Добрый день.

Стоит задача получить с клиента (браузерный фронт) подпись CAdES-BES и усовершенствовать ее до CAdES-X Long Type 1 с помощью JCP.

Я на форуме нашел примеры как это сделать и в целом процесс получился примерно след.:

Берется CAdES-BES из нее извлекаются подписанты. У подписанта вызывается метод в который передается TSA url и дальше все работает из коробки.




Вопрос заключается в том, что в компании развернут, помимо TSA, OCSP сервис.

Если я верно понимаю, то есть возможность проверить подписанта через OCSP сервис и полученный штамп добавить в CAdES_X_Long_Type_1 подпись, что бы не хранить там все CRL.
1. На сколько это верно?
2. Если верно, то есть ли какой то метод в который можно передать адрес OCSP службы, чтобы JCP сделал все сам, так же как он это делает со службой TSA. Или как это вообще делается?


3. Достаточно ли только TSA службы для усовершенствования подписи? (То есть в OCSP вообще не обращаться)


4. Какие лицензии JCP потребуются, для данного функционала (дополнение обычной подписи до усовершенствованной? Вопрос возникает, т.к. я разработчик и использую демо лицензию JCP для разработки, и хочется быть уверенным, что именно нужно для прод. среды.


Если какие то утверждения выше не верны, просьба написать, что не так.

Спасибо.

Я не много запутался.

1. Верно я понимаю, что речь идет о сертификате из подписи которая CAdES-Bes?

У нас подписывают данные внешние клиенты своими сертификатами, и, если я верно понимаю, там не может быть указан внутренняя OCSP служба нашей компании.

2. Или OCSP служба должна быть у ЦС выпустившего сертификат который участвует в первоначальной подписи?

То есть если я верно понимаю, то сейчас у меня все работает, так как я усовершенствую подпись которая сделана сертификатом выпущенным на тестовом УЦ крипто про. Собственно в сертификате действительно есть url до ocsp службы.

1. Верно я понимаю, что код написан верно и если в сертификате подписана есть ссылка на ocsp службу, то подпись получить усовершенствовать?
2 Если OSCP службы нет, то будет ошибка?

Отдельный вопрос:
3. TSA служба может быть внутренней или она тоже должны быть именно от ЦС выпустившего сертификат подписанта? Т.е. можем ли мы в рамках компании поднять свой TSA и обращаться в него при усовершенствование подписи?



Теперь предположим кейс, что у меня есть CAdES-BES, в сертификате нет ocsp. Но мне надо сделать подпись долговечной, как я могу это обеспечить?

В голове есть одна мысль, насколько она правдива:

Если первый подписант делает подпись CAdES-BES
Затем я на сервере подписываю этот же документ, то есть дополняю текущую подпись своей, со своим сертификатом, но уже использую тип подписи CAdES_X_Long_Type_1

Т.е. получаю, что документ подписан двумя подписями 1. CAdES-BES; 2. CAdES_X_Long_Type_1

4. Затем через какое то время требуется сделать проверку подписи, а у сертификата из первой подписи уже истек срок действия, будет ли данная подпись валидной?

Если моя мысль верна, то вторую подпись можно добавить только если в момент подписи первая валидная, то есть получается если вторая подпись валидна, то и первая была валидная на момент подписания второй.

Большое спасибо за объяснение.

По итогу решено было сделать так:

1. Для подписания клиентами все сертификаты будут выпущены собственным ЦС с поднятыми службами OCSP, TSA.
2. Клиент в браузере используя плагин + CSP подписывает Cades-bes.
3. Серверная сторона в лице JCP дополняет подпись до CAdES_X_Long_Type_1.