问题描述
|
我正在尝试根据Java密钥库验证证书，这是我正在使用的代码，如下所示。如果成功完成，那么我认为验证已正确完成，否则，如果引发异常，则验证失败。
我的担心是：
下面的代码是否足以验证证书？就像在这里，我缺少什么（就像检查由计算机发送给我的证书所签名的数据一样？）？
2.是否应验证证书中包含的签名？如果是，怎么办？
预先感谢您的回复！
普拉迪普
// To check the validity of the dates
cert.checkValidity();
//Check the chain
CertificateFactory cf = CertificateFactory.getInstance(\"X.509\");
List<X509Certificate> mylist = new ArrayList<X509Certificate>();
mylist.add(cert);
CertPath cp = cf.generateCertPath(mylist);
PKIXParameters params = new PKIXParameters(getTrustStore());
params.setRevocationEnabled(false);
CertPathValidator cpv =
CertPathValidator.getInstance(CertPathValidator.getDefaultType());
PKIXCertPathValidatorResult pkixCertPathValidatorResult =
(PKIXCertPathValidatorResult) cpv.validate(cp,params);
解决方法
通常，证书将由中间颁发机构而不是“根”颁发机构（这应该在您的信任库中）颁发。大多数协议都鼓励发送证书的“链”，而不仅仅是实体的证书。
您应该添加所有中间证书，以便可以形成完整的链。
为了确定证书仍然有效，您不应禁用吊销检查。如果您不想检索CRL（可能很大），则发行者可以提供OCSP支持。但是，必须通过设置某些系统属性在Java运行时中启用它。
如果路径验证程序成功返回，则无需检查其他任何内容。如果证书无效，将引发异常。
同样，无需对有效日期进行明确检查。这会在验证期间发生（使用当前时间，除非您通过
PKIXParameters
SSLContext
X509TrustManager
TrustManagerFactory trustManagerFactory =
TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
trustManagerFactory.init((KeyStore)null);
// you could use a non-default KeyStore as your truststore too,instead of null.
for (TrustManager trustManager: trustManagerFactory.getTrustManagers()) {
if (trustManager instanceof X509TrustManager) {
X509TrustManager x509TrustManager = (X509TrustManager)trustManager;
x509TrustManager.checkServerTrusted(...);
}
}