java
1 /* 
2  * The Shibboleth License, Version 1. 
3  * Copyright (c) 2002 
4  * University Corporation for Advanced Internet Development, Inc. 
5  * All rights reserved
6  * 
7  * 
8  * Redistribution and use in source and binary forms, with or without 
9  * modification, are permitted provided that the following conditions are met:
10  * 
11  * Redistributions of source code must retain the above copyright notice, this 
12  * list of conditions and the following disclaimer.
13  * 
14  * Redistributions in binary form must reproduce the above copyright notice, 
15  * this list of conditions and the following disclaimer in the documentation 
16  * and/or other materials provided with the distribution, if any, must include 
17  * the following acknowledgment: "This product includes software developed by 
18  * the University Corporation for Advanced Internet Development 
19  * <http://www.ucaid.edu>Internet2 Project. Alternately, this acknowledegement 
20  * may appear in the software itself, if and wherever such third-party 
21  * acknowledgments normally appear.
22  * 
23  * Neither the name of Shibboleth nor the names of its contributors, nor 
24  * Internet2, nor the University Corporation for Advanced Internet Development, 
25  * Inc., nor UCAID may be used to endorse or promote products derived from this 
26  * software without specific prior written permission. For written permission, 
27  * please contact shibboleth@shibboleth.org
28  * 
29  * Products derived from this software may not be called Shibboleth, Internet2, 
30  * UCAID, or the University Corporation for Advanced Internet Development, nor 
31  * may Shibboleth appear in their name, without prior written permission of the 
32  * University Corporation for Advanced Internet Development.
33  * 
34  * 
35  * THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" 
36  * AND WITH ALL FAULTS. ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT 
37  * LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY, FITNESS FOR A 
38  * PARTICULAR PURPOSE, AND NON-INFRINGEMENT ARE DISCLAIMED AND THE ENTIRE RISK 
39  * OF SATISFACTORY QUALITY, PERFORMANCE, ACCURACY, AND EFFORT IS WITH LICENSEE. 
40  * IN NO EVENT SHALL THE COPYRIGHT OWNER, CONTRIBUTORS OR THE UNIVERSITY 
41  * CORPORATION FOR ADVANCED INTERNET DEVELOPMENT, INC. BE LIABLE FOR ANY DIRECT, 
42  * INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES 
43  * (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; 
44  * LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND 
45  * ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT 
46  * (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS 
47  * SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
48  */
49
50 package edu.internet2.middleware.shibboleth.utils;
51
52 import jargs.gnu.CmdLineParser;
53
54 import java.io.*;
55 import java.security.*;
56 import java.security.cert.Certificate;
57 import java.security.cert.*;
58 import org.apache.log4j.ConsoleAppender;
59 import org.apache.log4j.Level;
60 import org.apache.log4j.Logger;
61 import org.apache.log4j.PatternLayout;
62 import org.apache.xml.security.c14n.*;
63 import org.apache.xml.security.signature.*;
64 import org.apache.xml.security.transforms.*;
65 import org.w3c.dom.*;
66
67 import edu.internet2.middleware.shibboleth.common.XML;
68
69 /**
70  *  Signs/verifies/maintains Shibboleth metadata files
71  *
72  * @author     Scott Cantor
73  * @created    June 11, 2002
74  */
75 public class MetadataTool
76 {
77     /**
78      *  Signs/verifies/maintains Shibboleth metadata files
79      *
80      * @param  argv           The command line arguments
81      * @exception  Exception  One of about fifty different kinds of possible errors
82      */
83     public static void main(String args[]) throws Exception {
84         // Process the command line.
85         CmdLineParser parser = new CmdLineParser();
86         CmdLineParser.Option helpOption = parser.addBooleanOption('h', "help");
87         CmdLineParser.Option signOption = parser.addBooleanOption('s', "sign");
88         CmdLineParser.Option noverifyOption = parser.addBooleanOption('N', "noverify");
89         CmdLineParser.Option inOption = parser.addStringOption('i', "in");
90         CmdLineParser.Option outOption = parser.addStringOption('o', "out");
91         CmdLineParser.Option keystoreOption = parser.addStringOption('k', "keystore");
92         CmdLineParser.Option aliasOption = parser.addStringOption('a', "alias");
93         CmdLineParser.Option pwOption = parser.addStringOption('p', "password");
94         CmdLineParser.Option nsOption = parser.addStringOption('x', "ns");
95         CmdLineParser.Option nameOption = parser.addStringOption('n', "name");
96
97         try {
98             parser.parse(args);
99         }
100         catch (CmdLineParser.OptionException e) {
101             System.err.println(e.getMessage());
102             try {
103                 Thread.sleep(100); //silliness to get error to print first
104             }
105             catch (InterruptedException ie) {
106                 //doesn't matter
107             }
108             printUsage(System.out);
109             System.exit(-1);
110         }
111
112         Boolean helpEnabled = (Boolean)parser.getOptionValue(helpOption);
113         if (helpEnabled != null && helpEnabled.booleanValue()) {
114             printUsage(System.out);
115             System.exit(0);
116         }
117
118
119                 configureLogging(false);
120         
121         Boolean sign = (Boolean)parser.getOptionValue(signOption);
122         Boolean noverify = (Boolean)parser.getOptionValue(noverifyOption);
123         String keystore = (String)parser.getOptionValue(keystoreOption);
124         String pw = (String)parser.getOptionValue(pwOption);
125         String alias = (String)parser.getOptionValue(aliasOption);
126         String infile = (String)parser.getOptionValue(inOption);
127         String outfile = (String)parser.getOptionValue(outOption);
128         String ns = (String)parser.getOptionValue(nsOption);
129         String name = (String)parser.getOptionValue(nameOption);
130
131         if (infile == null || infile.length() == 0) {
132             printUsage(System.out);
133             System.exit(1);
134         }
135         
136         if (keystore != null && keystore.length() > 0) {
137             if (alias == null || alias.length() == 0) {
138                 printUsage(System.out);
139                 System.exit(1);
140             }
141         }
142
143         PrivateKey privateKey = null;
144         Certificate chain[] = null;
145         X509Certificate cert = null;
146         
147         if (sign != null && sign.booleanValue()) {
148             if (keystore == null || keystore.length() == 0 || pw == null || pw.length() == 0) {
149                 printUsage(System.out);
150                 System.exit(1);
151             }
152             KeyStore ks = KeyStore.getInstance("JKS");
153             FileInputStream fis = new FileInputStream(keystore);
154             ks.load(fis, pw.toCharArray());
155             privateKey = (PrivateKey)ks.getKey(alias, pw.toCharArray());
156             chain = ks.getCertificateChain(alias);
157             if (privateKey == null || chain == null) {
158                 System.err.println("error: couldn't load key or certificate chain from keystore");
159                 System.exit(1);
160             }
161         }
162         else if (keystore != null && keystore.length() > 0){
163             KeyStore ks = KeyStore.getInstance("JKS");
164             FileInputStream fis = new FileInputStream(keystore);
165             ks.load(fis, null);
166             cert = (X509Certificate)ks.getCertificate(alias);
167             if (cert == null) {
168                 System.err.println("error: couldn't load certificate from keystore");
169                 System.exit(1);
170             }
171         }
172         else if (noverify == null || !noverify.booleanValue()) {
173             printUsage(System.out);
174             System.exit(1);
175         }
176         
177         org.opensaml.XML.parserPool.registerSchema(XML.SHIB_NS, XML.SHIB_SCHEMA_ID, new XML.SchemaResolver());
178         org.opensaml.XML.parserPool.registerSchema(XML.TRUST_NS, XML.TRUST_SCHEMA_ID, new XML.SchemaResolver());
179         
180         // Parse file and verify root element.
181         Document doc = org.opensaml.XML.parserPool.parse(infile);
182         Element e = doc.getDocumentElement();
183         if (ns != null && name != null && !org.opensaml.XML.isElementNamed(e,ns,name)) {
184             System.err.println("error: root element did not match ns and name parameters");
185             System.exit(1);
186         }
187         else if (!org.opensaml.XML.isElementNamed(e,XML.SHIB_NS,"SiteGroup") &&
188                             !org.opensaml.XML.isElementNamed(e,XML.SHIB_NS,"Trust") &&
189                                         !org.opensaml.XML.isElementNamed(e,XML.TRUST_NS,"Trust")) {
190             System.err.println("error: root element must be shib:SiteGroup, shib:Trust, or trust:Trust");
191             System.exit(1);
192         }
193
194         if (sign != null && sign.booleanValue()) {
195             // Remove any existing signature.
196             Element old = org.opensaml.XML.getLastChildElement(e, org.opensaml.XML.XMLSIG_NS, "Signature");
197             if (old != null)
198                 e.removeChild(old);
199
200             // Create new signature.
201             XMLSignature sig = new XMLSignature(doc, null, XMLSignature.ALGO_ID_SIGNATURE_RSA_SHA1);
202             Transforms transforms = new Transforms(doc);
203             transforms.addTransform(Transforms.TRANSFORM_ENVELOPED_SIGNATURE);
204             transforms.addTransform(Transforms.TRANSFORM_C14N_EXCL_OMIT_COMMENTS);
205             sig.addDocument("", transforms, org.apache.xml.security.utils.Constants.ALGO_ID_DIGEST_SHA1);
206             for (int i=0; i < chain.length; i++)
207                 sig.addKeyInfo((X509Certificate)chain[i]);
208             e.appendChild(sig.getElement());
209             sig.sign(privateKey);
210         }
211         else {
212             Element sigElement = org.opensaml.XML.getLastChildElement(e, org.opensaml.XML.XMLSIG_NS, "Signature");
213             boolean v = (noverify == null || !noverify.booleanValue());
214             if (v) {
215                 if (sigElement == null) {
216                     System.err.println("error: file is not signed");
217                     System.exit(1);
218                 }
219                 XMLSignature sig = new XMLSignature(sigElement, null);
220                 if (!sig.checkSignatureValue(cert)) {
221                     System.err.println("error: signature on file did not verify");
222                     System.exit(1);
223                 }
224             }
225             else if (sigElement != null) {
226                 XMLSignature sig = new XMLSignature(sigElement, null);
227                 System.err.println("verification of signer disabled, make sure you trust the source of this file!");
228                 if (!sig.checkSignatureValue(sig.getKeyInfo().getPublicKey())) {
229                     System.err.println("error: signature on file did not verify");
230                     System.exit(1);
231                 }
232             }
233             else {
234                 System.err.println("verification disabled, and file is unsigned!");
235             }
236         }
237         
238         OutputStream out = null;
239         Canonicalizer c = Canonicalizer.getInstance(Canonicalizer.ALGO_ID_C14N_EXCL_WITH_COMMENTS);
240         if (outfile != null && outfile.length() > 0) {
241             out = new FileOutputStream(outfile);
242             out.write(c.canonicalizeSubtree(doc));
243             out.close();
244         }
245         else {
246                 System.out.write(c.canonicalizeSubtree(doc));
247         }
248     }
249
250     private static void printUsage(PrintStream out)
251     {
252
253         out.println("usage: java edu.internet2.middleware.shibboleth.utils.MetadataTool");
254         out.println();
255         out.println("when signing:   -i <uri> -s -k <keystore> -a <alias> -p <pass> [-o <outfile>]");
256         out.println("when updating:  -i <uri> [-k <keystore> -a <alias> OR -N ] [-o <outfile>]");
257         out.println("  -i,--in              input file or url");
258         out.println("  -k,--keystore        pathname of Java keystore file");
259         out.println("  -a,--alias           alias of signing or verification key");
260         out.println("  -p,--password        keystore/key password");
261         out.println("  -o,--outfile         write signed copy to this file instead of stdout");
262         out.println("  -s,--sign            sign the input file and write out a signed version");
263         out.println("  -N,--noverify        allows update of file without signature check");
264         out.println("  -h,--help            print this message");
265         out.println("  -x,--ns              XML namespace of root element");
266         out.println("  -n,--name            name of root element");
267         out.println();
268         System.exit(1);
269     }
270         
271         private static void configureLogging(boolean debugEnabled) {
272                 ConsoleAppender rootAppender = new ConsoleAppender();
273                 rootAppender.setWriter(new PrintWriter(System.out));
274                 rootAppender.setName("stdout");
275                 Logger.getRootLogger().addAppender(rootAppender);
276
277                 if (debugEnabled) {
278                         Logger.getRootLogger().setLevel(Level.DEBUG);
279                         rootAppender.setLayout(new PatternLayout("%-5p %-41X{serviceId} %d{ISO8601} (%c:%L) - %m%n")); 
280                 } else {
281                         Logger.getRootLogger().setLevel(Level.INFO);
282                         Logger.getLogger("edu.internet2.middleware.shibboleth.aa.attrresolv").setLevel(Level.WARN);
283                         rootAppender.setLayout(new PatternLayout(PatternLayout.TTCC_CONVERSION_PATTERN)); 
284                 }
285                 Logger.getLogger("org.apache.xml.security").setLevel(Level.OFF);
286         }
287 }
288