java - 使用 Java 检查证书吊销状态

Question

是否可以使用 Java 程序对数字证书（文件）进行撤销检查*.cer，而无需通过程序连接到 Internet？

我可以CRL从 CA 的网站下载它并将其放在运行程序的服务器上。我的程序如何根据下载的证书检查证书的吊销状态CRL？

Answer 1

1. 如果您想依赖您的 CRL，则必须使 CRL 保持最新。我不建议这样做。

2. 何时更新 CRL？CRL 可能包含到期日期，在这种情况下，您需要在该日期之后下载“较新发布的”CRL。（有时 CA 会在 CRL 到期之前发布，您也应该检查一下）

3. 要完全依赖 CRL，您需要检查 X509CRL 中的“revokedCertificates”字段。如果您的证书包含在集合中，则它已被撤销。如果它在列表中，请记住检查撤销日期。

我还建议阅读RFC 5280：Internet X.509 公钥基础设施证书和证书吊销列表 (CRL) 配置文件。