如何確定證書的根？

Question

我的根證書以ASN.1格式存儲爲多個文件。

假設我有一個相同格式的鏈式終端實體證書。如何有效地確定此證書的根證書？

目前，我必須採取強力的辦法，提取最終實體證書的公鑰和驗證，對所有根證書和第一場比賽被認爲是根證書。這是正確的做法？

Answer 1

要找到一個證書的頒發者，你應該使用「發行人DN」，並與您的CA存儲證書的「主題DN」相匹配。這應該大大減少簽名驗證的次數。

有可能有相同的「主題DN」不同的CA證書（用不同的公共密鑰，有效日期等），所以你的算法應該準備來處理。 「主題密鑰標識符」和「權限密鑰標識符」也可以幫助減少候選人數量。

查找發證機構只是驗證證書的「正確方法」的一小部分。我建議你看看http://www.ietf.org/rfc/rfc5280.txt「認證路徑驗證」的第6部分。有些部分很可能是矯枉過正的（即大部分事情都與政策有關）。