Validar certificados X509 con Java APis

Question

Estoy tratando de validar un certificado contra java key store y este es el código que estoy utilizando es el siguiente. Si se completa con éxito entonces supongo que la validación se ha realizado correctamente, de lo contrario, si se lanza una excepción, la validación falla. Mi preocupación es:

¿El código siguiente es válido para validar un certificado? Como en, ¿hay algo que me falta aquí (como verificar los datos firmados por la computadora que me envía el certificado?)? 2. ¿Debería verificarse la firma contenida en el certificado? Si es así, ¿cómo?

¡Gracias de antemano por la respuesta! Pradeep

// To check the validity of the dates 
cert.checkValidity(); 
//Check the chain 
CertificateFactory cf = CertificateFactory.getInstance("X.509"); 
List<X509Certificate> mylist = new ArrayList<X509Certificate>();   
mylist.add(cert); 
CertPath cp = cf.generateCertPath(mylist); 
PKIXParameters params = new PKIXParameters(getTrustStore()); 
params.setRevocationEnabled(false); 
CertPathValidator cpv = 
     CertPathValidator.getInstance(CertPathValidator.getDefaultType()); 
PKIXCertPathValidatorResult pkixCertPathValidatorResult = 
     (PKIXCertPathValidatorResult) cpv.validate(cp, params); 

Answer 1

Lo que está haciendo aquí está verificando si un certificado (en su ejemplo cert) ha sido firmado (directamente) por cualquiera de los de confianza de CA en el almacén de confianza.
Además, comprueba la caducidad pero no se realiza ninguna comprobación de revocación.
Por lo tanto, si el cert no ha sido firmado por ninguna de las CA confiables, recibirá una excepción.
Así que el código es suficiente para verificar si cert ha sido firmado por cualquiera de las entidades emisoras de confianza

---

Si usted se refiere a la autenticación del servidor, entonces el código en el post no es suficiente.
Este código simplemente verifica que un certificado específico esté firmado por una CA de confianza.
No tiene ninguna indicación si la "entidad" que le envía este certificado es realmente el propietario del certificado (es decir, posee la clave privada asociada con este certificado).
Esto es parte de la autenticación SSL, donde, p. el cliente envía el mensaje ClientKeyExchange encriptado con la clave pública del servidor remoto y está seguro de que si la otra parte es falsa, no será posible descifrar el mensaje

Answer 2

Normalmente, un certificado será emitido por una autoridad emisora ​​intermedia, no es una autoridad "raíz" (que es todo lo que debería estar en su tienda de confianza). La mayoría de los protocolos fomentan el envío de una "cadena" de certificados, no solo el certificado de la entidad.

Debe agregar todos los certificados intermedios para poder formar una cadena completa.

Para asegurarse de que el certificado sigue siendo válido, no debe deshabilitar las comprobaciones de revocación. Si no desea recuperar una CRL (que puede ser grande), el emisor puede ofrecer soporte OCSP. Pero esto debe habilitarse en el tiempo de ejecución de Java estableciendo ciertas propiedades del sistema.

Si el validador de ruta regresa exitosamente, no necesita verificar nada más. Si el certificado no es válido, se generará una excepción.

Además, no es necesaria una comprobación explícita de la fecha de validez. Esto ocurre durante la validación (usando la hora actual, a menos que especifique una hora a través del PKIXParameters).

---

Para una discusión más extensa de validación, incluyendo código de ejemplo, see a previous answer of mine.

Answer 3

Si está satisfecho con los ajustes de seguridad por defecto (ya que serían utilizados por el impago SSLContext), se podría construir una X509TrustManager independientemente de SSL/TLS y use si para verificar su certificado de forma independiente.

Se vería así:

TrustManagerFactory trustManagerFactory = 
    TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm()); 
trustManagerFactory.init((KeyStore)null); 
// you could use a non-default KeyStore as your truststore too, instead of null. 

for (TrustManager trustManager: trustManagerFactory.getTrustManagers()) { 
    if (trustManager instanceof X509TrustManager) { 
     X509TrustManager x509TrustManager = (X509TrustManager)trustManager; 
     x509TrustManager.checkServerTrusted(...); 
    } 
} 

(También debe verificar la identidad del servidor y el partido de certificados, consulte RFC 6125 (Representation and Verification of Domain-Based Application Service Identity within Internet Public Key Infrastructure Using X.509 (PKIX) Certificates in the Context of Transport Layer Security (TLS)).)