.net - 我们是否需要始终在机器上安装根证书？

Question

我正在使用智能卡对用户进行身份验证。我有一个身份验证服务 (SecurityTokenService)，它处理服务器上的身份验证逻辑。

我正在使用 X509Certificate2.Verify()验证证书。由于此 API 可以通过上线和联系证书颁发机构 (CA) 来检查证书是否有效/已吊销，我是否需要服务器上的根证书？

我们可以避免在本地计算机上拥有根证书吗？或者根证书始终是强制性的？

Answer 1

我尝试了一些事情，以下是观察结果:

1. 首先，X509Certificate2.Verify() 不会检查链中的所有证书是否已被吊销。来自 this发布我开始知道 Verify 方法在内部使用 Crypt32 CertVerifyCertificateChainPolicy功能。它的文档说它不执行证书吊销检查。简而言之，Verify 方法只是检查调用它的证书是否已被吊销。

2. 关于根证书:

   • 如果您正在使用 X509Certificate2.Verify() 并且根证书不存在，则该方法将直接返回 false。因此，使用此方法绝对需要根证书。
   • 如果您使用 X509Chain建立信任链，然后你可以决定whether to exclude root certificate revocation或者是否go online/offline to verify revocation status的证书。
   • 但是，无论你是否上网，或者你是否排除根证书，你都会得到PartialChain ChainStatus 中的值如果根证书丢失。因此，要构建完整的信任链，您的机器上需要一个根证书。

希望这对想进一步了解 C# 中的证书验证的人有所帮助。