Разрабатывается сервис, в котором происходит проверка подписей.


При проверке подписей сертификатами именно ГлавНИВЦ вылетает ошибка (С другими УЦ все в порядке)
“For online validation by CRLDP parameter 'com.sun.security.enableCRLDP' (Oracle) or 'com.ibm.security.enableCRLDP' (IBM) must be set 'true' to enable or 'ocsp.enable' must be set 'true' (OCSP), or CRL passed for offline validation”

Данные параметры включены:
System.setProperty("com.sun.security.enableCRLDP", "true");
System.setProperty("com.ibm.security.enableCRLDP", "true");
System.setProperty("ru.CryptoPro.reprov.enableCRLDP", "true");
System.setProperty("ocsp.enable", "true");

При дебаге, ошибка вылетает в классе PKIXMasterCertPathValidator.java во время проверки CrlRevocationChecker

...
try {
currChecker.check(currCert, unresCritExts); <-- здесь

if (debug != null) {
debug.println("-checker" + (j + 1) +
" validation succeeded");
}
...

Падает с ошибкой: «Could not determine revocation status: unable to find valid certification path to requested target»

Crl файл через браузер скачивается.
Но не скачивается курлом (выдает 301 ошибку Moved Permanently)

Не подскажете в чем может быть проблема? ГлавНИВЦ заверяют, что с их crl все впорядке.
Сертификат добавлен в cacerts

Спасибо за подсказку!

Проблема решена.

Ссылка crl редиректила на https урл, поэтому я, вытащив crl урлы из подписи, используя HttpsURLConnection и HttpURLConnection, бегая по редиректам скачал crl файл.

[ InputStream is = httpsConn.getInputStream(); X509CRL crl = (X509CRL) certificateFactory.generateCRL(is); ]

и передал его в метод signature.verify(null, crlSet);

Проверка прошла успешно