Java에서 OCSP 서명 CERT를 읽을 때의 예외

https://stackoverflow.com/questions/1497594

19-09-2019
|

문제

현재 Windows 2008 OCSP 응답자와 대화하기 위해 Java 응용 프로그램 (JRE 1.5+)을 얻으려고 노력하고 있으며 응답자의 서명 인증서를 읽는 데 이상한 오류가 발생하고 있습니다.

OCSP 유효성 검사를 수행하려는 경우 다음과 같은 예외가 발생합니다.

Caused by: java.security.cert.CertificateParsingException: java.io.IOException: short read on DerValue buffer
    at sun.security.x509.X509CertInfo.<init>(Unknown Source)
    at sun.security.x509.X509CertImpl.parse(Unknown Source)
    at sun.security.x509.X509CertImpl.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPResponse.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPChecker.check(Unknown Source)
    ... 6 more
Caused by: java.io.IOException: short read on DerValue buffer
    at sun.security.util.DerValue.getOctetString(Unknown Source)
    at sun.security.x509.Extension.<init>(Unknown Source)
    at sun.security.x509.CertificateExtensions.init(Unknown Source)
    at sun.security.x509.CertificateExtensions.<init>(Unknown Source)
    at sun.security.x509.X509CertInfo.parse(Unknown Source)
    ... 11 more

이것은 서명 인증서를 읽는 데 문제가 있음을 제안 했으므로 다음과 유사한 방법을 사용하여 별도로 가져 오는 것을 시도했습니다.

    public static List<Certificate> readCerts(String certFile,
        CertificateFactory cf, boolean withCRL) throws Exception {
    FileInputStream fis = new FileInputStream(certFile);
    BufferedInputStream bis = new BufferedInputStream(fis);

    List<Certificate> certs = new LinkedList<Certificate>();

    while (bis.available() > 0) {
        Certificate cert = cf
                .generateCertificate(bis);
        X509Certificate cx509 = (X509Certificate) cert;
        certs.add(cert);
    }

    return certs;
}

나에게 같은 오류를 주었다. 이것은 OCSP 서명 템플릿에서 생성 된 인증서에서만 발생하는 것 같습니다. 사용자 인증서는 잘 읽을 수 있습니다.

Java에서 X509 지원과 비슷한 문제가 발생 했습니까?

안부, 톰

업데이트 : 문제가있는 인증서는 다음과 같습니다.

해결책

나는 당신이 이렇게 당신의 공장을 얻는다고 생각합니다.

  cf = CertificateFactory.getInstance("X509");

기본 X509 공장에는 많은 제한 사항이 있습니다. 인증서에 공장이 구문 분석하는 방법을 모르는 확장 기능이 포함되어있는 것 같습니다. CERT를 게시하면 문제가 발생하는 연장을 식별하는 데 도움을 줄 수 있습니다.

편집 : 불쾌한 확장은입니다

1.3.6.1.5.5.7.48.1.5- ID-PKIX-OCSP-NOCKECK

유일한 옵션은 Java 내장 JCE를 사용하여 인증서에서이를 제거하는 것입니다. Bouncycastle과 같은 다른 JCE를 시도 할 수도 있습니다.

라이센스 : CC-BY-SA ~와 함께 속성

제휴하지 않습니다 StackOverflow