如何确定证书的根？

Question

我的根证书以ASN.1格式存储为多个文件。

假设我有一个相同格式的链式终端实体证书。如何有效地确定此证书的根证书？

目前，我必须采取强力的办法，提取最终实体证书的公钥和验证，对所有根证书和第一场比赛被认为是根证书。这是正确的做法？

Answer 1

要找到一个证书的颁发者，你应该使用“发行人DN”，并与您的CA存储证书的“主题DN”相匹配。这应该大大减少签名验证的次数。

有可能有相同的“主题DN”不同的CA证书（用不同的公共密钥，有效日期等），所以你的算法应该准备来处理。 “主题密钥标识符”和“权限密钥标识符”也可以帮助减少候选人数量。

查找发证机构只是验证证书的“正确方法”的一小部分。我建议你看看http://www.ietf.org/rfc/rfc5280.txt“认证路径验证”的第6部分。有些部分很可能是矫枉过正的（即大部分事情都与政策有关）。