Java + X509 : How get Certificates Revoked?

Question

调试Java的X509证书验证机制 我就想知道证书是怎么吊销的？通过 RFC 4158(和 PKI 相关文档)，我了解到每个 CA(或提供信任 anchor 的一方)都可以发布 CRL(证书撤销列表)。

Java 是自行下载 CRL，还是只为我更新的每个(次要)版本提供更新信息？

自定义基础架构有哪些选项(提供曾经拥有的(全局)TrustManager 是最佳实践吗？)

Answer 1

Doing debugging in the X509 Certificate Validation Mechanism of Java I just wonder how certificates get revoked? By RFC 4158 (and PKI related documentation) I learned that each CA (or Party providing Trust Anchors) can issue a CRL (Certification Revocation List).

证书包括如何检查吊销信息的一部分，通常是 CRL(证书吊销列表)或在线服务 OCSP(在线证书状态协议(protocol))

认证服务提供商 (CA) 通过将证书包含在 CRL 及其 OCSP 服务中来撤销证书。当客户想要检查证书的吊销时，下载 CRL 以检查或执行 OCSP 请求

Is Java downloading CRLs on its own or just will provide updated information with each (minor) version I update?

不，Java 允许您检查证书吊销，但它本身不允许

What options exist for a custom infrastructure (is it best practice to provide once own (global) TrustManager?)

Java 有自己的结构，可以使用 keystore 文件(JKS 或 PKCS12 格式)建立信任库。默认为 jre/lib/security/cacerts。例如，将在 https 连接中检查信任库

最好使用系统提供的工具，除非您需要改进功能。解释你的用例，我可以更具体