数字证书的有效性检验

数字证书验证使用

数字证书是目前实现身份鉴别使用度最高最广的一种方式，其使用前的验证极其重要，根据《商用密码应用于安全性评估》中对数字证书验证使用的描述，应当进行三个步骤，分别是：证书中数字签名的有效性、证书的有效期和证书的撤销状态。

签名有效性

在进行证书验证时，应首先验证证书中数字签名的有效性，只有签名有效性验证通过之后，才能进一步提取出证书中的其他信息进行验证。具体验证过程为：首先从签发该证书的CA证书中获得公钥，然后从证书中提取出签名算法信息，再对证书除去签名算法和签名结果的部分进行签名验证。如果验证通过，那么就能确保证书的完整性，可以继续对证书进行其他方面的验证：如果验证不通过，那就说明证书是伪造的或被篡改的，不用进行其他的检查，直接认为此证书无效。

但在实际密评过程中，有时我们会遇到内网或专网情况，该证书打开后，无法看到其上级证书，也就没法进行签名有效性的验证，这时，我们需要找客户或通过互联网找寻上级证书甚至根证书。

通过互联网找寻上级证书的方式可参考以下方式：

1、确认证书签发者/颁发者

我们以沃通搭建的演示网站（https://sm2test.ovssl.cn/）中的证书为例（因为该网址是互联网可访，其证书链是完整的，我们可以通过其证书链佐证我们的方式是正确的）。

2、下载根证书或中级根证书

打开该网站的证书（sm2test.ovssl.cn），点击颁发者，可以看到其颁发者是国密SM2服务器根证书V3，机构是沃通电子认证服务有限公司，打开沃通电子认证服务有限公司的官网（https://www.wosign.com/），点击 技术支持–>下载 WoTrus 中级根证书–>沃通SM2中级根证书–>国密SM2服务器根证书V3，即可下载该证书。

下载后打开该证书，点击其使用者，可以对比网站的证书的颁发者与我们下载的这个证书的使用者相同，从网站的已有证书链上的序列号也能佐证我们找寻的上级证书无误。

3、验证证书签名值

该签名过程可参考数字证书的签名值和指纹中数字证书的签名值验证方式，此处仅截图
其签名值正确。

有效期验证

证书有效期的验证主要是检查当前时间是否在证书中有效期字段对应的时间段内。如果当前时间在有效期内，就对证书的其他内容进行进一步验证；否则，认为证书是无效的。
证书有效期查看的就是证书的开始时间和结束时间两个时间节点。


为确保签发的证书有效，被签发的证书有效期应被包含在签发者的证书有效期之间，例如沃通中级根证书有效期为2019年4月4日 14:18:18-2034年4月4日 14:18:18，而站点证书为2024年2月28日 17:00:38-2025年3月11日 01:42:15。

证书状态

最后，证书撤销状态的查询通常可以采用查询CRL、OCSP的方式。通过证书撤销状态查询，如果发现证书已经被撤销，那么证书就是无效的，用户不能使用该证书。
同样以沃通搭建的演示网站中的证书为例，打开该证书后，往下翻找，可以找到“CRL分发点”，根据其提供的网址访问后，可以得到CRL列表，打开该列表，选择吊销列表即可查看被吊销的数字证书序列号和吊销日期，依次核对被吊销的数字证书序列号后即可判定该证书是否有效。