Java SSL证书撤销检查

Question

我目前正在使用SSL编写一个网络TCP服务器。在生产中，我们最终将要求客户机使用证书进行身份验证。

为了在紧急情况下撤销证书，我们还希望建立CRL。

编辑：删除过时的Dropbox链接

Answer 1

我想知道如何在SSLContext中启用CRL检查，而无需实现自定义验证器，如注释中所建议的那样。

它主要是用一个撤销检查器正确初始化SSLContext的TrustManagers，只有几行，没有自定义检查逻辑，现在可以自动检查CRL和验证路径。

这里有一个片段...

KeyStore ts = KeyStore.getInstance("JKS");
FileInputStream tfis = new FileInputStream(trustStorePath);
ts.load(tfis, trustStorePass.toCharArray());

KeyManagerFactory kmf =  KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());

// initialize certification path checking for the offered certificates and revocation checks against CLRs
CertPathBuilder cpb = CertPathBuilder.getInstance("PKIX");
PKIXRevocationChecker rc = (PKIXRevocationChecker)cpb.getRevocationChecker();
rc.setOptions(EnumSet.of(
    PKIXRevocationChecker.Option.PREFER_CRLS, // prefer CLR over OCSP
    PKIXRevocationChecker.Option.ONLY_END_ENTITY, 
PKIXRevocationChecker.Option.NO_FALLBACK)); // don't fall back to OCSP checking

PKIXBuilderParameters pkixParams = new PKIXBuilderParameters(ts, new X509CertSelector());
pkixParams.addCertPathChecker(rc);

tmf.init( new CertPathTrustManagerParameters(pkixParams) );
// init KeyManagerFactory
kmf.init(...)

SSLContext ctx = SSLContext.getInstance("TLS");
ctx.init(kmf.getKeyManagers), tmf.getTrustManagers(), null);

这基本上完成了我在应用程序中所需的工作，检查是否在CRL中撤销了颁发给客户机的证书。只接受检查结束实体并允许CRL检查失败，因为它是我们所有的基础结构。