我应该接受由信任锚签名的OSCP响应者证书吗？
|
有人可以在以下方面帮助我吗？
RFC2560定义了何时可以接受OCSP响应者证书（从响应开始）：
1. Matches a local configuration of OCSP signing authority for the
certificate in question; or
2. Is the certificate of the CA that issued the certificate in
question; or
3. Includes a value of id-ad-ocspSigning in an ExtendedKeyUsage
extension and is issued by the CA that issued the certificate in
question.\"
Security.setProperty(\"ocsp.responderCertSubjectName\",ocspCert.getSubjectDN().getName));
List<X509Certificate> list = new ArrayList<X509Certificate>();
list.add(ocspCert);
CollectionCertStoreParameters p = new CollectionCertStoreParameters(list);
CertStore store = CertStore.getInstance(\"Collection\", p);
PKIXParameters params = new PKIXParameters(Collections.singleton(anchor));
params.addCertStore(store);
没有找到相关结果
已邀请:
1 个回复
臀博
→只要您始终知道自己在做什么，就可以做自己想做的事情。这是“ catch-all \”子句，这意味着无论您做什么，您都很有可能会遵循RFC 2560。但是，如果您是OCSP响应的生成者，则您将希望避免使用该标准许可证，因为您希望响应的用户接受它们，即使他们的“本地配置”不相同。您。→棘手的一点是，信任锚是CA。它不是由证书正式表示的（尽管在许多系统中，信任锚被编码为自签名证书）；但它颁发证书，因此是证书颁发机构。在这种情况下，如果使用TA密钥对OCSP响应进行了签名。→与上面类似，在证书X的答案上签名的OCSP响应者可能使用X也是由同一TA颁发的响应者证书R，其中X似乎是由TA签发的。 X和R已由证书颁发机构颁发，您将其名称和密钥用作“信任锚”。 这三种情况描述了验证步骤，该步骤应由接收OCSP响应的任何人执行，并希望将其用作证书路径验证的一部分。 RFC的2.2节是关于OCSP响应者的职责的：这三种情况与接收者的情况相匹配，我们在上面详细介绍了这些情况，顺序为“ 2、1、3”。同样，“颁发证书的CA”可以是实体，其名称和公钥将被接收者用作信任锚。