certificate-revocation - 如何仅从 CRL 检查撤销列表？

Question

我正在使用 WinVerifyTrust 来验证文件签名。

与互联网的连接非常糟糕，所以我只想检查本地缓存。

问题是我对如何在WinTrustData中设置参数感到困惑

关于fdwRevocationChecks - 文档如下：

当 WTD_REVOKE_NONE 标志与 WinVerifyTrust 函数的 pgActionID 参数中设置的 HTTPSPROV_ACTION 值结合使用时，不会进行额外的吊销检查。为确保 WinVerifyTrust 函数在验证代码签名时不会尝试任何网络检索，必须在 dwProvFlags 参数中设置 WTD_CACHE_ONLY_URL_RETRIEVAL。

“没有额外的撤销检查”是什么意思 - 除了什么？它是否使用 CRL 进行吊销检查？如果我将此字段设置为 *WTD_REVOKE_WHOLECHAIN* 它也会在线检查吗？

如果我设置 WTD_CACHE_ONLY_URL_RETRIEVAL 是否足以确保它不会尝试从 Internet 获取吊销列表？

底线：我如何确保有CRL 检查，但没有任何在线检查。

谢谢

Answer 1

您应该将 fdwRevocationChecks 设置为 WTD_REVOKE_NONE，并将WTD_CACHE_ONLY_URL_RETRIEVAL 标志添加到 dwProvFlags。这将确保 WinVerifyTrust 在验证嵌入签名时仅查看缓存的 CRL。