Android:我应该在哪里查找证书吊销列表？

Question

我想获取在Android设备上下载的所有已撤销证书列表的列表？我知道这个类允许你检查证书是否被撤销,但我想得到撤销证书的完整列表.可能吗？Android存储这样的列表还是使用OCSP来检查证书？

Answer 1

Android 似乎不存储证书吊销列表（或者至少如果存储了则不会使用它）。几年前有一个reddit 线程提出了这个问题并讨论了它的优缺点，但其本质是，如果你访问https://revoked.grc.com/（如果在移动版 Chrome 上，您的浏览器会检查是否已吊销的证书），您会收到通知，告知您的浏览器不会检查已吊销的证书。

从上面的页面（revoked.grc.com，除非您使用没有 CRL 的浏览器，否则您应该看不到该页面）：

目前，移动 Android 平台不提供自己的证书吊销检查，因此 Android 应用程序（包括 Google Chrome 浏览器的所有用户）很容易受到恶意证书滥用的影响。如今，安全使用 Android 的唯一方法是使用 Firefox，它具有自己的证书安全性。

我发现了更多的资料来源（又是几年前的资料，但它们似乎仍然相关并准确地描述了当前的情况）：

• OkHttp（Android http 客户端）github 上的一个问题讨论是否添加证书吊销检查，但他们决定不这样做

• CommonsBlog，讨论 Android 上缺乏证书吊销检查

• 关于缺少 CRL 的 Chromium 问题，其中一位开发人员声明不会添加它并提出了理由：

  标记此 WontFix 有两个原因：

  1) 撤销检查是 Android 和相关 SSL API 的责任。Android 本身不会也从未执行过吊销检查 [...]

  2) 撤销检查通常不起作用（作为一项安全功能），特别是对于移动设备，会极大地影响性能（负面）和隐私（负面）