如何在 CertPath 验证中使用 OCSP 响应

【问题标题】：How to use OCSP responses in validation of CertPath如何在 CertPath 验证中使用 OCSP 响应
【发布时间】：2012-09-29 18:59:23
【问题描述】：

我不希望 Java 验证器联系 OCSP 响应者。

我正在研究 XAdES 库，因此我需要使用有人保存在 XML 文档中的 OCSP 响应来验证签名在过去某个时间是否有效。这使得有必要以与提供 CRL 相同的方式向 CertPathBuilder 提供 OCSP 响应，并使其在过去的某个时间使用它们来验证证书。

Oracle 文档只描述了如何让验证器联系OCSP responders，它没有描述如何使用 OCSP 响应进行验证。

是否可以使用 Java PKI API 或 Bouncy Caste Lightweight API？

【问题讨论】：

能否请您链接到该 Oracle 文档？

标签： java cryptography bouncycastle pki ocsp

【解决方案1】：

在同一个链接中是 PKIXCertPathChecker 部分，您可以实施它来执行 OCSP 检查。我查看了实现这个契约的OCSPChecker 类和底层实现类OCSP 的代码。 OCSPChecker 似乎创建了一个URI 实例，它被OCSP 实现类转换为URL。不幸的是，它随后被直接用作 HTTP 连接的输入，因此如果您使用直接路由，您似乎会被 HTTP 卡住。

现在这两个类当然都是 GPL 的，因此您可以简单地获取它们并创建不同的实现，只要您遵守它附带的 GPL 许可。否则你似乎别无选择，只能自己实现PKIXCertPathChecker...

【讨论】：