Мне кажется много людей просмотрело тему, но никто ничего не ответил, и я хочу добавить поясняющий вопрос:
Должен ли идентификатор ключа субъекта у корневого сертификата УЦ2 совпадать с идентификатором ключа субъекта кросс-сертификата?

Да, я неверно написал. В сертификате пользователя B идентификатор ключа центра сертификатов совпадает с идентификатором ключа субъекта сертификата УЦ2. Правильно?
Я пытаюсь реализовать проверку, используя кросс-сертификат. Сделал корневой самоподписанный через OpenSSL, сделал из него запрос и отдаю его нашему внутреннему тестовому центру сертификации (называется Microsoft -- Службы сертификации). В результате я получаю кросс-сертификат, в котором идентификатор ключа субъекта отличается от идентификатора ключа субъекта в самоподписанном корневом.
Утилита certutil выдает следующее:
Хеш ИД ключа (rfc-sha1): ee ab 11 50 31 e2 e1 84 b4 dc b7 5b 32 95 3e 15 ab b9 1b 9d
Хеш ИД ключа (sha1): 54 ea 7f 5c a2 cd 7d 85 09 c8 e8 85 15 81 94 01 03 ed d9 ad
Вот в получившемся кросс-сертификате идентификатор ключа субъекта равен 54 ea 7f... А в моем самоподписанном корневом (и именно это значение стоит в поле идентификатор ключа центра сертификатов в сертификате пользователя B) — ee ab 11... Поэтому цепочка не строится.
Насколько я понял из RFC 3280, алгоритм получения идентификатор ключа субъекта может быть разным, и даже быть просто монотонно увеличивающимся (параграф 4.2.1.2 Subject Key Identifier).
Как, учитывая это, следует находить следующий сертификат в цепочке?

Спасибо.
Но у меня нет задачи вычислять этот хеш, я строю цепочку проверки сертификатов. Я беру из пользовательского сертификата идентификатор ключа центра сертификатов и ищу в хранилище по этому ключу сертификат, чтобы добавить его в цепочку. Но так как у кросса другой идентификатор, то для пользовательского сертификата не находится сертификата, которым бы можно было его проверить. В этом моя проблема. Сертификаты я создаю с помощью OpenSSL, а кросс выдал себе через наш внутренний Microsoft-овский УЦ.

Да, в моем самоподписанном корневом сертификате и в кросс-сертификате абсолютно одинаковые публичные ключи, но разные идентификаторы ключа субъекта.

P.S. Сейчас сделаю сертификаты.

Отредактировано пользователем 15 июня 2012 г. 18:45:02(UTC)  | Причина: Не указана

В моем случае цепочку строит прикладной код на Java. Я предполагал положить кросс в хранилище промежуточных сертификатов и реализовать работу с ними.

В cacert и cross идентификаторы ключа субъекта разные, а публичные ключи одинаковые.

Отредактировано пользователем 15 июня 2012 г. 18:53:03(UTC)  | Причина: Не указана