御社におかれてはTLSスタックのテストは十分に実施しておられますか。拙稿改造する人のためのJSSEをお読みになった御社はもちろんばっちりだと思いますが、世の中では相変わらず不十分なテストと脆弱なコードが溢れかえっている今日この頃です。そんなわけで本稿のお題は証明書の検証! 基本的な仕組みを復習する 証明書の検証というのは具体的に何をするのかを復習します。以下の説明では、TLSサーバ証明書をクライアントで検証するケースで説明します。これ以外のケース(TLSクライアント証明書をサーバ側で検証するとか、コードサイニング証明書を検証するとか)は、適宜読み替えてください。 証明書チェーン(候補)の構築 TLSのServerCertificateメッセージで、サーバ証明書がダウンロードされて来るわけですが、まずは証明書のSubjectフィールドとIssuerフィールドに注目し、下位証明書のIssuer
![X.509証明書の検証手順とありがちな脆弱性 - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/160996c0b0f670df4dadfadb550438d6c7fe292f/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-9f5428127621718a910c8b63951390ad.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTkxNiZoPTMzNiZ0eHQ9WC41MDklRTglQTglQkMlRTYlOTglOEUlRTYlOUIlQjglRTMlODElQUUlRTYlQTQlOUMlRTglQTglQkMlRTYlODklOEIlRTklQTAlODYlRTMlODElQTglRTMlODElODIlRTMlODIlOEElRTMlODElOEMlRTMlODElQTElRTMlODElQUElRTglODQlODYlRTUlQkMlQjElRTYlODAlQTcmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT01NiZ0eHQtY2xpcD1lbGxpcHNpcyZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPTAyOGYyYTQ4NWZmMTZmNzY5MjM1OTAxYjZhNjZiMDdk%26mark-x%3D142%26mark-y%3D112%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTYxNiZ0eHQ9JTQwbi1pLWUmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT0zNiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPWQ3ZDlkN2E1MjE1OWI0ZDg5ZDVlYjkzMDIwOThjYjVl%26blend-x%3D142%26blend-y%3D491%26blend-mode%3Dnormal%26s%3Ddce3f6ee31c7545a43634f9bb6e62631)