需要帮助来建立信任库的权限链（在Tomcat中）

Question

导致……目前为止，我不是通过SSL进行应用程序安全性方面的专家，但我正在尝试建立一个测试环境，其中包括我们在生产中可能遇到的所有可能情况。 为此，我有一棵证书颁发机构（CA）树，它是各种测试客户端证书和节点/服务器证书（代表各种已发布的Web服务和我们集成的其他应用程序的复杂测试环境）的颁发者。

这些CA的结构如下：根CA，已签名/签发了Sub CA1，Sub CA2和Sub CA3。 然后，这些潜艇已签署/签发了环境中各个节点和客户端的所有证书。

现在是一个问题....在我的应用程序的信任库中，我想信任由Sub CA1和Sub CA2签名的所有内容，但不信任Sub CA3（不受信任的）。 这是否意味着我的信任库应（1）仅包括Sub CA1和Sub CA2，或者（2）应该包括根CA，Sub CA1和Sub CA2？

我不知道在信任库中表示此信任链的正确方法是什么。 将来，我还想添加一个Sub CA4（也由根CA签名/发布），但是将其添加到证书吊销列表（CRL）中以进行测试。

提前，谢谢您对此的任何帮助。 非常感谢。

Answer 1

卡瓦特：我不会去测试这个，所以我希望我的答案是正确的。

我认为您的基本假设是正确的。 我不相信您可以在不编写自定义代码的情况下有选择地撤销信任，因此您的信任库应仅包含完全可信的证书。 因此，请保留根CA，然后选择选项（1）。

如您所见，尝试强制执行这种细粒度的访问控制不适合Java（以及大多数其他系统）基于X509证书的身份验证模型。 它们的基本设计是将身份验证外包给Verisign，Thawte，GoDaddy，GlobalSign等，以获取SSL证书和代码签名证书。 它可以支持其他模型，包括自签名证书，但并非没有很大的前期痛苦和持续的维护难题。