Какая польза от responseerID в ответе OCSP?

Мне не ясно, как использовать идентификатор ответчика в определении ответа OCSP.

Я выполняю проверки OCSP через API PKIX Java.

Используя стороннюю библиотеку, я получаю (во время обработки ответа OCSP):

java.security.cert.CertPathValidatorException: Не удалось определить статус отзыва: ResponderID в ответе не соответствует сертификату ответчика.

Если я переключаюсь на поставщика по умолчанию (например, SUN), я не получаю такого исключения, и проверка отзыва работает нормально.

Изучая это подробнее, кажется, что это исключение связано с тем, будет ли идентификатор ответчика использовать хэш открытого ключа сертификата подписи или субъекта сертификата подписи.

Я не знаю, в чем разница и почему реализация SUN не имеет проблем с ответом OCSP.

Я не хочу делать поспешных выводов и отказываться от другой библиотеки, пока не пойму, что здесь происходит.

Может ли кто-нибудь помочь мне понять, в чем может быть проблема?


java security ocsp cryptography pki
person Cratylus    schedule 08.05.2011    source источник
comment
Я думаю, вам нужно обратиться за поддержкой к поставщику библиотеки, а не задавать здесь такой расплывчатый вопрос.   -  person Eugene Mayevski 'Callback    schedule 09.05.2011
comment
@Eugene: Суть вопроса в том, как использовать идентификатор респондента в ответе OCSP, потому что из RFC я не уверен, в чем польза и есть ли от него особые ожидания.   -  person Cratylus    schedule 09.05.2011

Ответы (1)


arrow_upward
1
arrow_downward

ResponderID позволяет клиенту найти сертификат среди сертификатов, предоставленных сервером ИЛИ, если сертификат не предоставлен, среди сертификатов, хранящихся локально на стороне клиента.

person Eugene Mayevski 'Callback    schedule 09.05.2011
comment
В этом контексте я замечаю, что исключение зависит от того, настроил ли я OCSP для включения хэш-ключа сертификата подписи или субъекта сертификата подписи. Кажется, что ожидание должно быть предметом сертификата подписи. Но я так понимаю обе конфигурации действительны, да? - person Cratylus; 09.05.2011
comment
@ user384706 да, оба варианта действительны, и проблема связана со сторонней библиотекой, поэтому мой первоначальный совет остается в силе — обратитесь к поставщику библиотеки. - person Eugene Mayevski 'Callback; 10.05.2011