Question

故事：我调用了一个请求，在该请求中我获得了一个 JWS 令牌，我使用 JOSESwift 库对其进行了解析。在响应中，我有一个 x5u 参数，它是一个指向证书的 URL，用于签署有效负载。我下载证书并使用 JOSESwift 进行验证。经过一些简化，我正在执行以下操作：

let serverCert = // Getting the downloaded certificate as a SecCertificate object
var publicKey: SecKey!
publicKey = SecCertificateCopyKey(serverCert)

let rsaVerifier = RSAVerifier(algorithm: .ES256, publicKey: publicKey)

if let headerVerifier = Verifier(verifyingAlgorithm: .RS256, publicKey: rsaVerifier.publicKey) {
    do {
        _ = try jws.validate(using: headerVerifier)
        print("Verifying success")
    } catch {
        print("Verifying failed with error:", error)
    }
}

问题 1：到目前为止效果很好。现在我想验证下载的证书是否确实由我本地存储在我的应用程序中的特定证书签名。这就是我被卡住的地方，我无法找出如何做到这一点。

问题 2： 对功能的要求是本地存储的证书可以是自签名的，也可以是链中的其他证书。所以基本上我应该信任本地存储的证书，不管它是否是自签名的。是否可行，或者在验证时我们应该始终了解根证书？

[rootCert] <--signed by-- [localCert] <--signed by-- [receivedCert] // We have only the local and receivedCert

我的想法/我尝试过的：我的第一个想法是使用 SecTrust 对象，将本地存储的证书设置为信任锚，并使用 SecTrustEvaluateWithError(_:_:)检查它是否是正确的链（我最终得出的结论还将检查收到的证书是否由我在本地存储的证书签名）。我已经看到在 SSLPinning 实现中使用此方法，但不知何故它返回了我 false，即使我仔细检查了证书是否正确。这是我在做什么：

let serverCert = // Getting my server cert as a SecCertificate object
let localCert = // Getting my server cert as a SecCertificate object
let policy = SecPolicyCreateBasicX509()
var optionalTrust: SecTrust?
let status = SecTrustCreateWithCertificates([serverCert] as AnyObject,
                                            policy,
                                            &optionalTrust)
guard status == errSecSuccess else { return }
let trust = optionalTrust! // Safe to force unwrap now
SecTrustSetAnchorCertificates(trust, [localCert] as CFArray)
var error: CFError?
print("Veryfing result: ", SecTrustEvaluateWithError(trust, &error))
print(error)

验证收到的证书是否由本地人签名是一种好方法吗？如果是，那么我做错了什么，我得到了 false ？如果方法不好，我还能在这里尝试什么？

我发现了一个类似的问题，但它是用 Java 编写的（但也许可以提示我要完成的任务）：Verify x509 signature Java。然而，它也提到了根证书，所以如果没有根/自签名证书也可行，它再次给我带来问题2。

更新

正如评论中所建议的，我正在打印从 SecTrustEvaluateWithError 得到的错误：

<块引用>

错误域=NSOSStatusErrorDomain Code=-25318 "“AuthInfoKey:18” 证书不受信任” UserInfo={NSLocalizedDescription=“AuthInfoKey:18” 证书不是可信，NSUnderlyingError=0x280efb9c0 {错误域=NSOSStatusErrorDomain 代码=-25318 "证书 0 “AuthInfoKey:18”有错误：无法建立链到根（可能缺少中间件);" UserInfo={NSLocalizedDescription=Certificate 0 “AuthInfoKey:18”有错误：无法建立链到根（可能缺少中间体);}}}

问题似乎是合理的，因为我无法访问上述根证书，我想验证一个中间证书。

所以我的问题再次是：是否可以使用 SecTrustEvaluateWithError 检查 serverCert（一个中间证书）是否由我的本地证书（另一个中间证书）签名？对我来说，它似乎只有在拥有根证书时才有效。

如何验证 X.509 证书是否由另一个证书签名？

0 个答案: