我的代码可以验证自签名证书，但在使用威瑞信颁发证书时失败

Question

我的应用程序使用java安全API签名文件并进行验证。 签名时，我使用PFX文件和密码作为输入，签名后我使用字节生成签名文件。 验证过程中，我使用签名文件，证书文件和签名文件作为输入。 请找我正在使用的验证代码如下：

// KeyFilePath= path of certificate file 
// fileToVerify = path of signed file 
// signatureFilePath = path of signature file 



InputStream inputStream = new FileInputStream(KeyFilePath); 
CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509"); 
X509Certificate x509Certificate = (X509Certificate) certificateFactory.generateCertificate(inputStream); 

// input the signature bytes 
String sigFile = signatureFilePath; 

FileInputStream sigFileInputStream = new FileInputStream(sigFile); 
byte[] sigToVerify = new byte[sigFileInputStream.available()]; 
sigFileInputStream.read(sigToVerify); 
sigFileInputStream.close(); 

PublicKey pubKey = x509Certificate.getPublicKey(); 
Signature signature = Signature.getInstance(signAlgorithm); 

signature.initVerify(pubKey); 

// Update and verify the data 
try { 
    FileInputStream dataFileInputStream = new FileInputStream(fileToVerify); 
    BufferedInputStream bufferedInputStream = new BufferedInputStream(dataFileInputStream); 

    byte[] buffer = new byte[IVerifyDigitalSignature.BYTE_SIZE]; 
    int bufferedInputStreamLength; 

    while (bufferedInputStream.available() != IVerifyDigitalSignature.ZERO_LENGTH) { 
     bufferedInputStreamLength = bufferedInputStream.read(buffer); 
     signature.update(buffer, IVerifyDigitalSignature.ZERO_LENGTH, bufferedInputStreamLength); 
    } 

    bufferedInputStream.close(); 

    // Verify the Signature 
    x509Certificate.verify(pubKey); 
    verifyDigitalSignature = signature.verify(sigToVerify); 

请帮我解决同样的，因为它尚未关闭。

Answer 1

如果您想在此做自己，是你必须多么漫长，它遍历从信任锚链中的证书到您想要的证书， （它可以为不同的CA，类有所不同，在不同的时间）。 使用来自“父级”（更高级别）证书的公钥验证每个“子级”证书（较低级别）证书上的签名仅为 的一小部分;有很多需要其他步骤。 通常只有找到正确的证书可能是一个问题;如果你已经有一个正确的链条，你有一个开始。 但你确定你有“正确的”链吗？对于给定的证书，通常有几个可能的链条， ，有时其中一些是有效的，但另一些已经过期或变得不可验证。 Verisign特别颁发我相信所有最近的证书都在他们的G5根目录下，但为不正确的更新者提供了一个替代路径 （有效）G1，并且有时不能更新。

大多数情况下的算法在“PKIX”RFC5280, 中定义，除了OCSP RFC6960而不是CRL用于撤销更加普遍。 您可能会忽略省略的跨层次结构和NameConstraints，其中AFAIK实际上不是由Verisign等公共CA使用的 ，以及CA使用的策略，但用户/员工不关心。 https://security.stackexchange.com/questions/37409/certificate-chain-checking有一个很好但不完整的介绍。

但你使用Java的（真的JCE的）的CertPathValidator为“PKIX”是可能会更好过 - 如果需要的CertPathBuilder - 而我已经提到你。这已经由专家撰写和测试。只是调用它 仍然有点复杂，但没有像重写所有事情那么复杂。