SignedXml.CheckSignature 如何验证证书

Question

这里有一个关于SignedXml.CheckSignature原理的问题。

众所周知，如果我们调用verifySignatureOnly = false的函数，它可以验证证书。

[ComVisibleAttribute(false)]
public bool CheckSignature(
    X509Certificate2 certificate,
    bool verifySignatureOnly
)

但它如何验证呢？ 根据我的理解，证书应该是由CA私钥加密的公钥。那么CheckSignature可以得到CA公钥，然后解密证书吗？ 我想知道它是如何工作的。希望有人能提供帮助。

Answer 1

它使用 Windows 证书存储来构建证书链，直到受信任的根授权。在构建链时，该方法还会验证证书的吊销状态（通常来自链中所有机构的 CRL），以检查链中的任何证书是否仍然有效。

如果证书中有指向 OCSP 的链接，则该方法可能更愿意检查这些证书的 OCSP 状态，但这取决于您使用的操作系统（我认为 Win Xp 没有使用 OCSP，但 win 7+ 默认情况下会这样做)。

如果方法执行的任何检查失败，即 CRL 不可用或链无法构建到受信任的根授权或证书被吊销，则方法返回 false。