TLS / SSL证书验证

Question

我是TLS / SSL的新手，所以这可能是一个非常基本的问题，但是我一直在搜索很多内容，但找不到答案。

我正在尝试实现TLS / SSL客户端。 该客户端将在带有Windows操作系统（XPe或WES7）的嵌入式单元上运行。 我的实现使用GnuTLS。

如何获得我单位的受信任权限列表，以便我的客户端可以验证服务器的证书？ 是否应该将文件保存在客户端，由客户端负责保持最新状态？ 还是我的客户每次都能以某种方式从互联网上获取此列表，而不是在本地进行维护？

Answer 1

证书颁发机构（CA）主证书存储在客户端，客户端负责使它们保持最新。 使它们保持最新状态并不像听起来那样困难，因为CA证书并不经常更改-大多数证书的有效期至少为5-10年。

客户端存储是必需的，因为您的应用程序使用的任何给定的Internet站点都可能受到威胁。

要获取列表，您可能首先查看通过浏览器分发的CA证书或通过Java分发的cacerts文件。 在发布代码之前，您可能需要根据CA提供的信息来检查所使用的证书是否真实。

Answer 2

转到任何Windows计算机，然后从命令行运行“ certman.msc”。 将每个CA证书（中间证书，可信机构）导出到文件（BER，PEM），然后将这些证书导入到嵌入式软件中。 现在，您可以像Windows一样验证电子邮件证书（即，使用各种x.509相关的RFC和CRL）