Получение цепочки сертификатов с помощью JCP

Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Error

Получение цепочки сертификатов с помощью JCP

Опции

Предыдущая тема Следующая тема

maximkosheev		#1 Оставлено : 29 августа 2019 г. 12:12:44(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 23.10.2018(UTC) Сообщений: 36 Сказал(а) «Спасибо»: 4 раз		Добрый день! Возникла следующая задача: добавить в cacerts java информацию о сертификатах, входящих в цепочку. Как бы я решал эту задачу вручную: 1. С помощью оснастки "Сертификаты" получил бы цепочку сертификатов (последний закрашенный - мой) 2. Выбрал нужный сертификат, например выше стоящий "АО "ПФ "СКБ КОНТУР" 3. Нажал на "Просмотр сертификата" 4. На аналогичном окне свойств сертификата, но уже для "АО "ПФ "СКБ КОНТУР" на вкладке "Состав" нажал бы "Копировать в файл" 5. Запустился бы мастер экспорта сертификата 6. Выбрал бы тип файла, например "Файлы X.509(.CER) в кодировке DER" и получил бы готовый файл .cer 7. С помощью утилиты keytool из пакета JRE/JDK импортировал этот файл .cer в доверенное хранилище cacerts. Выполнив эти действия для всех сертификатов в цепочке, я получил бы то, что мне нужно. Вопрос в том как выполнить действия программно с помощью JCA + JCP (хотябы получить цепочку и экспортировать в файлы) без мастеров Windows? Буду благодарен за любую помощь или направление куда "копать".


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Евгений Афанасьев		#2 Оставлено : 29 августа 2019 г. 12:59:13(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 06.12.2008(UTC) Сообщений: 4,027 Откуда: Крипто-Про Сказал(а) «Спасибо»: 21 раз Поблагодарили: 727 раз в 685 постах		Здравствуйте. Примеры построения и проверки цепочки сертификатов можно найти в samples-sources.jar (в дистрибутиве jcp), файлы OCSPValidateCert и CRLValidateCert. В CRLValidateCert построение осуществляется с помощью CertPathBuilder.build() (дальнейшая часть с validate не требуется, если только построение), при этом должен быть задан доверенный корневой сертификат (либо как сертификат, либо открытый ключ с издателем, см. описание TrustAnchor). target-сертификат - ваш сертификат. Промежуточных может не быть, но, чтобы цепочка была построена 1) ссылки на них должны быть в сертификатах (для примера client-CA2-CA1-root: в client - ссылка на промежуточный CA2, в CA2 - ссылка на промежуточный CA1); 2) должен быть задан параметр System.setProperty("ru.CryptoPro.reprov.enableAIAcaIssuers", "true"), если используется CertPathBuilder.getInstance("CPPKIX", "RevCheck"). В этом случае и при наличии доступа к сети промежуточные сертификаты будут загружены, вся цепочка будет доступна в PKIXCertPathBuilderResult. Далее можно сохранять getEncoded() сертификата. Отредактировано пользователем 29 августа 2019 г. 13:00:34(UTC) \| Причина: Не указана
		Тех. поддержка База знаний Логирование JCP Логирование JTLS Тест JCP и сбор диаг. информации Скачать JCP, JCSP и JTLS Скачать Android CSP + SDK


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

maximkosheev		#3 Оставлено : 11 сентября 2019 г. 20:47:27(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 23.10.2018(UTC) Сообщений: 36 Сказал(а) «Спасибо»: 4 раз		Отчасти помогло, но вот что не понятно. Мой сертификат я могу вытянуть программно с токена - в этой части проблем возникнуть не должно. А вот как получить корневой доверенный сертификат? Как вы правильно заметили Цитата: при этом должен быть задан доверенный корневой сертификат (либо как сертификат, либо открытый ключ с издателем, см. описание TrustAnchor) он должен быть. В примере CRLValidateCert он задается в виде root.cer: Код: `Certificate root = cf.generateCertificate(new FileInputStream(PATH + "root.cer"));` С помощью мастера экспорта сертификатов Windows получить root.cer можно без проблем. А вот как получить root.cer программно?


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Евгений Афанасьев		#4 Оставлено : 11 сентября 2019 г. 22:24:51(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 06.12.2008(UTC) Сообщений: 4,027 Откуда: Крипто-Про Сказал(а) «Спасибо»: 21 раз Поблагодарили: 727 раз в 685 постах		Мастером Windows он выгружается, потому что есть в хранилище (был установлен туда) или ссылка на него есть в предыдущем сертификате. Иначе мастер его не сможет выгрузить, так как неоткуда. В случае с явой trust anchors должны быть заданы, то есть придётся найти в интернете корневые сертификаты и установить в cacerts, иное хранилище или в виде файлов сохранить. На форуме где-то были ссылки на основные корневые сертификаты.
		Тех. поддержка База знаний Логирование JCP Логирование JTLS Тест JCP и сбор диаг. информации Скачать JCP, JCSP и JTLS Скачать Android CSP + SDK


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

maximkosheev		#5 Оставлено : 19 сентября 2019 г. 22:24:52(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 23.10.2018(UTC) Сообщений: 36 Сказал(а) «Спасибо»: 4 раз		Я никак не могу решить для себя вот какую задачу. Есть у пользователя сертификат его ЭЦП. Предположим, у него есть заранее скаченные корневые сертификаты (например, отсюда https://e-trust.gosuslugi.ru/MainCA) в виде *.cer. Как имея сертификат ЭЦП определить какой именно из этих корневых сертификатов входит в цепочку? Неужели нужно попробовать построить цепочки между пользовательским сертификатом и каждым корневым и отлавливать исключения? И если мы наткнулись на такую пару, то это именно тот корневой сертификат, который нам нужен? Речь идет именно про Java


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Евгений Афанасьев		#6 Оставлено : 19 сентября 2019 г. 23:56:02(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 06.12.2008(UTC) Сообщений: 4,027 Откуда: Крипто-Про Сказал(а) «Спасибо»: 21 раз Поблагодарили: 727 раз в 685 постах		Смотрите примеры, что я упомянул ранее. Все корневые (не один) нужно добавить в список TrustAnchor для параметров построения и вообще все сертификаты (корневые, промежуточные, клиентские) добавить в список сертификатов для подачи в pkix parameters, а в target указать клиентский. Цепочка будет построена, если в наличии есть все сертификаты. На всякий случай, если есть доступ в сеть, можно также включить enableaiacaissuers, как выше говорилось, чтобы докачались промежуточные, если возможно. Отредактировано пользователем 19 сентября 2019 г. 23:56:34(UTC) \| Причина: Не указана
		Тех. поддержка База знаний Логирование JCP Логирование JTLS Тест JCP и сбор диаг. информации Скачать JCP, JCSP и JTLS Скачать Android CSP + SDK


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

gluberg		#7 Оставлено : 9 ноября 2023 г. 10:42:57(UTC)
Статус: Участник Группы: Участники Зарегистрирован: 27.02.2023(UTC) Сообщений: 16 Сказал(а) «Спасибо»: 6 раз Поблагодарили: 9 раз в 2 постах		Я только одного не понимаю. Если в самой программе крипто про зайти в свойства сертификата и посмотреть путь, то если промежуточный и корневой не установлены они будут просто красным крестом светиться. Их можно спокойно экспортировать прямо из этой цепочки и установить в хранилища. Каким образом это можно на Java реализовать?


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Евгений Афанасьев		#8 Оставлено : 15 ноября 2023 г. 21:59:46(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 06.12.2008(UTC) Сообщений: 4,027 Откуда: Крипто-Про Сказал(а) «Спасибо»: 21 раз Поблагодарили: 727 раз в 685 постах		При условии, что в trust anchors есть нужный корневой, можно с помощью com.sun.security.enableAIAcaIssuers=true и ru.CryptoPro.reprov.enableAIAcaIssuers=true - сертификаты будут скачане по сети, если это возможно.
		Тех. поддержка База знаний Логирование JCP Логирование JTLS Тест JCP и сбор диаг. информации Скачать JCP, JCSP и JTLS Скачать Android CSP + SDK


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Алексей Вдовин		#9 Оставлено : 30 января 2025 г. 8:26:17(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 28.12.2021(UTC) Сообщений: 261 Откуда: Новосибирск Сказал(а) «Спасибо»: 78 раз Поблагодарили: 1 раз в 1 постах		Автор: Евгений Афанасьев При условии, что в trust anchors есть нужный корневой, можно с помощью com.sun.security.enableAIAcaIssuers=true и ru.CryptoPro.reprov.enableAIAcaIssuers=true - сертификаты будут скачане по сети, если это возможно. а куда они будут скачены? они автоматически в хранилище будут установлены? т.е. у меня такая ситуация - если enableAIAcaIssuers true проверка проходит очень долго, если этот параметр не ставить, то проверка вообще не проходит (если бы сертификат добавлялся автоматически, то 2й раз после enableAIAcaIssuers проверка по идее проходила бы) Error occurred during building the certification path for the target: .... unable to find valid certification path to requested target соответственно, есть желание всё что ищется по сети скачать и установить локально вот сейчас думаю как можно этот сертификат ИФНС найти в интеренете и скачать? по SHA1 отпечатку как то искать? ну и сразу вопрос - как проверить наличие этого сертификата в trusted - тоже по SHA1 отпечатку как то искать? вот данные моего сертификата Издатель : ИНН ЮЛ=7707329152, E=uc@tax.gov.ru, ОГРН=1047707030513, C=RU, S=77 Москва, L=г. Москва, STREET="ул. Неглинная, д. 23", O=Федеральная налоговая служба, CN=Федеральная налоговая служба Субъект : ****** Серийный номер : 0x02880A4700BAB06F8247AE9C20DF094812 SHA1 отпечаток : 64c2ffcb3adfeee5facfa86612df80e009b87c17 Идентификатор ключа : 706bd74197e1c9f5b3c37cb4a2c42408a7a04c49 ID ключа УЦ : d156fb382c4c55ad7eb3ae0ac66749577f87e116 Алгоритм подписи : ГОСТ Р 34.11-2012/34.10-2012 256 бит Алгоритм откр. кл. : ГОСТ Р 34.10-2012 256 бит (512 бит) Открытый ключ : 04 40 cc c3 6f 7e 91 33 2e ed e2 f0 b7 60 9c bf 3a b5 7d 79 e7 a9 34 f1 a3 c0 67 1d eb e4 7a b2 ae 9b 42 b1 82 63 e6 af 4a ae 3d db 10 8d 76 69 fc 23 34 be 96 91 06 30 d6 10 1e 61 f5 f3 eb 66 64 15 Выдан : 14/11/2023 04:08:39 UTC Истекает : 14/02/2025 04:18:39 UTC Ссылка на ключ : Есть Контейнер : SCARD\rutoken_3649634a\0C00\EBD0 Имя провайдера : Crypto-Pro GOST R 34.10-2012 KC1 CSP Инфо о провайдере : Тип провайдера: 80, тип ключа: 1, флаги: 0x0 Ключ выдан : 14/11/2023 04:08:39 UTC Ключ истекает : 14/02/2025 04:08:39 UTC Тип идентификации : При личном присутствии OCSP URL : http://pki.tax.gov.ru/ocsp03/ocsp.srf URL сертификата УЦ : http://pki.tax.gov.ru/cr...a_fns_russia_2023_01.crt URL сертификата УЦ : http://c0000-app005/crt/ca_fns_russia_2023_01.crt URL сертификата УЦ : http://uc.nalog.ru/crt/ca_fns_russia_2023_01.crt URL списка отзыва : http://pki.tax.gov.ru/cd...ae0ac66749577f87e116.crl URL списка отзыва : http://c0000-app005/cdp/d156fb382c4c55ad7eb3ae0ac66749577f87e116.crl URL списка отзыва : http://uc.nalog.ru/cdp/d...ae0ac66749577f87e116.crl Назначение ключа : Цифровая подпись Неотрекаемость Шифрование ключей Шифрование данных Назначение/EKU : 1.3.6.1.5.5.7.3.2 Проверка подлинности клиента 1.3.6.1.5.5.7.3.4 Защищенная электронная почта 1.2.643.2.2.34.34.1.54.5404 Цепочка сертификатов: Успешно проверена. #0: Издатель : Минцифры России Субъект : Минцифры России Выдан : 08/01/2022 13:32:39 UTC Истекает : 08/01/2040 13:32:39 UTC SHA1 отпечаток : 2f0cb09be3550ef17ec4f29c90abd18bfcaad63a #1: Субъект : Федеральная налоговая служба Выдан : 21/07/2023 13:12:44 UTC Истекает : 21/07/2038 13:12:44 UTC SHA1 отпечаток : 24a2cd23cc4e75ec695031b18054f7683fdf1e86 #2: Субъект : Вдовин Алексей Александрович Выдан : 14/11/2023 04:08:39 UTC Истекает : 14/02/2025 04:18:39 UTC SHA1 отпечаток : 64c2ffcb3adfeee5facfa86612df80e009b87c17
		WWW

Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Евгений Афанасьев		#10 Оставлено : 30 января 2025 г. 10:53:53(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 06.12.2008(UTC) Сообщений: 4,027 Откуда: Крипто-Про Сказал(а) «Спасибо»: 21 раз Поблагодарили: 727 раз в 685 постах		Автор: Алексей Вдовин а куда они будут скачены? они автоматически в хранилище будут установлены? т.е. у меня такая ситуация - если enableAIAcaIssuers true проверка проходит очень долго, если этот параметр не ставить, то проверка вообще не проходит (если бы сертификат добавлялся автоматически, то 2й раз после enableAIAcaIssuers проверка по идее проходила бы) Error occurred during building the certification path for the target: .... unable to find valid certification path to requested target соответственно, есть желание всё что ищется по сети скачать и установить локально вот сейчас думаю как можно этот сертификат ИФНС найти в интеренете и скачать? по SHA1 отпечатку как то искать? ну и сразу вопрос - как проверить наличие этого сертификата в trusted - тоже по SHA1 отпечатку как то искать? Будут скачаны в память приложения, не на диск. Установлены не будут. Скачаны по одному из адресов: URL сертификата УЦ : http://pki.tax.gov.ru/cr...a_fns_russia_2023_01.crt URL сертификата УЦ : http://c0000-app005/crt/ca_fns_russia_2023_01.crt URL сертификата УЦ : http://uc.nalog.ru/crt/ca_fns_russia_2023_01.crt "если enableAIAcaIssuers true проверка проходит очень долго" - ответ сервера может быть долгим. "соответственно, есть желание всё что ищется по сети скачать и установить локально" - вы можете заранее скачать этот сертификат и либо добавить его в cacerts, либо подавать программно в addSigner или verify (смотря что требуется). "проверка вообще не проходит" - да, если цепочку не удается построить или проверить. "unable to find valid certification path to requested target" - обычно это ошибка построения (нет одного из сертификатов или срок сертификата истек). "как проверить наличие этого сертификата в trusted - тоже по SHA1 отпечатку как то искать? " - да, можно по отпечатку.
		Тех. поддержка База знаний Логирование JCP Логирование JTLS Тест JCP и сбор диаг. информации Скачать JCP, JCSP и JTLS Скачать Android CSP + SDK


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

RSS Лента

Atom Лента

Пользователи, просматривающие эту тему
Guest (2)

Быстрый переход

Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Important Information: The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies. More Details Close