java - 如何查看Android KeyStore的证书吊销列表(CRL)？

Question

我想使用Android的硬件KeyStore功能，所以我使用Pixel3手机来获取KeyStore对象的证书链，如this article所示.

查看一个特定的.cer例如，文件中的 CRL 分发点为 https://android.googleapis.com/attestation/crl/8F6734C9FA504789 .

在浏览器中打开此链接会出现 404 错误。即使只是打电话https://android.googleapis.com产生相同的 404 错误。

我尝试使用 Google 的 OAuth2 Playground 进行正确身份验证，但即使来自那里的请求也会返回 404 错误。

此外，当在 Java 中使用 PKIXParameters 修改证书链时类，它抛出 CertPathValidationException说“无法确定撤销状态”。但是当使用 pkix_parameters.setRevocationEnabled(false) 禁用吊销检查时，则链验证成功。

我也不认为这是一个 API 身份验证问题，因为页面返回 404，而不是像在其他端点上那样返回“无效的项目 ID”。

我的问题主要是我错过了什么，为什么我在尝试获取 CRL 分发点时只收到 404？

Answer 1

显然，某些设备的证明证书没有有效的 CRL 分发点。我已经使用不同 Pixel 3 设备的认证证书对此进行了测试，并且还测试了 GrapheOS/AttestationSamples 中的一些设备。 .

以下是中间证明证书没有有效 CRL 分发点的设备列表。

+-----------+----------------+
|   samsung |   SM-M205F     |
|   Xiaomi  |   MI 9         |
|   Xiaomi  |   POCOPHONE F1 |
|   OnePlus |   GM1913       |
|   Google  |   Pixel 3a XL  |
|   Google  |   Pixel 3a     |
|   Google  |   Pixel 3      |
|   Google  |   Pixel 3 XL   |
|   HUAWEI  |   AUM-L29      |
+-----------+----------------+