Java X509证书解析与验证

Question

public List<X509Certificate> parse(FileInputStream fis) {  
    /*
     * Generate a X509 Certificate initialized with the data read from the inputstream. 
     * NOTE: Generation fails when using BufferedInputStream on PKCS7 certificates.
     */
    List<X509Certificate> certificates = null;
      log.debug("Parsing new certificate.");
      certificates = (List<X509Certificate>) cf.generateCertificates(fis);
    return certificates;
  }

下一步是验证这些证书链。1）检查所有证书是否有有效日期（简单）2）使用OCSP验证证书链（如果在证书中没有发现OCSP URL，则返回CRL）。

我使用的是Sun JCE，但似乎没有那么多可用的文档（示例）？

我首先做了一个简单的实现，它只检查链，而不经过OCSP/CRL检查。

private Boolean validateChain(List<X509Certificate> certificates) {
    PKIXParameters params;
    CertPath certPath;
    CertPathValidator certPathValidator;
    Boolean valid = Boolean.FALSE;

    params = new PKIXParameters(keyStore);
    params.setRevocationEnabled(false);

    certPath = cf.generateCertPath(certificates);
    certPathValidator = CertPathValidator.getInstance("PKIX");

    PKIXCertPathValidatorResult result = (PKIXCertPathValidatorResult)  
    certPathValidator.validate(certPath, params);

      if(null != result) {
        valid = Boolean.TRUE;
      }
    return valid;
 }

但是在OCSP.url属性中手动设置OCSP url之后，我得到了一个java.security.cert.certPathValidatoreXception：OCSP响应错误：未授权

似乎我错过了许多必要的步骤，而许多在线参考资料说，设置OCSP.Enable属性应该是您所需要做的一切？

也许你们中有谁不能指导我完成这个过程？告诉我哪里我完全错了：）

    // Activate OCSP
        Security.setProperty("ocsp.enable", "true");
        // Activate CRLDP -- no idea what this is
        Security.setProperty("com.sun.security.enableCRLDP", "true");

        X509Certificate target = (X509Certificate) certPath.getCertificates().get(0);
        Security.setProperty("ocsp.responderURL","http://ocsp.pki.belgium.be/");
        Security.setProperty("ocsp.responderCertIssuerName", target.getIssuerX500Principal().getName());
        Security.setProperty("ocsp.responderCertSubjectName", target.getSubjectX500Principal().getName());
        Security.setProperty("ocsp.responderCertSerialNumber", target.getSerialNumber().toString(16));

Answer 1

为了将来的参考，我将张贴我自己问题的答案（至少部分地）

OCSP和CRL检查已经在标准Java实现中实现，不需要定制代码或其他提供程序(BC，..)。它们在默认情况下是禁用的。

要启用此功能，至少必须设置两个参数：

(PKIXParameters or PKIXParameterBuilder) params.setRevocationEnabled(true);
Security.setProperty("ocsp.enable", "true");

System.setProperty("com.sun.security.enableCRLDP", "true");

X509CertSelector targetConstraints = new X509CertSelector();

targetConstraints.setCertificate(certificates.get(0));
// Here's the issue for PKCS7 certificates since they are not ordered,
// but I havent figured out how I can see what the target certificate
// (lowest level) is in the incoming certificates..

PKIXBuilderParameters params = new PKIXBuilderParameters(anchors, targetConstraints);