validation - 没有颁发者证书的 OCSP 验证

Question

我目前正在开发一个使用 OCSP 或 CRL 验证签名证书(如在 pdf 中)的应用程序。这些很可能是叶证书，没有整个链。获得任一验证服务的 url 证明非常简单。

据我了解，OCSP 和 CRL 都需要证书颁发者对其进行验证。所以现在我被卡住了，因为它没有包含在输入中。 AIA 扩展可能包含指向 CA 证书的 URL，但不幸的是，这是颁发证书的 CA，而不是证书本身。

有没有其他方法可以获得发行人的证书？或者在某些情况下 OCSP/CRL 可以在没有它的情况下进行验证？

Answer 1

看看https://www.ietf.org/rfc/rfc2560.txt其中详细说明了 OCSP 响应被视为有效的要求:

The key used to sign the response MUST belong to one of the following:

-- the CA who issued the certificate in question

-- a Trusted Responder whose public key is trusted by the requester

-- a CA Designated Responder (Authorized Responder) who holds a specially marked certificate issued directly by the CA, indicating that the responder may issue OCSP responses for that CA

第一个和第三个选项都需要颁发者证书。第二个选项没有。但是，我认为该选项不适用于您的情况。链接 https://wiki.mozilla.org/CA:OCSP-TrustedResponder有关于什么是可信响应者以及何时可以实际使用的详细信息。