Eccezione durante la lettura OCSP firma Certs in Java

https://stackoverflow.com/questions/1497594

19-09-2019
|

Domanda

Al momento sto lavorando per ottenere un'applicazione Java (JRE 1.5 +) per parlare con un Windows 2008 OCSP Responder, e sto ottenendo un errore di strano sul tentativo di leggere la firma cert del risponditore.

ottengo la seguente eccezione sul tentativo di eseguire una convalida OCSP.

Caused by: java.security.cert.CertificateParsingException: java.io.IOException: short read on DerValue buffer
    at sun.security.x509.X509CertInfo.<init>(Unknown Source)
    at sun.security.x509.X509CertImpl.parse(Unknown Source)
    at sun.security.x509.X509CertImpl.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPResponse.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPChecker.check(Unknown Source)
    ... 6 more
Caused by: java.io.IOException: short read on DerValue buffer
    at sun.security.util.DerValue.getOctetString(Unknown Source)
    at sun.security.x509.Extension.<init>(Unknown Source)
    at sun.security.x509.CertificateExtensions.init(Unknown Source)
    at sun.security.x509.CertificateExtensions.<init>(Unknown Source)
    at sun.security.x509.X509CertInfo.parse(Unknown Source)
    ... 11 more

Ciò ha suggerito c'era un problema leggendo il CERT firma, così ho provato l'importazione che separatamente utilizzando un metodo simile a quello qui sotto:

    public static List<Certificate> readCerts(String certFile,
        CertificateFactory cf, boolean withCRL) throws Exception {
    FileInputStream fis = new FileInputStream(certFile);
    BufferedInputStream bis = new BufferedInputStream(fis);

    List<Certificate> certs = new LinkedList<Certificate>();

    while (bis.available() > 0) {
        Certificate cert = cf
                .generateCertificate(bis);
        X509Certificate cx509 = (X509Certificate) cert;
        certs.add(cert);
    }

    return certs;
}

che mi ha dato lo stesso errore. Questo sembra accadere solo con i certificati generati dal modello OCSP Firmare, certificati utente possono essere letti bene.

Qualcun altro ha avuto problemi simili con il supporto X509 in Java?

Saluti, Tom

UPDATE: il CERT Ho problemi con è come qui sotto:

Soluzione

Presumo si ottiene la fabbrica di questo tipo,

  cf = CertificateFactory.getInstance("X509");

La fabbrica X509 di default ha molti limiti. Sembra che la tua cert contiene un'estensione della fabbrica non sa come analizzare. Se pubblichi il CERT, mi può aiutare a identificare l'estensione incriminato.

EDIT: L'estensione incriminato è

1.3.6.1.5.5.7.48.1.5 - id-pkix-ocsp-nocheck

L'unica opzione è quella di rimuovere questo dal cert con Java incorporato JCE. Si può anche provare un altro JCE come BouncyCastle.

Autorizzato sotto: CC-BY-SA insieme a attribuzione

Non affiliato a StackOverflow