驗證數字證書的有效性

#此文來自於知乎的匿名使用者

要想驗證證書是否有效，要檢查三點：

1. 驗證證書是否在有效期內。

證書中會包含證書的有效期的起始時間和結束時間，取乙個時間點去比較就好了。

關鍵問題是如何保證取到的時間點是可信的，這就是另外乙個話題了。

2. 驗證證書是否被吊銷了。

被吊銷的證書是無效的。

驗證吊銷有crl和ocsp兩種方法。

crl即證書吊銷列表。證書被吊銷後會被記錄在crl中，ca會定期發布crl。應用程式可以依靠crl來檢查證書是否被吊銷了。

3. 驗證證書是否是上級ca簽發的。

每一張證書都是由上級ca證書簽發的，上級ca證書可能還有上級，最後會找到根證書。根證書即自簽證書，自己籤自己。當你驗證一張證書是否是由上級ca證書簽發的時候，你必須有這張上級ca證書。通常這張證書會內建在瀏覽器或者是作業系統中，有些場景下應用系統也會保留。

--------- 以上三點，只要有乙個沒通過，這張證書就是無效的，不該信任。在實際場景中會衍生出一些問題，

比如： 1. 嚴格來說，證書狀態驗證「應該」是個「遞迴」過程：驗證完一張證書之後還得驗證上級ca證書，一直驗到根。這個開銷太巨大了，所以應用系統大多會做一些取捨。當然亂取捨的時候就有可能出問題。 2. 根證書的可信程度。根證書是整個信任體系的「根」，只有根證書可信，下級證書才可信。