java 解析证书_Java X509证书解析和验证

我试图分几个步骤处理X509证书，并遇到了两个问题。我是JCE的新手，所以我还没有完全了解最新信息。

我们希望能够基于不同的编码(PEM，DER和PCKS7)解析几个不同的X509证书。我已经使用FireFox

从https://belgium.be以PEM和PCKS7格式导出了相同的证书(证书包括链)。我已经省略了几行不需要的问题

public List parse(FileInputStream fis) {

/*

* Generate a X509 Certificate initialized with the data read from the inputstream.

* NOTE: Generation fails when using BufferedInputStream on PKCS7 certificates.

*/

List certificates = null;

log.debug("Parsing new certificate.");

certificates = (List) cf.generateCertificates(fis);

return certificates;

}

只要我使用FileInputStream而不是PCKS7的BufferedInputStream，此代码就可以正常工作，我认为这已经很奇怪了吗？但我可以忍受。

下一步是验证这些证书链。1)检查所有证书是否都具有有效日期(容易)2)使用OCSP验证证书链(如果在证书中未找到OCSP

URL，则回退到CRL)。这是我不确定如何处理的地方。

我正在使用Sun JCE，但是似乎没有太多可用的文档(在示例中)？

我首先做了一个简单的实现，它只检查链而不进行OCSP / CRL检查。

private Boolean validateChain(List certificates) {

PKIXParameters params;

CertPath certPath;

CertPathValidator certPathValidator;

Boolean valid = Boolean.FALSE;

params = new PKIXParameters(keyStore);

params.setRevocationEnabled(false);

certPath = cf.generateCertPath(certificates);

certPathValidator = CertPathValidator.getInstance("PKIX");

PKIXCertPathValidatorResult result = (PKIXCertPathValidatorResult)

certPathValidator.validate(certPath, params);

if(null != result) {

valid = Boolean.TRUE;

}

return valid;

}

这对我的PEM证书来说运行良好，但对PCKS7证书却无效(相同的证书，仅以其他格式导出)。

java.security.cert.CertPathValidatorException：路径不与任何信任锚链接。

我能看到的唯一区别是CertPath的形成顺序不相同？我无法弄清楚出了什么问题，所以我现在就离开了，继续使用PEM证书，但我们将此称为问题1;)

之后我想要实现的是OCSP检查。显然，如果我使用以下方法启用OCSP： Security.setProperty(“ ocsp.enable”，“

true”); 并设置 params.setRevocationEnabled(true); 它应该能够自行找到OCSP

URL，但是事实并非如此。标准实现应该做些什么(问题2)？

java.security.cert.CertPathValidatorException：必须指定OCSP响应程序的位置

超越这一点，我找到了一种使用AuthorityInfoAccessExtension等从证书中检索OCSP URL的方法。

但是，在ocsp.url属性中手动设置了OCSP url之后，我得到了

java.security.cert.CertPathValidatorException：OCSP响应错误：未授权

似乎我缺少了许多必要的步骤，而许多在线参考都说设置 ocsp.enable 属性应该是您所需要的？

也许你们中的任何一位向导都无法指导我完成此过程？告诉我我完全错了:)

下一步将是执行CRL检查，如果未找到OCSP，是否有人可以指出任何示例或向我显示一些文档，这也将不胜感激！

谢谢！

编辑： 由于它本身不是自行选择属性，因此我一直在尝试使用以下方法自行设置所有属性：

// Activate OCSP

Security.setProperty("ocsp.enable", "true");

// Activate CRLDP -- no idea what this is

Security.setProperty("com.sun.security.enableCRLDP", "true");

X509Certificate target = (X509Certificate) certPath.getCertificates().get(0);

Security.setProperty("ocsp.responderURL","http://ocsp.pki.belgium.be/");

Security.setProperty("ocsp.responderCertIssuerName", target.getIssuerX500Principal().getName());

Security.setProperty("ocsp.responderCertSubjectName", target.getSubjectX500Principal().getName());

Security.setProperty("ocsp.responderCertSerialNumber", target.getSerialNumber().toString(16));

发生异常：java.security.cert.CertPathValidatorException：找不到响应者的证书(使用OCSP安全属性设置)。