使用Java检查证书撤销状态

Question

是否可以使用Java程序对数字证书（*.cer文件）进行撤销检查，而程序没有连接到Internet？

我可以从CA的网站下载CRL并将其放在运行该程序的服务器上。我的程序如何根据下载的CRL

检查证书的撤销状态

Answer 1

1. 如果您想依赖CRL，您必须让CRL保持最新状态。我不推荐这个。

2. 何时更新CRL？ CRL可能包含到期日期，在这种情况下，您需要下载＆＃34;较新发布的＆＃34; CRL在那个日期之后。 （有时CA会在到期日之前发布CRL，您也应该检查它）

3. 要完全依赖CRL，您需要查看“已撤销的证书”。来自X509CRL的字段。如果您的证书包含在集合中，则它已被撤销。请记住检查撤销日期（如果它在列表中）。

我建议您也阅读RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile。