ios - 如何验证 X.509 证书是否由另一个证书签名？

Question

故事：我调用一个请求，在该请求中我得到一个 JWS 令牌，我使用JOSESwift库对其进行解析。在响应中，我有一个x5u参数，它是一个指向证书的 URL，用于对有效负载进行签名。我下载了证书并使用 JOSESwift 进行了验证。通过一些简化，我正在执行以下操作：

let serverCert = // Getting the downloaded certificate as a SecCertificate object
var publicKey: SecKey!
publicKey = SecCertificateCopyKey(serverCert)

let rsaVerifier = RSAVerifier(algorithm: .ES256, publicKey: publicKey)

if let headerVerifier = Verifier(verifyingAlgorithm: .RS256, publicKey: rsaVerifier.publicKey) {
    do {
        _ = try jws.validate(using: headerVerifier)
        print("Verifying success")
    } catch {
        print("Verifying failed with error:", error)
    }
}

问题1：到目前为止，这工作得很好。现在我想验证下载的证书确实由我本地存储在我的应用程序中的特定证书签名。这就是我被卡住的地方，我无法找出如何做到这一点。

问题2：该功能的要求是本地存储的证书可以是自签名的，也可以是链中的其他证书。所以基本上我应该信任本地存储的证书，无论它是否是自签名的。是否可行，或者在验证时我们应该始终了解根证书？

[rootCert] <--signed by-- [localCert] <--signed by-- [receivedCert] // We have only the local and receivedCert

我的想法/我尝试了什么：我的第一个想法是使用一个SecTrust对象，将本地存储的证书设置为信任锚，并使用它SecTrustEvaluateWithError(_:_:)来检查它是否是一个正确的链（我最终得出的结论也会检查收到的证书是否由我在本地存储的那个签名）。我已经在 SSLPinning 实现中看到过这个工作，但不知何故它返回了我false，即使我仔细检查了证书是否正确。这是我正在做的事情：

let serverCert = // Getting my server cert as a SecCertificate object
let localCert = // Getting my server cert as a SecCertificate object
let policy = SecPolicyCreateBasicX509()
var optionalTrust: SecTrust?
let status = SecTrustCreateWithCertificates([serverCert] as AnyObject,
                                            policy,
                                            &optionalTrust)
guard status == errSecSuccess else { return }
let trust = optionalTrust! // Safe to force unwrap now
SecTrustSetAnchorCertificates(trust, [localCert] as CFArray)
var error: CFError?
print("Veryfing result: ", SecTrustEvaluateWithError(trust, &error))
print(error)

验证收到的证书是否由当地人签署是一种好方法吗？如果是，那么我做错了false什么？如果方法不好，我还能在这里尝试什么？

我发现了一个类似的问题，但它是用 Java 编写的（但也许可以提示我要完成的工作）：验证 x509 签名 Java。但是，它也提到了根证书，因此如果没有根/自签名证书也可行，它再次向我提出了问题2。

更新

正如评论中所建议的，我正在打印我从中得到的错误SecTrustEvaluateWithError：

错误域=NSOSStatusErrorDomain 代码=-25318““AuthInfoKey:18”证书不受信任”UserInfo={NSLocalizedDescription=“AuthInfoKey:18”证书不受信任，NSUnderlyingError=0x280efb9c0 {错误域=NSOSStatusErrorDomain 代码=-25318“证书 0” AuthInfoKey:18”有错误：无法建立到根的链（可能缺少中间）；” UserInfo={NSLocalizedDescription=Certificate 0 “AuthInfoKey:18” 有错误：无法建立到根的链（可能缺少中间）；}}}

这些问题似乎是合理的，因为我无法访问上面提到的根证书，我想验证一个中间证书。

所以我的问题再次是：是否可以检查 serverCert（中间证书）是否由我的本地证书（其他中间证书）签名SecTrustEvaluateWithError？对我来说，它似乎只有在拥有根证书的情况下才有效。

标签： iosswiftsecurityx509