Exception lors de la lecture signature OCSP cert en Java

https://stackoverflow.com/questions/1497594

19-09-2019
|

Question

Je travaille actuellement sur l'obtention d'une application Java (JRE 1.5+) pour parler à un OCSP Windows 2008 Responder, et je reçois une erreur étrange à essayer de lire le cert de signature du répondeur.

Je reçois l'exception suivante à essayer d'effectuer une validation OCSP.

Caused by: java.security.cert.CertificateParsingException: java.io.IOException: short read on DerValue buffer
    at sun.security.x509.X509CertInfo.<init>(Unknown Source)
    at sun.security.x509.X509CertImpl.parse(Unknown Source)
    at sun.security.x509.X509CertImpl.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPResponse.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPChecker.check(Unknown Source)
    ... 6 more
Caused by: java.io.IOException: short read on DerValue buffer
    at sun.security.util.DerValue.getOctetString(Unknown Source)
    at sun.security.x509.Extension.<init>(Unknown Source)
    at sun.security.x509.CertificateExtensions.init(Unknown Source)
    at sun.security.x509.CertificateExtensions.<init>(Unknown Source)
    at sun.security.x509.X509CertInfo.parse(Unknown Source)
    ... 11 more

Cela suggère qu'il y avait un problème de lecture du cert de signature, j'ai donc essayé d'importer que séparément en utilisant une méthode similaire à celle ci-dessous:

    public static List<Certificate> readCerts(String certFile,
        CertificateFactory cf, boolean withCRL) throws Exception {
    FileInputStream fis = new FileInputStream(certFile);
    BufferedInputStream bis = new BufferedInputStream(fis);

    List<Certificate> certs = new LinkedList<Certificate>();

    while (bis.available() > 0) {
        Certificate cert = cf
                .generateCertificate(bis);
        X509Certificate cx509 = (X509Certificate) cert;
        certs.add(cert);
    }

    return certs;
}

ce qui m'a donné la même erreur. Cela ne semble se produire avec les certificats générés à partir du modèle de signature OCSP, les certificats d'utilisateur peuvent être lus bien.

Quelqu'un at-il rencontré des problèmes similaires avec le soutien X509 en Java?

Cordialement, Tom

MISE À JOUR: Le Cert je vais avoir des problèmes avec est comme ci-dessous:

La solution

Je suppose que vous obtenez votre usine comme ça,

  cf = CertificateFactory.getInstance("X509");

La valeur par défaut usine X509 a de nombreuses limites. Il semble que votre cert contient une extension de l'usine ne sait pas comment analyser. Si vous publiez le cert, je peux vous aider à identifier l'extension incriminée.

EDIT: L'extension incriminée est

1.3.6.1.5.5.7.48.1.5 - id-pkix-OCSP-nocheck

La seule option est de supprimer de la cert avec Java intégré JCE. Vous pouvez également essayer un autre comme JCE BouncyCastle.

Licencié sous: CC-BY-SA avec attribution

Non affilié à StackOverflow