Java + X509：如何取消证书？

在Java的X509证书验证机制中进行调试我只是想知道如何撤销证书？通过RFC 4158（和PKI相关文档），我了解到每个CA（或提供Trust锚点的方）都可以颁发CRL（证书吊销列表）。Java + X509：如何取消证书？

Java是否自行下载CRL或者只是提供更新的每个（次要）版本更新的信息？

有哪些选项自定义基础设施（为它提供一次自己的（全球）的TrustManager最佳实践？）

在Java中的X509证书验证机制做调试我只是想知道证书是如何被撤销？根据RFC 4158（和PKI相关的文档），我了解到每个CA（或提供Trust锚定的一方）都可以颁发CRL（证书吊销列表）。

这些证书包括作为其信息的一部分，如何检查撤销，通常是CRL（证书吊销列表）或在线服务OCSP（在线证书状态协议）

认证服务提供（CA）撤销将其包含在CRL及其OCSP服务中。当客户要检查证书撤销下载CRL检查或执行OCSP请求

就是Java下载在自己的CRL，或只是将提供更新信息与每个（未成年人）的版本我更新？

不，Java允许你检查证书撤销，但本身并不

存在一个自定义的基础设施（是不是最好的做法，以提供一次自己的（全球）的TrustManager？）
哪些选项

Java有自己的结构来使用密钥库文件（JKS或PKCS12格式）来建立信任库。默认是jre/lib/security/cacerts。信任库将在https连接中进行检查，例如

除非需要改进功能，否则使用系统提供的工具是一种很好的做法。解释你的用例，我可能更具体

2016-06-08 08:08:49 pedrofb

这是一个在调试过程中产生的问题。基本上问题是第三方工具带有自己的jks，我突然使用了三种不同的信任存储。我只是想知道，Java是否通过在每次发布更新时添加更多信息来赶上撤销。 –

可能该工具使用自己的信任库替换JDK cacerts（通常添加可信证书）。没有任何Java过程检查这些信任库的撤销。在这种情况下，最好统一为一个中央JKS。特别是为了装修。但是，如果该工具频繁发布更新，则必须有统一的工作（例如，通过脚本） – pedrofb

我确实通过意图覆盖信任库，因为我真的有多个信任库。 –

回答