如何使用Java检查X509Certificate链的吊销状态？

Question

我正在使用以下代码：

public static boolean isCertChainValid(ArrayList<X509Certificate> certificateList) {

    try {

        CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");

        CertPath certPath = certificateFactory.generateCertPath(certificateList);

        CertPathValidator validator = CertPathValidator.getInstance("PKIX");

        KeyStore keystore = KeyStore.getInstance("JKS");
        InputStream is = new FileInputStream(System.getProperty("java.home") + "/lib/security/" + "cacerts");
        keystore.load(is, "changeit".toCharArray());

        PKIXParameters params = new PKIXParameters(keystore);

        params.setRevocationEnabled(true);

        Security.setProperty("ocsp.enable", "true");
        System.setProperty("com.sun.net.ssl.checkRevocation", "true");
        System.setProperty("com.sun.security.enableCRLDP", "true");

        PKIXCertPathValidatorResult r = (PKIXCertPathValidatorResult) validator.validate(certPath, params);
        return true;
    } catch (CertificateException e) {
        throw new RuntimeException(e);

    } catch (NoSuchAlgorithmException e) {
        throw new RuntimeException(e);

    } catch (KeyStoreException e) {
        throw new RuntimeException(e);

    } catch (IOException e) {
        throw new RuntimeException(e);

    } catch (InvalidAlgorithmParameterException e) {
        throw new RuntimeException(e);

    } catch (CertPathValidatorException e) {
        throw new RuntimeException(e);
    }
}

这是我获取证书列表的方式：

public static void main(String args[]) throws Exception {

    CertVal certVal = new CertVal(new File("/home/varun/Documents/SampleCerts/google.pem"), "X.509");
    X509Certificate cert = (X509Certificate) certVal.getCert();

    certVal = new CertVal(new File("/home/varun/Documents/SampleCerts/google.int.pem"), "X.509");
    X509Certificate int_cert = (X509Certificate) certVal.getCert();

    certVal = new CertVal(new File("/home/varun/Documents/SampleCerts/google.root.pem"), "X.509");
    X509Certificate root_cert = (X509Certificate) certVal.getCert();

    System.out.println(cert.toString());

    ArrayList<X509Certificate> cList = new ArrayList<>();
    cList.add(cert);
    cList.add(int_cert);
    cList.add(root_cert);

    System.out.println(isCertChainValid(cList));
}

Google.pem、Google.int.pem、Google.root.pem分别是在浏览器中使用导出选项获得的端证书、中间证书和根证书。

密钥：Sun EC公钥，256位公用x Coord：46177506158937302063723158048612066903199153823785912505310712717097913459047公用y Coord：11380901548809011503210296172948380830057126799034749740821637608868220331参数:secp256r1[NIST P-256,X9.62 prime256v1](1.2.840.10045.3.1.7)有效期:[From：Thu Jun 16 14:07:32 IST 2016,To：Thu SEP256V1](1.2.840.10045.3.1.7)P08 13:59:00 IST 2016]发行人:CN=Google Internet Authority G2,O=Google Inc,C=US序列号:[
51E47ED1 28A4436E]

如证书例外9:[1]和[2]所示，OSCP URL和CRL URL都可与证书一起使用。这两个东西在中间证书中也有，但它们在根证书中没有，这是合理的，因为它们不需要与它们一起使用。

Answer 1

我发现了问题所在。

正是根证书在certpath中的存在造成了所有的麻烦。

根证书不包含CRL和OSCP链接。不断更新存储库是可信证书存储库或信任存储库的工作。

而且

线程“main”java.lang.RuntimeException中出现异常：java.Security.Cert.CertPathValidatorException：证书未在以下位置指定OCSP响应程序

简而言之，要检查证书链中证书的吊销状态，需要排除根证书。验证器算法可以确定最后一个中间证书是否由根CA签名。