Исключение при чтении сертификатов подписи OCSP в Java

https://stackoverflow.com/questions/1497594

19-09-2019
|

Вопрос

В настоящее время я работаю над созданием приложения Java (JRE 1.5+) для взаимодействия с ответчиком OCSP Windows 2008, и я получаю странную ошибку при попытке прочитать сертификат подписи ответчика.

Я получаю следующее исключение при попытке выполнить проверку OCSP.

Caused by: java.security.cert.CertificateParsingException: java.io.IOException: short read on DerValue buffer
    at sun.security.x509.X509CertInfo.<init>(Unknown Source)
    at sun.security.x509.X509CertImpl.parse(Unknown Source)
    at sun.security.x509.X509CertImpl.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPResponse.<init>(Unknown Source)
    at sun.security.provider.certpath.OCSPChecker.check(Unknown Source)
    ... 6 more
Caused by: java.io.IOException: short read on DerValue buffer
    at sun.security.util.DerValue.getOctetString(Unknown Source)
    at sun.security.x509.Extension.<init>(Unknown Source)
    at sun.security.x509.CertificateExtensions.init(Unknown Source)
    at sun.security.x509.CertificateExtensions.<init>(Unknown Source)
    at sun.security.x509.X509CertInfo.parse(Unknown Source)
    ... 11 more

Это означало, что возникла проблема с чтением сертификата подписи, поэтому я попытался импортировать его отдельно, используя метод, аналогичный приведенному ниже:

    public static List<Certificate> readCerts(String certFile,
        CertificateFactory cf, boolean withCRL) throws Exception {
    FileInputStream fis = new FileInputStream(certFile);
    BufferedInputStream bis = new BufferedInputStream(fis);

    List<Certificate> certs = new LinkedList<Certificate>();

    while (bis.available() > 0) {
        Certificate cert = cf
                .generateCertificate(bis);
        X509Certificate cx509 = (X509Certificate) cert;
        certs.add(cert);
    }

    return certs;
}

что дало мне ту же ошибку.Кажется, это происходит только с сертификатами, созданными на основе шаблона подписи OCSP, пользовательские сертификаты можно прочитать нормально.

Кто-нибудь еще сталкивался с подобными проблемами с поддержкой X509 в Java?

Привет Том

ОБНОВЛЯТЬ:Сертификат, с которым у меня возникли проблемы, выглядит следующим образом:

Решение

Я предполагаю, что ваша фабрика будет такой:

  cf = CertificateFactory.getInstance("X509");

Фабрика X509 по умолчанию имеет множество ограничений.Похоже, ваш сертификат содержит расширение, которое фабрика не умеет анализировать.Если вы опубликуете сертификат, я смогу помочь вам определить нарушающее расширение.

РЕДАКТИРОВАТЬ:Нарушающее расширение

1.3.6.1.5.5.7.48.1.5 - id-pkix-ocsp-nocheck

Единственный вариант — удалить это из сертификата с помощью встроенного в Java JCE.Вы также можете попробовать другой JCE, например BouncyCastle.

Лицензировано под: CC-BY-SA с атрибуция

Не связан с StackOverflow