ну я хз, у меня криптоарм подписывает и без stunnel'а даже, не работал только ЛК.

со штампом.
прошу пардону, в криптоарм TSP тоже через stunnel.

Добрый день, коллеги.

Месяц мучаемся с сертификатом от ЦБ.

В какой-то момент получили вот такое сообщение от техподдержки УЦ ЦБ:
"Рабочие адреса службы штампа времени есть, но они закрыты, т.к. в ходе тестирования было обнаружено, что в момент создания подписи X-Cades Long type 1 Крипто Плагин игнорирует конфигурацию Stunnel и направляет запрос к OCSP серверу по 80 порту, который в соответствии с требованиями ФСБ России закрыт. В результате приходит отрицательный ответ."

Тест не проходит, а подписание этим ключом занимает больше минуты, видимо, пока не отвалится по таймауту.
Проверка сертификата с помощью утилиты CryptExpert выдает ошибку:
Ошибка: 12029 -
Ошибка: 500 Sock [10060 : Connection timed out] время выполнения: 21047 мсек
http://tsp2.ca.cbr.ru/ocsp Продолжительность проверки: 63406 мсек

С включенным stunnel ошибка уже 404:
Ошибка: 12029 -
Ошибка: 404 Not Found Sock [0 : ]
время выполнения: 0 мсек
http://tsp2.ca.cbr.ru/ocsp
Продолжительность проверки: 21172 мсек

Отключения проверок ocsp в настройках КриптоПро, сертификатов, тоже ни к чему не приводит.

Идеи кончились.

Открывается, с ocsp - BadRequest, без - заглушка Апача на Дебиане.
То есть stunnel работает.

Добавлю еще
Получается CryptExpert игнорирует настройки в сертификате и упорно пытается запросить их с http://tsp2.ca.cbr.ru/ocsp
Перенастроил stunnel

[tls1-client-https-2]
client = yes
accept = 127.0.0.1:80
connect = 212.40.193.62:443

И теперь очень быстро получаю ответ
Статус сертификата: Не удалось прочитать ответ
http://tsp2.ca.cbr.ru/ocsp
Продолжительность проверки: 140 мсек

Отредактировано пользователем 3 года назад  | Причина: Не указана

Посмотрел, в папке кучка файлов *.ors и *.orq

Андрей, у нас изначально проблема с массовым подписанием через КриптоПро ЭЦП Browser plug-in ключом, выданным УЦ ЦентроБанка.
Документ подписывается по 1-5 минут, и когда их под сотню, процесс затягивается. С ключом, выданным другим УЦ, все проходит в 5-10 раз быстрее.
Анализируя логи, пришли к выводу, что процесс подписания зависает при обращении к серверам OCSP.
Пробовали отключать проверку в настройках КриптоПро на клиенте, на сервере, устанавливали stunnel, в свойствах сертификата добавляли дополнительные адреса серверов проверки, ставили галку "отключить списки отзыва по OCSP" - ничего не помогает, плагин обращается по адресу, указанному в сертификате.

Нашел похожую проблему в этой теме и прошу помощи. Извините, если выбрал для этого не ту тему.