Добрый день,

Есть сертификат (ссылка на скачивание https://drive.google.com...zc46r3DGqYW-fAuSpSYsod). Использую код проверки цепочки сертификатов отсюда https://www.cryptopro.ru...aspx?g=posts&t=14557
В качестве корневых сертификатов использую сертификаты ГУЦ Минкомсвязи.
Код выдает следующий трейс:

WARNING: Exception fetching certificates:
java.security.cert.CertificateException: Unable to initialize, java.io.IOException: Short read of DER length
at sun.security.x509.X509CertImpl.<init>(X509CertImpl.java:198)
at sun.security.provider.X509Factory.parseX509orPKCS7Cert(X509Factory.java:471)
at sun.security.provider.X509Factory.engineGenerateCertificates(X509Factory.java:356)
at java.security.cert.CertificateFactory.generateCertificates(CertificateFactory.java:462)
at ru.CryptoPro.reprov.certpath.URICertStore.engineGetCertificates(Unknown Source)
at java.security.cert.CertStore.getCertificates(CertStore.java:151)
at ru.CryptoPro.reprov.certpath.ForwardBuilder.a(Unknown Source)
at ru.CryptoPro.reprov.certpath.ForwardBuilder.b(Unknown Source)
at ru.CryptoPro.reprov.certpath.ForwardBuilder.a(Unknown Source)
at ru.CryptoPro.reprov.certpath.SunCertPathBuilder.a(Unknown Source)
at ru.CryptoPro.reprov.certpath.SunCertPathBuilder.a(Unknown Source)
at ru.CryptoPro.reprov.certpath.SunCertPathBuilder.a(Unknown Source)
at ru.CryptoPro.reprov.certpath.SunCertPathBuilder.a(Unknown Source)
at ru.CryptoPro.reprov.certpath.SunCertPathBuilder.engineBuild(Unknown Source)
at ru.CryptoPro.reprov.CPCertPathBuilder.engineBuild(Unknown Source)
at java.security.cert.CertPathBuilder.build(CertPathBuilder.java:280)
at ru.ofd.util.CryptoUtils.validateCertChain(CryptoUtils.java:286)
at ru.ofd.service.CryptoService.validateCertChain(CryptoService.java:128)
at ru.ofd.api.service.test.tests.unit.CertCheckingChainTest.validateCertChain_givenCert_OK(CertCheckingChainTest.java:45)
at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
at java.lang.reflect.Method.invoke(Method.java:498)
at org.junit.runners.model.FrameworkMethod$1.runReflectiveCall(FrameworkMethod.java:50)
at org.junit.internal.runners.model.ReflectiveCallable.run(ReflectiveCallable.java:12)
at org.junit.runners.model.FrameworkMethod.invokeExplosively(FrameworkMethod.java:47)
at org.junit.internal.runners.statements.InvokeMethod.evaluate(InvokeMethod.java:17)
at org.junit.internal.runners.statements.RunBefores.evaluate(RunBefores.java:26)
at org.junit.runners.ParentRunner.runLeaf(ParentRunner.java:325)
at org.junit.runners.BlockJUnit4ClassRunner.runChild(BlockJUnit4ClassRunner.java:78)
at org.junit.runners.BlockJUnit4ClassRunner.runChild(BlockJUnit4ClassRunner.java:57)
at org.junit.runners.ParentRunner$3.run(ParentRunner.java:290)
at org.junit.runners.ParentRunner$1.schedule(ParentRunner.java:71)
at org.junit.runners.ParentRunner.runChildren(ParentRunner.java:288)
at org.junit.runners.ParentRunner.access$000(ParentRunner.java:58)
at org.junit.runners.ParentRunner$2.evaluate(ParentRunner.java:268)
at org.junit.runners.ParentRunner.run(ParentRunner.java:363)
at org.junit.runner.JUnitCore.run(JUnitCore.java:137)
at com.intellij.junit4.JUnit4IdeaTestRunner.startRunnerWithArgs(JUnit4IdeaTestRunner.java:68)
at com.intellij.rt.execution.junit.IdeaTestRunner$Repeater.startRunnerWithArgs(IdeaTestRunner.java:47)
at com.intellij.rt.execution.junit.JUnitStarter.prepareStreamsAndStart(JUnitStarter.java:242)
at com.intellij.rt.execution.junit.JUnitStarter.main(JUnitStarter.java:70)
Caused by: java.io.IOException: Short read of DER length
at sun.security.util.DerInputStream.getLength(DerInputStream.java:582)
at sun.security.util.DerValue.<init>(DerValue.java:258)
at sun.security.util.DerInputStream.getDerValue(DerInputStream.java:451)
at sun.security.x509.X509CertImpl.parse(X509CertImpl.java:1783)
at sun.security.x509.X509CertImpl.<init>(X509CertImpl.java:195)
... 41 more

апр 02, 2019 3:01:07 PM ru.CryptoPro.JCP.tools.Starter check
INFO: Loading JCP 2.0 39014
апр 02, 2019 3:01:07 PM ru.CryptoPro.JCP.tools.Starter check
INFO: JCP loaded.
ru.CryptoPro.reprov.certpath.JCPCertPathBuilderException: unable to find valid certification path to requested target
at ru.CryptoPro.reprov.certpath.SunCertPathBuilder.engineBuild(Unknown Source)
at ru.CryptoPro.reprov.CPCertPathBuilder.engineBuild(Unknown Source)
at java.security.cert.CertPathBuilder.build(CertPathBuilder.java:280)

Однако на сайте Госуслуги https://www.gosuslugi.ru/pgu/eds/ данный сертификат валиден. Сервис https://www.justsign.me/...fyqca/VerifyCertificate/ показывает что сертификат невалиден ("Не удается построить цепочку сертификатов для доверенного корневого центра.")

В чем может быть проблема?

Спасибо.

P.S. Используем лицензионную версию JCP CryptoPro 2.0 39014

Здравствуйте.
Проблема, скорее всего, в том, что tensorca3, которому подчиняется проблемный сертификат, хотя и скачивается, но он не доверенный, его нет в trustAnchors. TrustAnchor имеет несколько видов конструкторов, про это есть в ссылке на код.
Ошибка же возникает из-за того, что в сертификат положили адрес TSP службы:
[2]Доступ к сведениям центра сертификации
Метод доступа=Поставщик центра сертификации (1.3.6.1.5.5.7.48.2)
Дополнительное имя:
URL=http://tax4.tensor.ru/tsp/tsp.srf <------ это адрес TSP службы
Хотя должен быть сертификат. Выводится ошибка для этого случая, далее переход к другим ссылкам с сертификатами, они скачиваются, затем, полагаю, ошибка из-за недоверенного корневого.

Отредактировано пользователем 2 апреля 2019 г. 16:48:24(UTC)  | Причина: Не указана

Вероятно, в системе проверки установлен другой сертификат tensorca3:

В том tensorca3, что скачивается по ссылкам в сертификате, другой срок: ‎с 17 ‎ноября ‎2015 ‎г. 14:33:56 по ‎17 ‎ноября ‎2030 ‎г. 14:43:56
То есть данный пример (с закачиванием сертификатов) вам не подходит, если нужно построить цепочку до Головного.

Отредактировано пользователем 2 апреля 2019 г. 17:49:53(UTC)  | Причина: Не указана

Может быть несколько цепочек, строиться они могут по-разному. Если есть вероятность построить более одной цепочки, будет выбрана самая короткая.
В одном случае случае сертификат самоподписанный, запрос был подписан своим ключом, в другом - подписан ключом другого УЦ. Но в сведениях клиентского сертификата ссылки на сертификат самподописанного.
Проверить можно и не только с помощью JCP, но и CSP, скачав корневой по ссылке из сертификата problem.cer и установив его - цепочка будет короткая.