python - 根据其 CA 验证 CRL

Question

我正在使用 python、pyopenssl 库来根据其 CA 验证 CRL。

我拥有的是:

我获得证书颁发机构:

with open(ca_file_path) as ca_file_obj:
     ca = crypto.load_certificate(crypto.FILETYPE_PEM, ca_file_obj.read())

我得到了 CRL:

with open(crl_file_path) as crl_file_obj:
      crl = crypto.load_crl(crypto.FILETYPE_PEM, crl_file_obj.read())

如何验证 CRL 属于 CA，我知道可以使用 openssl 完成，但是如何在纯 python 代码中解决它，而不将 openssl 作为子进程打开？大家有什么想法吗？

Answer 1

通过使用 pyopenssl 您可以执行以下操作:

# Export CRL as a cryptography CRL.
crl_crypto = crl.to_cryptography()

# Get CA Public Key as _RSAPublicKey
ca_pub_key = ca.get_pubkey().to_cryptography_key()

# Validate CRL against CA
valid_signature = crl_crypto.is_signature_valid()

考虑到检查 CRL 上签名的有效性不足以了解 CRL 是否值得信任(请参阅 RFC 5280)