Добрый день.

Есть проблема с подключением к SOAP сервису через SSL, сертификат сайта выпущен на ключе RSA 2048.

Soap-клиент собран посредством Apache CFX.
В логах видно что происходит подмена default SSLSocketFactory вне зависимости от использования флага useHttpsURLConnectionDefaultSslSocketFactory

Вот часть конфигурации CFX, которая отвечает за настройки SSL

<http-conf:tlsClientParameters useHttpsURLConnectionDefaultSslSocketFactory="true">
<sec:keyManagers>
<sec:keyStore type="JKS" password="test"
file="src/main/resources/root.jks"/>
</sec:keyManagers>
<sec:trustManagers>
<sec:keyStore type="JKS" password="test"
file="src/main/resources/root.jks"/>
</sec:trustManagers>
<sec:cipherSuitesFilter>

в JKS находится единственные сертификат - root из цепочки сертификатов удаленного хоста.

В зависимости от флага useHttpsURLConnectionDefaultSslSocketFactory, наблюдается разная работа системы.
false - не удается проверить цепочку сертификатов, которая приходит с сервера 1.log (51kb) загружен 3 раз(а).
true - удаленный хост обрывает соединение после client hello 2.log (19kb) загружен 2 раз(а).
Было подозрение что неправильно подхватывается root сертификат из jks, менял его на CertStore - результат тот же.

Пробовал прописывать через глобальные свойства доверенное хранилище. И JKS, и CertStore - результат тот же.
System.setProperty("javax.net.ssl.trustStoreType", "JKS");
System.setProperty("javax.net.ssl.trustStore", "src/main/resources/root.jks");
System.setProperty("javax.net.ssl.trustStorePassword", "test");

Подскажите в чем может быть проблема?

На сервере, как я описал в первом посте, сертификат абсолютно точно не ГОСТовый. Там RSA 2048.

Основной вопрос - как заставить корректно работать SSL по RSA при установленном JCP.

Решения я вижу 3
1)заставить cryprtopro.SSLSocketFactoryImpl работать с НЕ ГОСТовыми сертификатами. Вы пишите что это невозмжно
2)исключить установку cryprtopro.SSLSocketFactoryImpl в качестве фабрики SSL по умолчанию (мне JCP нужен только в части подписания документов)
3)заставить apache cfx использовать не дефолтную фабрику SSL

Я бы с радостью воткнул любую другую фабрику для ssl, но к сожалению по логу все равно происходит перехват в ru.CryptoPro.ssl.s
вот так попытался использовать SUNовскую фабурику

org.apache.cxf.endpoint.Client client = ClientProxy.getClient(c);
HTTPConduit httpConduit = (HTTPConduit) client.getConduit();

SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, null, new SecureRandom());
// update client to use our custom SSLSocketFactory (using our
// truststore and keystore)
TLSClientParameters tlsClientParameters = new TLSClientParameters();
tlsClientParameters.setSSLSocketFactory(sslContext.getSocketFactory());
KeyStore ks = KeyStore.getInstance("JKS");
ks.load(new FileInputStream("src/main/resources/astralRoot.jks"),
"Tochka".toCharArray());

TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
tmf.init(ks);
tlsClientParameters.setTrustManagers(tmf.getTrustManagers());

// tlsClientParameters.setCipherSuitesFilter(filter);
httpConduit.setTlsClientParameters(tlsClientParameters);

и она совершенно нормально садиться, но затем по логи видно что опять происходит перехват 3.log (33kb) загружен 2 раз(а).

как то можно исключить встраивание подсистемы ssl от криптопро хотя бы на уровне SSL контекста?

Спасибо, помогло

Отбой, была ошибка в импорте
Правильный для Metro такой: