使用CertPathValidator进行签名验证，包括CRL吊销

Question

在验证签名的上下文中，我希望在文档签名时验证签名证书的有效性。我意识到，如果我指定了过去的日期，则不使用CRL撤销检查方法，而如果我使用了当前时间或null，则撤销检查工作正常。我正在使用下一个代码

 CertificateFactory cf = CertificateFactory.getInstance( "X.509" );
 CertPath certPath =    cf.generateCertPath( certs );
 CertPathValidator cpv = CertPathValidator.getInstance( "PKIX", "SUN" );
PKIXParameters params = new PKIXParameters( ks );
params.setDate( signingTime );
params.setRevocationEnabled( true );                
cpvResult = (PKIXCertPathValidatorResult) cpv.validate( certPath, params ); 

我已经启用了系统属性EnabledCRLDP。此外，OCSP不是一个通用的解决方案，因为它在某些证书中不起作用。

有什么理由不在过去的验证中使用CRL撤销方法？

在这种情况下，有什么方法可以强制使用CRL？

Answer 1

证书颁发机构仅具有证书的当前状态。无法在过去日期请求状态：CA可能已删除在该日期颁发的CRL，或者如果证书已过期，甚至所有记录都可能已清理

因此，只能使用在该日期发布的CRL或OCSP执行过去时间验证。你需要保留撤销证据以及将来使用的签名。（有特定的数字签名格式，旨在包含撤销证据，如AdES）

我怀疑CertPathValidator的底层实现是在提供过去日期的情况下禁用CRL请求。请注意，PKIX没有定义如何检查吊销。请参阅官方Java安全指南

方法允许调用方禁用撤销检查。默认情况下启用撤销检查，因为它是PKIX验证算法的必需检查。但是，PKIX没有定义如何检查撤销。例如，实现可以使用CRL或OCSP。

使用Java8，您可以使用

 params.setCertStores(certStoreList);. //store containing crls
 PKIXRevocationChecker rc =  (PKIXRevocationChecker)cpv.getRevocationChecker();
 rc.setOcspResponses(responses)

但是正如你所说，这种方法不适用于java 6，所以我认为你可以禁用撤销检查，并在验证认证链后手动实现OCSP和CRL验证。

例如，使用此命令可以使用CRL验证证书

CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509CRL crl = (X509CRL)cf.generateCRL(inStream); 
crl.isRevoked(certificate);

OCSP响应可以使用bouncyCastle处理。请参见此问题OCSP响应不提供证书状态（省略请求ocsp的部分，因为您应该存储本地响应）