Результаты: работаем на CADES-T все хорошо, но Крипто Про в данном режиме все ровно делает запросы на OCSP выяснили мы это после того как после +-часа работы подпись стала дико тормозить вплоть до 1 минуты на документ, по описанным ранее (в этой теме) причинам.

Логи из программы Wireshark (логи текущие, то есть после того как мы неделю не делали запросы на OCSP, с тормозами не связаны о них ниже)

для понимания лога, всего у нас в логе 4 записи OCSP запросов, 2 до подписания что бы проверить что нам поступил корректный файл и 2 после создания штампа что бы убедиться что все прошло успешно, на картинке три - один не влез :)

два запроса OCSP это запросы на сертификат подписи и на корневой сертификат, запрос на штамп один его видно протокол PKIXTSP.

собственно проблему с тормозами решили путем добавления в Hosts строчек уже на сервере (да мы переключили наш ресурс на создание штампа на сервере, неделя - полет нормальный, спасибо)

127.0.0.1 tax4.tensor.ru
127.0.0.1 ocsp.taxcom.ru
127.0.0.1 ocsp1.taxcom.ru

после добавления в hosts этих строк подпись стала летать как самолет.
делаем вывод CADES-T - все ровно делает запрос на OCSP (если адрес прописан в сертификате) но игнорирует ошибки, как то странно.

Идем далее ранее вы писали что сделали кеширование запроса на CRL
Опять же на картинке видно что CRL один и тот же запрашивается 10! раз, один и тот-же 5 раз на проверку до создания штампа и 5 раз после, то есть получается не какого кеширования CRL нету :(

версия плагина самая последняя 2.0.14590.0

по поводу добавления наших IP в anti-DDOS пока не от одного УЦ ответа не получили :(

Чуть позже выложу логи с доказательством тормозов именно на taxcom и tensor(если получиться) ну просто у нас от этих УЦ больше всего сертификатов.

Отредактировано пользователем 13 августа 2022 г. 9:27:27(UTC)  | Причина: Не указана

Windows Server 2019 Standart
CSP - 5.0.12000 KC1 лицензия серверная

насчет кеширования CRL в Windows не соглашусь, при получении данных с реестра стоят директивы запрещающие кеширование, может и в этом дело, в любом случае мне кажется, совсем не оптимально делать 10 запросов буквально за секунду на один документ.


вот документация про кешь WinINet
https://docs.microsoft.c...ws/win32/wininet/caching

по коду подскажем чуть позже.

Отредактировано пользователем 13 августа 2022 г. 10:10:07(UTC)  | Причина: Не указана

Код конечный не смогу привести весь, т.к. там много лишней внутренней логики намешано, попробую убрать все лишнее и алгоритм касающийся подписи получится такой:
1) На сервере мы получаем с клиента Cades-BES подпись.
2) Дальше проверяем ее:


3) Затем идут всякие внутренние проверки и т.к. это отдельный модуль, мы проверяем по сути ее еще раз и усовершенствуем



4) Затем мы получившийся бинарник проверяем на соответствие уже Cades-T:


По нашим ожиданиям не должно быть на каждую проверку запроса к CRL, хотя бы на какое-то время он может быть закэширован.