В CMSVerify происходит проверка ЭЦП всеми сертификатами в подписи. Сертификатом подписи признается тот, на котором проверка ЭЦП успешна. Кроме того, в подпись можно поместить sid сертификата подписи, в подписанные атрибуты (см. CAdES-BES) - тогда точно можно будет узнать, на каком сертификате осуществлять проверку.

Возможно ли (и если да, то как?) положить в CMS-подпись всю цепочку сертификатов от корневого до того, которым выполняется подпись?

Если нельзя положить цепочку, то как проверить валидность сертификата из CMS-подписи, не имея цепочки сертификатов?

Можно подробнее, как «загружать сертификаты из его сети»?


В расширениях, например, имею:

Идентификатор ключа субъекта
aa ee c9 bd 04 65 dc 2f df 15 75 3d 4b aa f4 e5 cf 87 dc c9

Идентификатор ключа центра сертификации:
Идентификатор ключа=11 3e 58 f0 97 cf 1e 41 4e e3 01 70 81 1a ef 76 9d 8c 11 d8
Поставщик сертификата:
Адрес каталога:
CN=RUC_SO_2
C=RU
S=63 Самарская область
L=Самара
O=ГКУ СО РЦУП
ОГРН=1096315003080
ИНН=006315856325
Серийный номер сертификата=7a 2f 2e 72 88 41 6d 9f 4e 53 10 76 1a 00 cd 52

Точки распространения списков отзыва
[1]Точка распределения списка отзыва (CRL)
Имя точки распространения:
Полное имя:
URL=http://10.0.40.59/cryptopro_2012_coc.crl
[2]Точка распределения списка отзыва (CRL)
Имя точки распространения:
Полное имя:
URL=http://ruc.samregion.ru/cryptopro_2012_coc.crl


Доступ к информации о центрах сертификации
[1]Доступ к сведениям центра сертификации
Метод доступа=Протокол определения состояния сертификата через сеть (1.3.6.1.5.5.7.48.1)
Дополнительное имя:
URL=http://ca.samregion.ru/ocsp/ocsp.srf


Этих данных будет достаточно для восстановления пути сертификации от сертификата подписи до корневого сертификата и валидации сертификата подписи?

Отредактировано пользователем 21 ноября 2013 г. 17:47:38(UTC)  | Причина: Не указана

Во всех доступных мне примерах используемых у нас сертификатов, таких данных нет:
Метод доступа=Поставщик центра сертификации (1.3.6.1.5.5.7.48.2)

Есть только как приведенные мной выше:
Метод доступа=Протокол определения состояния сертификата через сеть (1.3.6.1.5.5.7.48.1)


В таком случае, достать цепочку сертификатов и проверить валидность сертификата невозможно?

Отредактировано пользователем 21 ноября 2013 г. 18:13:40(UTC)  | Причина: Не указана

Спасибо.

Стало быть, остается только обязательно класть всю цепочку сертификатов при формировании CMS-подписи.


Создание CMS-подписи я взял из примера CMS.java (в CMS_Samples из samples_src.jar), метода createCMS(byte[] buffer, byte[] sign, Certificate cert, boolean detached),

Прошу подсказать по следующим пунктам:
- Где именно смотреть примеры в samples.jar и CAdES.jar добавление дополнительных сертификатов в CMS-подпись?

- Как, собственно, получить все сертификаты из цепочки «от корневого сертификата УЦ до сертификата подписи», имея сертификат подписи, на этапе подписи (в Java)? Как-то достать из KeyStore, видимо?

- Как на этапе проверки подписи сформировать из сертификатов цепочку в правильном порядке сертификатов? Нужно ли для этого специально сохранять порядок сертификатов в цепочке?