Помогите разобраться с локальной проверкой СОС по файлу CRL

Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Error

Помогите разобраться с локальной проверкой СОС по файлу CRL - Один и тот же код даёт нестабильные результаты

Опции

Предыдущая тема Следующая тема

Chemannnnn		#1 Оставлено : 25 января 2022 г. 12:26:35(UTC)
Статус: Участник Группы: Участники Зарегистрирован: 29.11.2021(UTC) Сообщений: 21 Сказал(а) «Спасибо»: 10 раз Поблагодарили: 2 раз в 1 постах		Здравствуйте. Пытаюсь в Java реализовать проверку прикреплённой CAdES подписи с локальным файлом списка отозванных сертификатов (CRL). В системе (Win10 x64) установлен OpenJDK 1.8.0_232 и jcp-2.0.40035 (также был установлен CryptoPro CSP 5.0.12000 КС1, но с ним из кода не работаю, только с JCP). Проблема следующая: есть файл прикреплённой CAdES подписи, верификация подписи с использованием онлайн проверки списка отозванных сертификатов происходит успешно (когда включены следующие параметры): Код: `// Включаем возможность онлайновой проверки System.setProperty("com.sun.security.enableCRLDP", "true"); System.setProperty("com.ibm.security.enableCRLDP", "true");` Но при развёрнутом на сервере приложении возможности онлайн проверки не будет, поэтому экспериментирую со следующим кодом: Код: // проверка по локальному СОС System.setProperty("com.sun.security.enableCRLDP", "false"); System.setProperty("com.ibm.security.enableCRLDP", "false"); // Исходная CAdES-BES подпись в виде потока байтов из файла. FileInputStream cadesCms = new FileInputStream("signature.p7s"); // Откладываем декодирование, извлекаем подписанные // данные, декодируем и проверяем совмещенную CAdES-BES подпись. CAdESSignature cadesSignature = new CAdESSignature(cadesCms, null, null, false, true); // откладываем декодирование, передав последним параметром userDecode = true InputStream contentStream = cadesSignature.getSignedContent(); // поток подписанных данных (контент) if (contentStream != null) { // если подпись отделенная, то contentStream == null final int size = 16 * 1024 * 1024; byte[] buffer = new byte[size]; int read; FileOutputStream fileContentStream = new FileOutputStream("content.xml"); // файл для сохранения контента while ((read = contentStream.read(buffer, 0, size)) > 0) { fileContentStream.write(buffer, 0, read); } // while fileContentStream.close(); } cadesSignature.decode(); // самостоятельно вызываем декодирование подписи File crlFile = new File("1.crl"); X509CRL crl = (X509CRL) CertificateFactory.getInstance("X.509").generateCRL(new FileInputStream(crlFile)); cadesSignature.verify(null, Collections.singleton(crl)); Но получаю ошибку: Код: `For online validation by CRLDP parameter 'com.sun.security.enableCRLDP' (Oracle) or 'com.ibm.security.enableCRLDP' (IBM) must be set 'true' to enable or 'ocsp.enable' must be set 'true' (OCSP), or CRL passed for offline validation; error codes: [44] 'Certificate status is unknown or revoked',` Сертификат подписи извлёк из файла подписи с помощью программы "КриптоАРМ", затем по URL в сертификате подписи из поля "Доступ к информации о центрах сертификации" скачал сертификат УЦ (КриптоПро) и добавил оба эти сертификата в cacerts. Повторюсь, верификация с онлайн проверкой CRL проходит успешно. Далее в сертификате подписи из поля "Точки распространения списков отзыва (CRL)" скачал оба CRL файла - URL разные, но по обеим ссылкам скачивается одинаковый CRL-файл, насколько я понял. Код: `[1]Точка распределения списка отзыва (CRL) Имя точки распространения: Полное имя: URL=http://cdp.cryptopro.ru/cdp/1d5c58c03feb4407cf888dafae5382bb778ed464.crl [2]Точка распределения списка отзыва (CRL) Имя точки распространения: Полное имя: URL=http://cpca20.cryptopro.ru/cdp/1d5c58c03feb4407cf888dafae5382bb778ed464.crl` CRL-файл, скачанный по первому URL, загружаю в коде. Прошу помощи - что именно делаю неправильно и почему верификация подписи работает при: Код: `System.setProperty("com.sun.security.enableCRLDP", "true"); System.setProperty("com.ibm.security.enableCRLDP", "true");` но возвращает ошибку при: Код: `System.setProperty("com.sun.security.enableCRLDP", "false"); System.setProperty("com.ibm.security.enableCRLDP", "false");` в вышеуказанном коде?


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»


	Wanna join the discussion?! Login to your Форум КриптоПро forum account, or Register a new forum account.

Александр Лавник		#4 Оставлено : 25 января 2022 г. 14:54:17(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 30.06.2016(UTC) Сообщений: 3,451 Сказал «Спасибо»: 53 раз Поблагодарили: 791 раз в 731 постах		Здравствуйте. У списка отзыва этого УЦ срок действия менее 2 часов. Вы точно используете актуальный CRL?
		Техническую поддержку оказываем тут Наша база знаний


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Санчир Момолдаев		#5 Оставлено : 25 января 2022 г. 15:06:19(UTC)
Статус: Сотрудник Группы: Модератор, Участники Зарегистрирован: 03.12.2018(UTC) Сообщений: 1,193 Сказал(а) «Спасибо»: 100 раз Поблагодарили: 274 раз в 254 постах		Добрый день! в случае с длинной цепочкой: МКС - УЦ - пользователь при проверке участвует два crl. один издан МКС, второй издан УЦ: МКС (crl) - УЦ (crl)- пользователь
		Техническую поддержку оказываем тут Наша база знаний

1 пользователь поблагодарил Санчир Момолдаев за этот пост.		Chemannnnn оставлено 25.01.2022(UTC)
Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Санчир Момолдаев		#6 Оставлено : 25 января 2022 г. 15:34:28(UTC)
Статус: Сотрудник Группы: Модератор, Участники Зарегистрирован: 03.12.2018(UTC) Сообщений: 1,193 Сказал(а) «Спасибо»: 100 раз Поблагодарили: 274 раз в 254 постах		создайте обращение на портале приложите подпись которую проверяете. и crl который вы подаете в коде там попробуем воспроизвести
		Техническую поддержку оказываем тут Наша база знаний

1 пользователь поблагодарил Санчир Момолдаев за этот пост.		Chemannnnn оставлено 25.01.2022(UTC)
Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Chemannnnn		#7 Оставлено : 25 января 2022 г. 15:38:59(UTC)
Статус: Участник Группы: Участники Зарегистрирован: 29.11.2021(UTC) Сообщений: 21 Сказал(а) «Спасибо»: 10 раз Поблагодарили: 2 раз в 1 постах		Автор: Александр Лавник Здравствуйте. У списка отзыва этого УЦ срок действия менее 2 часов. Вы точно используете актуальный CRL? Здравствуйте. Мне предоставили тестовый файл подписи для "опытов" (в заглавном посте темы описал как извлекал сертификаты и CRL) и хочется разобраться как работать с локальным CRL, т.к. доступа развёрнутому приложению для онлайн проверки не будет. Срок действия СОС видел, он действительно около полутора часов, но ссылки в сертификате были только на эти CRL. Срок действия CRL как-то участвует при проверке подписи, если параметром передано множество CRL? Уже были мысли, что проверка не проходит из-за этих сроков, но вчера долго сидел с этим кодом и в какие-то моменты верификация происходила без ошибок (хотя использовал CRL, скачанные по тем же URL из сертификата), сегодня опять ошибки верификации. Это очень странно. В первую очередь интересует почему появляется ошибка Код: `For online validation by CRLDP parameter 'com.sun.security.enableCRLDP' (Oracle) or 'com.ibm.security.enableCRLDP' (IBM) must be set 'true' to enable or 'ocsp.enable' must be set 'true' (OCSP), or CRL passed for offline validation;` ведь в параметрах установлено: Код: `System.setProperty("com.sun.security.enableCRLDP", "false"); System.setProperty("com.ibm.security.enableCRLDP", "false");` Сейчас добавил к ним ещё и: Код: `System.setProperty("ru.CryptoPro.reprov.enableCRLDP", "false"); System.setProperty("ocsp.enable", "false"); System.setProperty("com.sun.net.ssl.checkRevocation", "false");` но ошибки те же.


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Александр Лавник		#8 Оставлено : 25 января 2022 г. 15:44:26(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 30.06.2016(UTC) Сообщений: 3,451 Сказал «Спасибо»: 53 раз Поблагодарили: 791 раз в 731 постах		Если используете просроченный CRL, то как по нему проверится сертификат? Нужно использовать актуальный.
		Техническую поддержку оказываем тут Наша база знаний

1 пользователь поблагодарил Александр Лавник за этот пост.		Chemannnnn оставлено 25.01.2022(UTC)
Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Chemannnnn		#9 Оставлено : 25 января 2022 г. 16:53:22(UTC)
Статус: Участник Группы: Участники Зарегистрирован: 29.11.2021(UTC) Сообщений: 21 Сказал(а) «Спасибо»: 10 раз Поблагодарили: 2 раз в 1 постах		Автор: Александр Лавник Если используете просроченный CRL, то как по нему проверится сертификат? Нужно использовать актуальный. Если по указанным в сертификате ссылкам скачать CRL файлы и открыть их, то даты и время в них стали актуальные в полях "Действителен с" и "Следующее обновление". Подложил эти CRL файлы с актуальными датами и верификация подписи отработала успешно. Похоже, что проблема именно в этом была. Код: `[1]Точка распределения списка отзыва (CRL) Имя точки распространения: Полное имя: URL=http://cdp.cryptopro.ru/cdp/1d5c58c03feb4407cf888dafae5382bb778ed464.crl [2]Точка распределения списка отзыва (CRL) Имя точки распространения: Полное имя: URL=http://cpca20.cryptopro.ru/cdp/1d5c58c03feb4407cf888dafae5382bb778ed464.crl`


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Chemannnnn		#10 Оставлено : 25 января 2022 г. 17:30:56(UTC)
Статус: Участник Группы: Участники Зарегистрирован: 29.11.2021(UTC) Сообщений: 21 Сказал(а) «Спасибо»: 10 раз Поблагодарили: 2 раз в 1 постах		Автор: Санчир Момолдаев Добрый день! в случае с длинной цепочкой: МКС - УЦ - пользователь при проверке участвует два crl. один издан МКС, второй издан УЦ: МКС (crl) - УЦ (crl)- пользователь Санчир, здравствуйте! Благодарю за объяснение. Автор: Санчир Момолдаев создайте обращение на портале приложите подпись которую проверяете. и crl который вы подаете в коде там попробуем воспроизвести Попробовал скачать заново файлы CRL по указанным в сертификате подписи URL-ам и увидел, что даты в полях "Действителен с" и "Следующее обновление" обновились на актуальные. С этими CRL файлами верификация отработала корректно.


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

RSS Лента

Atom Лента

Пользователи, просматривающие эту тему
Guest (2)

Быстрый переход

Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Important Information: The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies. More Details Close