使用Java檢查證書吊銷狀態

Question

是否可以使用Java程序在數字證書（ *.cer文件）上執行吊銷檢查，而無需該程序與Internet的任何連接？

我可以從CA的網站上下載CRL ，並將其放在運行程序的服務器上。 我的程序如何根據下載的CRL檢查證書的吊銷狀態？

Answer 1

1. 如果你想依靠你的CRL， 你必須保持CRL是最新的。 我不建議這樣做。

2. 何時更新CRL？ CRL可能包含到期日期，在這種情況下，您需要在該日期之后下載“較新發布的” CRL。 （有時CA會在CRL的過期日期之前發布CRL，您也應該檢查一下）

3. 單純依靠的CRL您需要從檢查“revokedCertificates”字段X509CRL 。 如果您的證書包含在集合中，則該證書已被撤銷。 請記住檢查吊銷日期是否在列表中。

我建議閱讀RFC 5280：Internet X.509公鑰基礎結構證書和證書吊銷列表（CRL）配置文件 。