仅通过信任证书的一部分来信任证书

Question

假设我有Alice的证书，并且它的证书链是由N个证书构建的。是否足以验证(和信任)链的根(例如，VeriSign)，还是必须信任(并验证)每个证书？

据我所知，我需要信任和时间验证链证书的根，而只需要时间验证链中的所有其他证书。我说的对吗？

Answer 1

您必须对链中的每个证书以及更多的证书执行验证--您需要使用CRLs和OCSP服务器(当相应的信息在证书中可用时)，并且在对CRLs和OCSP响应进行签名时，您需要在那里构建证书链并对它们进行验证。