Excepción al leer Certificados de firma de OCSP en Java

https://stackoverflow.com/questions/1497594

19-09-2019
|

Pregunta

Actualmente estoy trabajando en conseguir una aplicación Java (JRE 1.5 +) para hablar con un dispositivo OCSP de respuesta de Windows 2008, y estoy recibiendo un error extraño en tratar de leer cert firma del respondedor.

Me da la siguiente excepción en tratar de realizar una validación OCSP.

Caused by: java.security.cert.CertificateParsingException: java.io.IOException: short read on DerValue buffer
    at sun.security.x509.X509CertInfo.<init>(Unknown Source)
    at sun.security.x509.X509CertImpl.parse(Unknown Source)
    at sun.security.x509.X509CertImpl.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPResponse.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPChecker.check(Unknown Source)
    ... 6 more
Caused by: java.io.IOException: short read on DerValue buffer
    at sun.security.util.DerValue.getOctetString(Unknown Source)
    at sun.security.x509.Extension.<init>(Unknown Source)
    at sun.security.x509.CertificateExtensions.init(Unknown Source)
    at sun.security.x509.CertificateExtensions.<init>(Unknown Source)
    at sun.security.x509.X509CertInfo.parse(Unknown Source)
    ... 11 more

Esto sugirió que había un problema al leer el certificado de firma, por lo que intentó importar que por separado utilizando un método similar al de abajo:

    public static List<Certificate> readCerts(String certFile,
        CertificateFactory cf, boolean withCRL) throws Exception {
    FileInputStream fis = new FileInputStream(certFile);
    BufferedInputStream bis = new BufferedInputStream(fis);

    List<Certificate> certs = new LinkedList<Certificate>();

    while (bis.available() > 0) {
        Certificate cert = cf
                .generateCertificate(bis);
        X509Certificate cx509 = (X509Certificate) cert;
        certs.add(cert);
    }

    return certs;
}

lo que me dio el mismo error. Esto sólo parece suceder con los certificados generados a partir de la plantilla de firma de OCSP, certificados de usuario se pueden leer bien.

Alguien más ha encontrado con problemas similares con el apoyo X509 en Java?

Saludos, Tom

ACTUALIZACIÓN: El CERT Tengo problemas con es la siguiente:

Solución

Asumo que obtenga su fábrica de este tipo,

  cf = CertificateFactory.getInstance("X509");

La fábrica por defecto X509 tiene muchas limitaciones. Parece que su certificado contiene una extensión de la fábrica no sabe cómo analizar. En caso de publicar el CERT, puedo ayudarle a identificar la extensión infractor.

EDIT: La extensión infractor es

1.3.6.1.5.5.7.48.1.5 - id-PKIX-OCSP-nocheck

La única opción es eliminar esto desde el CERT con Java integrado JCE. También puede probar con otro JCE como BouncyCastle.

Licenciado bajo: CC-BY-SA con atribución

No afiliado a StackOverflow