Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

Опции
К последнему сообщению К первому непрочитанному
Offline Nickokow  
#1 Оставлено : 16 сентября 2021 г. 14:54:43(UTC)
Nickokow

Статус: Новичок

Группы: Участники
Зарегистрирован: 16.09.2021(UTC)
Сообщений: 3
Российская Федерация
Откуда: Ekb

Добрый день.
У нас есть программа, которая средствами JCP проверяет подписи.

1.1)На сервере с ПО был установлен JCP 2.0.40035 (успешно)
1.2)Был добавлен корневой сертификат из тестового УЦ https://testgost2012.cry....ru/certsrv/certcarc.asp

2)Для клиентской машины, которая подписывает, были сгенерированы и добавлены сертификаты.
Локально на этой машине сгенерированы \ подписаны документы \ проверены подписи (успешно)

3)Подписан документ внутри нашей программы (успешно)

4)проверяю подпись на сервере, получаю ошибку
Код:
DEBUG [com.haulmont.thesis.core.app.signature.CryptoProServerSignatureSupport] [app-core] [admin] For online validation by CRLDP parameter 'com.sun.security.enableCRLDP' (Oracl
e) or 'com.ibm.security.enableCRLDP' (IBM) must be set 'true' to enable or 'ocsp.enable' must be set 'true' (OCSP), or CRL passed for offline validation; error codes: [44] 'Certificate status is unkno
wn or revoked'

5)Не могу понять, как добавить CRL в хранилище JCP, или как JCP обращаться к локальному списку отозванных сертификатов, или как запретить эту проверку.
Сервер с ПО, которое проверяет подпись - Linux RHEL8, GUI не предусмотрен.
Все сертификаты на этом уровне тестовые.

вывернул все мозги, перечитал все-возможные форумы. ЧЯДНТ.Brick wall
Offline Евгений Афанасьев  
#2 Оставлено : 16 сентября 2021 г. 16:33:04(UTC)
Евгений Афанасьев

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 06.12.2008(UTC)
Сообщений: 3,527
Российская Федерация
Откуда: Крипто-Про

Сказал(а) «Спасибо»: 20 раз
Поблагодарили: 594 раз в 564 постах
Добрый день.
Цитата:

4)проверяю подпись на сервере, получаю ошибку
Код:
DEBUG [com.haulmont.thesis.core.app.signature.CryptoProServerSignatureSupport] [app-core] [admin] For online validation by CRLDP parameter 'com.sun.security.enableCRLDP' (Oracl
e) or 'com.ibm.security.enableCRLDP' (IBM) must be set 'true' to enable or 'ocsp.enable' must be set 'true' (OCSP), or CRL passed for offline validation; error codes: [44] 'Certificate status is unkno
wn or revoked'

5)Не могу понять, как добавить CRL в хранилище JCP, или как JCP обращаться к локальному списку отозванных сертификатов, или как запретить эту проверку.
Сервер с ПО, которое проверяет подпись - Linux RHEL8, GUI не предусмотрен.
Все сертификаты на этом уровне тестовые.

В JCP никак не добавить. Если, как сказано в ошибке, укажете в коде System.setProperty("com.sun.security.enableCRLDP", "true"), то если в проверяемом сертификате цепочки есть CRLDP (ссылки распространения) для скачивания CRL, они (CRL) будут скачаны из сети и использованы. Если не указано это свойство enableCRLDP или нет доступа к сети (такое бывает), то CRL надо качать отдельно самим и подавать в метод verify(certs, crls) (crls - это список заранее подготовленных X509CRL). Так как используется сертификат из тестового УЦ, CRLDP в нем должен быть, проверьте доступ к crl для скачивания (ссылку на crl можно найти в расширения сертификата и скопировать её в браузер) и включён ли enableCRLDP.

Отредактировано пользователем 16 сентября 2021 г. 18:05:49(UTC)  | Причина: Не указана

Offline Nickokow  
#3 Оставлено : 17 сентября 2021 г. 6:46:01(UTC)
Nickokow

Статус: Новичок

Группы: Участники
Зарегистрирован: 16.09.2021(UTC)
Сообщений: 3
Российская Федерация
Откуда: Ekb

Цитата:
укажете в коде System.setProperty("com.sun.security.enableCRLDP", "true")
А где именно следует это указывать? Это возможно сделать не java программисту?
Цитата:
подавать в метод verify(certs, crls)
тот-же вопрос, как подать в метод.
Цитата:
подавать в метод verify(certs, crls)
В корневом сертификате из тестового центра нет этих ссылок certnew(2).zip (1kb) загружен 0 раз(а).
Цитата:
включён ли enableCRLDP.
где проверить?

p.s работаю с JCP Крипто-про первый раз. И к сожалению не java программист.
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.