验证签名/证书的最佳方法是什么？

Question

我正在开发一个应用程序，在该应用程序中，我必须验证2个文件是否使用相同的证书（带有我们的证书）签名。 如果不是，则中止该程序。

在这个问题中，我发现应该怎么做：

1. 完全验证证书链，以确保证书的完整性和真实性
2. 检查发行人名称
3. 检查主题名称
4. 检查密钥用法字段。

因此，对于第1步，我使用WinVerifyTrust ，然后读取属性，并将它们相互比较。
到目前为止，一切都很好，但是如果有人创建证书并用这两个文件签名怎么办？ 然后它将仍然有效。 我知道，如果未将此证书添加为Trusted Publisher，则WinVerifyTrust将失败。 但是，可以说，它是作为可信发布者添加的。 然后就可以了。 显然，我无法在代码中写入“我的公司名称”之类的值，并检查属性是否具有该值。

那么，如何检查它是否真的是我的证书？ 如果确实是“受信任”的证书，不仅使我或其他人信任它吗？

提前致谢！

Answer 1

如果您可以访问证书颁发者（仅是公钥），并且信任该公钥（您已通过其他方式获得了公钥，则该公钥不随您要验证的证书一起提供），您已经将其存储在本地或就像---这是拥有证书链的唯一原因），您只需要验证签名是否有效即可确保用户证书有效。 证书链仅用于确保您有一条路径来确保证书的有效性，直到您信任的根证书（通常是软件分发随附的根证书）

仅当您根据证书中存储的信息拥有不同的配置文件或帐户类型时，才需要进行主题检查（或其他证书字段）。 您对证书附带的主题格式或字段的用途取决于应用程序。 通常，人们将有关用户帐户的信息嵌入到证书中，以便您可以使用证书来分发帐户信息。

请记住，证书只是由受信任的机构（可以是中间证书或根证书）签署的公钥（以及用于其目的的其他信息），因此，一旦您验证了签名，您对内容有中等信任。 如果不能访问证书发行者的私钥（以便再次对其进行签名），则不能更改证书内容，因此，如果签名验证通过，您可以信任该数据。

您如何测试证书是否真的是您的？ 当然，它必须由证书颁发者（可以是您或您信任的颁发者）签名，并验证该颁发者是那个，而不需要其他证书。 如果是公司应用程序，则必须检查签名者之一是否是证书颁发机构（通常为每个应用程序或应用程序模块生成一个或不同的证书颁发者，每个签名者都属于该模块的用户证书）证书链中的颁发者，那么您可以信任证书的预期用途。