Не все сертификаты и списки отозванных сертификатов находятся в подписи CAdES-A v3.
Проверка подписи CAdES-A v3 сторонними средствами выполняется с ошибкой.
Подпись "КриптоПро CAdES-A v3.p7s" (
CAdES-Av3.zip
(13kb) загружен 1 раз(а). прилагается) сформирована с помощью утилиты КриптоПро cryptcp.x64.exe, версии 5.0.12278.0
Версия КриптоПро: 5.0.13300 КС1
Точнее, цепочка сертификатов для сертификата TCP службы "Тестовый оператор TSP" отсутствует в подписи. Подпись содержит метки времени signature-time-stamp (1.2.840.113549.1.9.16.2.14) и CAdES-C-time-stamp (1.2.840.113549.1.9.16.2.25), подписанные сертификатом "Тестовый оператор TSP", сертификат издателя которого (вся цепочка вместе со списками отозванных сертификатов) отсутствует в архивной подписи. Эти неподписываемые атрибуты присутствуют в хеш-таблице ats-hash-index-v3 (0.4.0.19122.1.5) архивной метки времени.
Примечание: - отсутствующая цепочка сертификатов находится внутри неподписываемых атрибутов certificate-values и revocation-values меток времени signature-time-stamp и CAdES-C-time-stamp. Но насколько это правильно и стандартизировано искать сертификаты и CRL-и в неподписываемых атрибутах неподписываемого атрибута? Т.е., другими словами, должны ли сторонние инструменты искать там сертификаты и CRL-и?
Возможно, это не правильно и, как минимум, избыточно, поскольку данная информация дублируется в каждой метке времени.
Также, есть рекомендация, чтобы все необходимые данные для построения и проверки цепочки сертификатов находились внутри архивной подписи, в полях SignedData.certificates и SignedData.crls. Вот из спецификации ETSI TS 101 733 V2.2.1 (2013-04), "CMS Advanced Electronic Signatures (CAdES)":
Пункт 6.4.3, "archive-time-stamp-v3 Attribute":
If none of ATSv2, an earlier form of archive time-stamp or a long-term-validation attribute are already present, then the new validation material shall be included within the root SignedData.certificates, or SignedData.crls as applicable.
С чем может быть связано, что вы не следуете данной рекомендации?
