递归CRL验证

Question

假设我有根CA ->子CA 1 ->子CA 2 ->叶证书。我需要通过获取Sub CA 2提供的所有CRL来检查叶证书的吊销状态，如果叶证书在CRL中，则表示它不再有效。一切都很好，但是如果Sub CA2本身过期或者被Sub CA1撤销(甚至Sub CA1本身过期或者被Root CA撤销)呢？Sub 2中的CRL是否仍然有效？是否需要从叶证书到根证书递归检查吊销状态？

Answer 1

是的，您必须根据颁发者CRL验证每个证书，根证书除外。未检查根证书的吊销情况。

但是你不需要自己做这个(编写代码)。您应该将此任务委托给实现证书验证逻辑的加密库。