java - 使用 JSSE 验证 SSL 证书的扩展验证 (EV)

Question

我得到了 URL 列表，我想使用 JAVA 验证它们的扩展验证 (EV) 属性我可以提出请求并获得他们的证书，但我不确定如何验证给定站点的“扩展验证”。

证书有什么特殊的值(value)吗？或者任何属性？

Answer 1

从用户界面的角度来看，扩展验证最有用。如果您的客户端在其用户界面中没有任何内容来显示证书，那么它就没有多大用处。这些验证默认情况下没有集成在 JSSE 中，可能是因为对它的需求很少(缺少 Java 浏览器)。 (顺便说一下，您应该验证连接时获得的证书，而不是检查第一个连接并连接另一个，以防万一)。

规范由 CA/browser forum 定义.

OID 值和根 CA 证书指纹被硬编码到浏览器中(参见 security/certverifier/ExtendedValidation.cpp in Firefox, used to be in in security/manager/ssl/src/nsIdentityChecking.cpp)。还有一个list on Wikipedia供引用，尽管原则上您应该检查每个 CA 的策略 OID。

要分析扩展，使用 BouncyCastle 可能会有用如果 X509Certificate.getExtensionValue() 还不够。

您必须注意的一个问题是，根 CA 证书的硬编码 SHA-1 指纹需要与信任库中的证书完全匹配。一些 CA 偶尔会在大多数浏览器/操作系统/JRE 附带的 bundle 中更新他们的 CA 证书:确保您使用的是相同的。