在 Eclipse 安装过程中验证 JCE 证书

Question

在安装Eclipse（使用Eclipse Installer）时，我被问到“您是否信任这些证书？”，列出了两个由Sun签名的Bouncy Castle证书（一个由Oracle签名），以及一个由Sun签名的Eclipse证书。如何验证这些证书？

我知道这些是用于JCE（Java加密扩展）的代码签名证书，即由Oracle签署的用于加密、密钥生成和协商以及消息认证码（MAC）算法的证书（链接1）。我还知道Bouncy Castle通常用于提供与加密相关的算法（链接3）。

两个问题：

1. 所有证书都是由同两个CA签名的，但我找不到“官方”CA证书指纹的（公开）列表。我该如何验证这些证书？
   • JCE代码签名CA，由Sun Microsystems Inc颁发和颁发给，有效期至2020-04-25，指纹为57:37:D1:E1:16:2F:F6:FE:26:B9:87:88:D2:86:DA:66:7F:98:54:3C
   • JCE代码签名CA，由Oracle Corporation颁发和颁发给，有效期至2030-12-31，指纹为F4:B9:C6:4A:52:AD:22:3C:E4:BF:BA:52:52:87:9C:9F:71:1D:4B:33
2. 为什么这些CA默认不受信任，即未包含在JDK/JRE提供的某个信任存储中？这些CA由Oracle运营（至少CA证书如此），我使用的JRE由Oracle（openjdk 11.0.2）提供，我看不出这些CA不应该受信任（如果它们确实合法）。

- siegi

Answer 1

我认为，你在一定程度上被迫要信任这些证书。在我的安装中（eclipse 2022-12），当我突出显示要求信任的某个证书时，它会显示与该证书相关联的捆绑包列表。我肯定熟悉其中许多捆绑包，并且认为如果它们未安装，则您可能会遇到错误的安装或者奇怪的事情可能会发生。您唯一能做的是确保已经校验了来自eclipse.org下载的eclipse installer的sha-512哈希码。我几乎对从互联网下载和安装的所有东西都这样做。如果您信任安装程序，那么正如我之前所说，您应该信任它要求您安装的资源。我认为正在使用的信任存储库来自您选择的JRE（即jdk-17\lib\security\cacerts）。要求信任的我的某个证书已经过期，并且我正在使用JRE-17进行安装。有些要求安装的捆绑包没有签名。

- Tom Rutchik