Exceção Quando Reading OCSP assinatura Certs em Java

https://stackoverflow.com/questions/1497594

19-09-2019
|

Pergunta

Atualmente estou trabalhando para conseguir uma aplicação Java (JRE 1.5 ou superior) para falar com um OCSP Responder Windows 2008, e eu estou recebendo um erro estranho em tentar ler cert assinatura do Respondedor.

Eu recebo a seguinte exceção na tentativa de executar uma validação OCSP.

Caused by: java.security.cert.CertificateParsingException: java.io.IOException: short read on DerValue buffer
    at sun.security.x509.X509CertInfo.<init>(Unknown Source)
    at sun.security.x509.X509CertImpl.parse(Unknown Source)
    at sun.security.x509.X509CertImpl.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPResponse.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPChecker.check(Unknown Source)
    ... 6 more
Caused by: java.io.IOException: short read on DerValue buffer
    at sun.security.util.DerValue.getOctetString(Unknown Source)
    at sun.security.x509.Extension.<init>(Unknown Source)
    at sun.security.x509.CertificateExtensions.init(Unknown Source)
    at sun.security.x509.CertificateExtensions.<init>(Unknown Source)
    at sun.security.x509.X509CertInfo.parse(Unknown Source)
    ... 11 more

Este sugeriu que havia um problema na leitura do cert assinatura, então eu tentei importar que separadamente usando um método semelhante ao abaixo:

    public static List<Certificate> readCerts(String certFile,
        CertificateFactory cf, boolean withCRL) throws Exception {
    FileInputStream fis = new FileInputStream(certFile);
    BufferedInputStream bis = new BufferedInputStream(fis);

    List<Certificate> certs = new LinkedList<Certificate>();

    while (bis.available() > 0) {
        Certificate cert = cf
                .generateCertificate(bis);
        X509Certificate cx509 = (X509Certificate) cert;
        certs.add(cert);
    }

    return certs;
}

que me deu o mesmo erro. Isso só parece acontecer com certificados gerados a partir do modelo OCSP assinatura, certificados de usuário pode ser lido bem.

Tem mais alguém encontrou problemas semelhantes com o apoio X509 em Java?

Saudações, Tom

UPDATE: O cert eu estou tendo problemas com é como abaixo:

Solução

Eu suponho que você obter sua fábrica como esta,

  cf = CertificateFactory.getInstance("X509");

A fábrica X509 padrão tem muitas limitações. Parece que o seu cert contém uma extensão da fábrica não sabe como analisar. Se você postar o cert, posso ajudá-lo a identificar a extensão ofensivo.

EDIT: A extensão agressor é

1.3.6.1.5.5.7.48.1.5 - id-pkix-OCSP-nocheck

A única opção é para remover esta do cert com Java embutido JCE. Você também pode tentar outra JCE como BouncyCastle.

Licenciado em: CC-BY-SA com atribuição

Não afiliado a StackOverflow