/**
* Функция формирования простой отсоединенной подписи формата PKCS#7
* по хешу сообщения.
* Пример подписи взят из {@link CMS_samples.CMS#CMSSign(byte[],
* PrivateKey, Certificate, boolean)}.
*
* @param data Данные для подписи.
* @param privateKey Закрытый ключ для создания ЭЦП.
* @param certificate Сертификат подписи.
* @return ЭЦП.
* @throws Exception
*/
public static byte[] createPKCS7(byte[] data, PrivateKey privateKey,
X509Certificate certificate) throws Exception
{

// Получаем бинарную подпись длиной 64 байта.

final Signature signature = Signature.getInstance(AlgorithmUtils.getSignatureInstanceForJCP(certificate)); //hardcoded JCP.GOST_DHEL_SIGN_NAME
signature.initSign(privateKey);
signature.update(data);

final byte[] sign = signature.sign();

// Формируем контекст подписи формата PKCS7.

final ContentInfo all = new ContentInfo();
all.contentType = new Asn1ObjectIdentifier(
new OID(CMStools.STR_CMS_OID_SIGNED).value);

final SignedData cms = new SignedData();
all.content = cms;
cms.version = new CMSVersion(1);

// Идентификатор алгоритма хеширования.

String [] digestAndSignatureAlgorithms = AlgorithmUtils.getDigestSignatureAlgorithmOIDs(certificate);

cms.digestAlgorithms = new DigestAlgorithmIdentifiers(1);
final DigestAlgorithmIdentifier a = new DigestAlgorithmIdentifier(
new OID(digestAndSignatureAlgorithms[0]).value); //hardcoded CMStools.DIGEST_OID
a.parameters = new Asn1Null();
cms.digestAlgorithms.elements[0] = a;

// Т.к. подпись отсоединенная, то содержимое отсутствует.

cms.encapContentInfo = new EncapsulatedContentInfo(
new Asn1ObjectIdentifier(new OID(CMStools.STR_CMS_OID_DATA).value), null);

// Добавляем сертификат подписи.

cms.certificates = new CertificateSet(1);
final ru.CryptoPro.JCP.ASN.PKIX1Explicit88.Certificate asnCertificate =
new ru.CryptoPro.JCP.ASN.PKIX1Explicit88.Certificate();

final Asn1BerDecodeBuffer decodeBuffer =
new Asn1BerDecodeBuffer(certificate.getEncoded());
asnCertificate.decode(decodeBuffer);

cms.certificates.elements = new CertificateChoices[1];
cms.certificates.elements[0] = new CertificateChoices();
cms.certificates.elements[0].set_certificate(asnCertificate);

// Добавялем информацию о подписанте.

cms.signerInfos = new SignerInfos(1);
cms.signerInfos.elements[0] = new SignerInfo();
cms.signerInfos.elements[0].version = new CMSVersion(1);
cms.signerInfos.elements[0].sid = new SignerIdentifier();

final byte[] encodedName = certificate.getIssuerX500Principal().getEncoded();
final Asn1BerDecodeBuffer nameBuf = new Asn1BerDecodeBuffer(encodedName);
final Name name = new Name();
name.decode(nameBuf);

final CertificateSerialNumber num = new CertificateSerialNumber(
certificate.getSerialNumber());

cms.signerInfos.elements[0].sid.set_issuerAndSerialNumber(
new IssuerAndSerialNumber(name, num));
cms.signerInfos.elements[0].digestAlgorithm =
new DigestAlgorithmIdentifier(new OID(digestAndSignatureAlgorithms[0]).value); // hardcoded CMStools.DIGEST_OID
cms.signerInfos.elements[0].digestAlgorithm.parameters = new Asn1Null();
cms.signerInfos.elements[0].signatureAlgorithm =
new SignatureAlgorithmIdentifier(new OID(digestAndSignatureAlgorithms[1]).value); //hardcoded CMStools.SIGN_OID
cms.signerInfos.elements[0].signatureAlgorithm.parameters = new Asn1Null();
cms.signerInfos.elements[0].signature = new SignatureValue(sign);

// Получаем закодированную подпись.

final Asn1BerEncodeBuffer asnBuf = new Asn1BerEncodeBuffer();
all.encode(asnBuf, true);

return asnBuf.getMsgCopy();
}

Добрый день. Полагаю цепочку надо добавлять в cms.certificates.elements.
Как получить исчерпывающая инструкция буквально на странице 2 данного раздела форума https://www.cryptopro.ru...aspx?g=posts&t=16695
Еще почти тоже: https://www.cryptopro.ru...&m=107822#post107822
Вручную для построения цепочки можно зайти на e-trust.gosuslugi.ru и поискать сертификат УЦ выдавшего Ваш сертификат, алгоритм такой:
1. открываете сертификат (в начале свой, если перешли с шага 4, то скачанный сертификат УЦ) смотрите поле издатель - из него интересует огрн издателя, смотрите поле идентификатор ключа ЦС (тут интересуют только шестнадцатеричные цифры).
2. Если это не Минкомсвязь/головной удостоверяющий центр на сайте e-trust.gosuslugi.ru в меню переходите в аккредитованные УЦ, вводите огрн в поле фильтра, нажимаете найти, найдется один пункт, надо нажать лупу слева от названия УЦ. Если Минкомсвязь/головной удостоверяющий центр, то нужно на сайте в меню выбрать головной УЦ.
3. на странице УЦ находите соотвествующий сертификат по идентификатору ключа, скачиваете.
4. открываете сертификат УЦ, если это не Минкомсвязь/головной удостоверяющий центр - переходите к шагу 1, если Минкомсвязь/головной удостоверяющий центр - убеждаетесь что идентификатор ключа субъекта равен идентификатору ключа ЦС. Если равен, то это корневой сертификат и конец алгоритма, если не равен - переходите к шагу 1.

Программно все практически так же, но берется адрес из расширения сертификата сведения о ЦС - в котором указаны прямые адреса где лежит сертификат УЦ (не e-trust.gosuslugi.ru, а на сайте УЦ). Адрес может быть недоступен или отключено докачивание сертификатов цепочки или отключен Интернет - тогда цепочка не построится автоматически.

Допустим, все сертификаты были скачаны... После этого в хранилище криптопро csp сертификаты будут связаны цепочкой?

как определяется, что X сертификат выдан сертификат Y, который выдал сертификат Z (конечный)?

Здравствуйте.
В samples-sources.jar в дистрибутиве в пакете userSamples есть примеры построения (и проверки) цепочки сертификатов CRLValidateCert (по CRL) и OCSPValidateCert (по OCSP или CRL) от target-сертификата (EE) до корневого, который должен быть в списке TrustAnchor. Дополнительные сертификаты (промежуточные) могут быть добавлены в addCertStore. CRLValidateCert с помощью enableAIAcaIssuers может догрузить промежуточные сертификаты из сети, если ссылки на них есть в сертификатов.

Метод build класса CertPathBuilder, алгоритм и провайдер - "CPPKIX" и "RevCheck":

PKIXCertPathBuilderResult res = (PKIXCertPathBuilderResult) CertPathBuilder.getInstance("CPPKIX", "RevCheck").build(cpp);
cpp - параметры класса PKIXBuilderParameters, куда можно передать: сертификат, для которого строится цепочка, дополнительные хранилища для поиска сертификатов при построении, дату, список доверенных корневых (TrustAnchor) и т.д.